EKANS勒索軟體針對工業控制系統的方式介紹

EKANS勒索軟體的新樣本揭示了當今的網絡攻擊者如何使用各種方法來危害主要的工業公司。

在周三發布的一份研究報告中，FortiGuard實驗室的研究人員Ben Hunter和Fred Gutierrez表示，旨在攻擊工業控制系統（ICS）的惡意軟體仍然對威脅行為者有利可圖。

根據Verizon的2020年數據洩露報告，儘管勒索軟體僅佔2019年所有惡意軟體事件的三分之一，但將其應用於核心，關鍵系統（例如公用事業和製造業）後，感染可能造成破壞性的，破壞性的和關鍵的服務可能會感到支付贖金的巨大壓力。

EKANS勒索軟體系列就是這種針對目標ICS活動的病毒。

研究人員能夠獲得兩個現代樣本，一個來自5月，另一個於6月編譯，揭示了一些有趣的特徵。

這兩個基於Windows的示例均使用GO（一種在惡意軟體開發社區中廣泛使用的程式語言）編寫，因為它相對容易編譯以在不同的作業系統上工作。

為了幫助進行分析，FortiGuard創建了一個針對EKANS的反彙編程序，發現儘管在5月版本的勒索軟體中存在大量編碼錯誤（實際上有1200多個字符串），但該惡意軟體仍能夠有效地執行針對ICS系統。

看來EKANS旨在故意選擇受害者。該惡意軟體將嘗試通過解析受害公司的域並將此信息與IP列表進行比較來確認其目標。如果未確認目標狀態，則例即退出。

一旦獲得目標，勒索軟體將掃描域控制器，以使其妥協。

兩種版本均具有典型勒索軟體的功能。惡意軟體一旦落入易受攻擊的計算機，便能夠加密文件並顯示贖金記錄，要求其付款以換取解密密鑰，該解密密鑰可能會或可能不會恢復對系統文件的訪問。

但是，六月的示例超出了這些功能，並具有可能在工業環境中造成嚴重破壞的高級功能，包括關閉主機防火牆的功能。

EKANS功能的新增功能並不是唯一的改進。為了繞過任何現有的ICS保護，勒索軟體還將嘗試在加密之前關閉防火牆，「可能通過阻止來自代理的任何通信來檢測AV和其他防禦解決方案，」研究人員指出。

EKANS使用RSA加密來鎖定受影響的計算機，並將繼續進行進程以消除橫衝直撞，終止可能成為惡意軟體活動障礙的任何系統，並在此過程中刪除卷影副本，從而使恢復文件更加困難。

除了檢查這種有趣的ICS惡意軟體外，FortiGuard還發布了有關網絡安全公司認為是工業威脅參與者採用的最新技術和策略的指南。

其中包括利用遠程服務，使用憑據轉儲，在網絡上橫向移動，禁用或修改網絡安全工具，通過禁用Windows事件日誌破壞防禦以及修改組策略。

3月，網絡安全公司FireEye警告說，能夠針對ICS的惡意軟體和黑客工具的開發正在上升，其中大多數是在過去十年中開發的。FireEye分析的大多數工具都被認為與供應商無關，但在某些情況下，該軟體已被設計為破壞特定公司提供的ICS設置。