freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

不能低估的“对手”:FONIX勒索软件及服务
2020-10-12 11:10:50

FONIX ,一种新的勒索软件即服务(RaaS)产品。

事实上,FONIX于 2020 年 7 月才首次出现在威胁环境中,与这种威胁相关的感染数量仍然很少,但绝不能被轻易低估。

专家指出,该勒索软件作者不要求威胁分发者支付任何费用来加入其中,只需要拿走威胁分发者获得的赎金的一定百分比。和许多其他当前 RaaS 产品略有不同,FONIX对每个文件采用四种加密方法,并且感染后解密周期过于复杂。

威胁分发者通过电子邮件与作者进行通信,以获得针对受害者的解密程序和密钥。与之相对的,分发者会为作者保留25%赎金。

根据当前情报,FONIX关联公司或者说威胁分发者一开始不会获得解密程序或密钥。正常情况下,在受害者通过电子邮件联系威胁分发者后,威胁分发者受害者会要求受害者提供一些文件。其中包括两个用于解密的小文件:一个是证明被加密的证据,另一个是来自受感染主机的文件"cpriv.key"。然后,威胁分发者会将这些文件发送给FONIX作者,作者解密文件后发送给受害者。当受害者确信解密是可信的,分发者就会提供付款地址(BTC 钱包)。然后,受害者支付报酬,然后分发者会和FONIX 作者分成。

显然,上述流程比大多数 RaaS 服务更复杂,用户友好程度也更低。

目前,FONIX 勒索软件仅针对 Windows 系统,默认情况下它加密所有文件类型,不包括关键的 Windows OS 文件。此外,该勒索软件使用 AES、Chacha、RSA 和 Salsa20 的组合来加密受害者的文件,并且添加了一个XINOF 扩展。这类多种加密协议使得加密过程比其他勒索软件慢得多,而使用管理权限执行有效负载后,将进行以下系统更改:

禁用任务管理器

通过计划任务、启动包含和注册表(运行和运行一次)的文件夹实现持久性

修改系统文件权限

有效负载的持久副本将其归因于隐藏

为持久性创建隐藏服务(Windows 10)

更改驱动器/音量标签(更改为"XINOF")

删除卷卷副本将(vssadmin,wmic)

系统恢复选项被操控 / 禁用( bcdedit )

安全引导选项被操控

FONIX 感染具有明显攻击性,即加密系统文件以外的所有内容 ,并且一旦设备完全加密,就很难恢复。不过,目前FONIX似乎并没有通过数据公开来威胁受害者。

参考来源:

securityaffairs

本文作者:, 转载请注明来自FreeBuf.COM

# 勒索软件 # RAAS # FONIX
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑