freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

研究人员发现新型勒索软件GIBON,今年5月份就出现在地下黑市
2017-11-13 10:00:39

gibon

上周,有安全专家发现了一款新的 GIBON 勒索软件。但实际上,今年 5 月份地下黑市中就已经出现了这款勒索软件的身影。一名网名为 AUS_8 的用户在多个网站出售这款勒索软件,价格为500美元。广告语用俄语撰写,详细描述了这款软件的特点和功能。

据研究人员观察,GIBON 主要利用垃圾邮件传播,但确切的传播机制尚不清楚,主要攻击被感染计算机中除 Windows 文件夹以外的文件。感染计算机后,GIBON 会连接到其 C&C 服务器,并发送包含时间戳、Windows 版本和“注册”字符串(用于告知 C&C 新的受害者)的 base64 编码字符串去感染下一个受害者。随后,服务器会返回一个 base64 编码的字符串,作为 GIBON 的勒索通知。利用这种设置,攻击者可以即时更新赎金,而不必编译新的可执行文件。

暗网售卖 GIBON 页面

一旦受害者注册到 C&C 服务器中,GIBON 就会在本地生成一个加密密钥,然后以 base64 编码的字符串形式将其发送到 C&C 服务器。该密钥用于加密计算机上的所有文件,并为所有加密文件附加上 .encrypt 扩展名。在加密过程中,GIBON 会继续对服务器执行 ping 操作,表示加密正在进行。加密完成后,则会向服务器发送最终消息,包含字符串“完成”、时间戳、Windows 版本以及加密的文件数量。

最后,GIBON 会在每个已加密文件的文件夹中加入赎金通知,要求受害者通过电子邮件 bomboms123@mail.ru 或子公司 yourfood20@mail.ru 联系攻击者以获取付款说明。

在分析 GIBON 的广告时,研究人员发现,GIBON 作者声称使用 RSA-2048 密钥进行加密,但这并不正确。事实上,GIBON 是先添加一个密码,然后用 RSA-2048 密钥加密这个密码。此外,该作者还声称,使用 GIBON 加密的文件无法解密;但安全专家已经发布了解密器,因此,GIBON 的威胁并不可怕。

*参考来源:SecurityWeek,AngelaY 编译,转载请注明来自 FreeBuf.COM

本文作者:, 转载请注明来自FreeBuf.COM

# 地下黑市 # 勒索软件
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑