「預警」勒索病毒Ouroboros開學來襲,持續更新惹人關注

2020-12-13 砍柴網

【亞信安全】-【2019年9月2日】近日,亞信安全截獲全新勒索病毒Ouroboros,此勒索病毒在加密文件完成後會添加.[ID=十位隨機字符][Mail=unlockme123@protonmail.com].Lazarus的後綴,亞信安全將其命名為Ransom.Win32.OUROBOROS.SM。隨著深入的分析,安全專家發現了黑客使用的FTP伺服器,伺服器上還存有Ouroboros勒索病毒變種文件,安全專家推測該勒索病毒目前正處在持續更新中,亞信安全將會持續關注該勒索病毒的動態。

勒索病毒Ouroboros詳細分析

安全專家分析發現,該勒索病毒源文件並未加殼:

使用IDA打開此文件,加載符號文件時發現病毒作者編譯程序留下的符號文件位置,以此確定此勒索病毒為Ouroboros:

初步分析,該勒索病毒中有大量的反調試函數,或者通過函數中包含return函數的形式增加病毒分析難度:

進入到程序關鍵函數,該勒索病毒會調用PowerShell程序,通過vssadmin delete shadows /all /y命令刪除卷影副本:

然後加載病毒中需要的信息,如郵箱信息,生成ID:

在地址40A000的位置,安全專家發現勒索病毒會進行進程遍歷,關閉與資料庫相關的進程:

該病毒使用了SFML(Simple and Fast Multimedia Library)網站的一個資源:http[:]//www[.]sfml-dev[.]org/ip-provider.php

訪問此網址後,可以獲取到訪問者的公網IP位址(圖中紅框位置為get請求包內容):

然而在此勒索病毒中,此網站成了用來獲取受害者IP的工具(為了正常分析,我在本地搭建了一個web,通過hosts將sfml-dev[.]org指向本地,圖中地址為本地web環境偽造的響應地址):

該病毒會嘗試建立與主機176.31.68.30的連接,等到程序收集了IP、ID、磁碟使用情況和key的信息後,一併發送給主機176.31.68.30,並且等待返回包。

該病毒不會在主線程中直接進行加密操作,而是將加密邏輯的函數地址作為參數傳遞給新創建的線程,新線程中獲取到對應參數,再進行跳轉執行。加密邏輯會遍歷磁碟上的文件夾,檢查是否是Windows目錄以及文件名中是否包含eScan、!qhlogs、info.txt字符,如果符合條件,避免對這些文件或者目錄下的文件進行加密操作

否則其會讀取文件內容,開始在內存中對文件內容進行加密:

文件內容加密完成後,其會創建以下後綴的文件:[ID=十位隨機字符串][Mail=unlockme123@protonmail.com].Lazarus

然後,其將加密內容寫入創建的帶後綴的文件中,隨後刪除未被加密的源文件:

完成勒索後,釋放勒索信息的文件Read-Me-Now.txt,文件內容如下:

普通勒索病毒到這裡可能就已經完成了所有邏輯,但是安全專家做了靜態分析後發現,此病毒還會觸發ftp連接的操作,從176.31.68.30的ftp上下載名為uiapp.exe的文件到本地C:\\ProgramData\\uiapp.exe,此後,啟動新的進程來執行此文件:

安全專家對下載的Uiapp.exe文件進行了簡單的分析,發現此程序沒有明顯的惡意行為,僅僅只是為了更加醒目的顯示勒索信息:

雙擊執行後,桌面會彈出如下的勒索信息界面:

安全專家還在176.31.68.30的ftp中發現了另一個exe文件:crypt.exe(該文件被檢測為Ransom.Win32.OUROBOROS.AA),依據文件名安全專家懷疑該文件是此次勒索病毒最初的來源,所以將crypt.exe文件和安全專家截獲的勒索病毒做了hash對比,發現並不一致:

但是經過進一步的分析發現,兩者代碼塊中的內容幾乎一致,僅僅只是編譯時間上的不同,crypt.exe的文件編譯時間較新,據此安全專家懷疑Ouroboros勒索病毒正在持續更新中,未來亞信安全會密切關注。

亞信安全教你如何防範

不要點擊來源不明的郵件以及附件;不要點擊來源不明的郵件中包含的連結;採用高強度的密碼,避免使用弱口令密碼,並定期更換密碼;打開系統自動更新,並檢測更新進行安裝;儘量關閉不必要的文件共享;請注意備份重要文檔。備份的最佳做法是採取3-2-1規則,即至少做三個副本,用兩種不同格式保存,並將副本放在異地存儲。

亞信安全產品解決方案

亞信安全病毒碼版本15.329.60,雲病毒碼版本15.329.71,全球碼版本15.329.00已經可以檢測,請用戶及時升級病毒碼版本。

IOCs

MD5:

87283fcc4ac3fce09faccb75e945364c

e3caef2e2bdc4b08d625d4845f3205b6

相關焦點

  • 「病毒預警」植入「古希臘十二神」元素,Globelmposter勒索病毒新...
    病毒預警近日，亞信安全截獲Globelmposter勒索病毒最新變種，該勒索病毒首次出現在2017年5月，到目前為止已經更新過多個版本。2018年亞信安全曾經多次發布該病毒預警，在過去的版本中，該病毒曾使用十二生肖英文名+數字的方式命名加密文件後綴（如：Rabbit666、Dragon666）。
  • Satan勒索病毒的屢敗屢戰:第四次更新來襲
    來源：金融界網站最近，「微信支付」勒索病毒在國內安全界掀起了層層巨浪，數家網際網路公司躺槍。然而，「微信支付」勒索病毒的風波才剛剛平息，另一款活躍度極高的勒索病毒——Satan（撒旦）又來作妖了！Satan勒索病毒已更新到4.6版本在被國內知名網絡安全企業360實現解密後，攻擊者加長了密鑰，由之前76位密鑰，加長到了240位來對抗360的解密。針對這個加強版的Satan 4.6，360再次及時的做了解密支持，並於12月7日發布了解秘工具。但需要注意的是，這已經是Satan半個月來發起的第二波攻擊了。
  • 緊急預警!國內多家大型企業遭遇GlobeImposter勒索病毒變種襲擊
    8月26日，騰訊智慧安全御見威脅情報中心監測，發現國內多省多家大型企業遭遇GlobeImposter勒索病毒攻擊。不法黑客入侵企業內網，利用RDP/SMB暴力破解在內網擴散，投放GlobeImposter勒索病毒，導致系統破壞，影響正常工作秩序。
  • 「求職信病毒」持續發酵
    求職信「WORM_KLEZ」系列病毒，從去年現身至今已出現不下十數種變種，其詭譎多變的病毒行為，已經在全球釀成嚴重災情。本文引用地址：http://www.eepw.com.cn/article/183614.htm據推估此次求職信系列病毒之所以會持續發酵，災情延續，主要是因為「WORM_KLEZ」系列病毒行為詭譎，沒有特定主旨、內容，甚至會冒名大量發送電子郵件，最狡猾的是還會卸載各家防毒軟體，所以SMTP及POP3防範病毒在Internet的閘道攔截(Gateway)更顯重要，儘管病毒通報
  • 「想哭」勒索病毒高峰已過 騰訊電腦管家持續守護網絡安全
    「想哭」勒索病毒高峰已過 騰訊電腦管家持續守護網絡安全  上周五開始，一個名為「WannaCry」的勒索病毒肆虐全球，致使眾多國家網絡癱瘓。
  • 避免病毒帶來的「情緒勒索」我們需要知道5件事!
    （圖／shutterstock）這場疫情似乎已快磨光人性，世界媒體成天疲勞轟炸、醫護人員體力不堪負荷、各地工廠紛紛關門…，我們需要打起十二萬分的精神對抗病毒，也要抵禦「它」帶來的情緒勒索。面對病毒侵襲，我們需要更有智慧地打這場長期抗戰。她分享5個解決因病毒帶來的負面情緒的方式。我們需要知道5件事，就可以避免陷入病毒帶來的情緒勒索中：1. 立刻定睛仰望耶穌阿曼達分享，對抗「肉眼看不見的病毒」，最有效的方法就是禁食禱告。
  • 騰訊安全發布《2020上半年勒索病毒報告》 政企機構仍是勒索「頭號...
    據《報告》顯示，為了追求利益最大化，多數情況下，攻擊者在攻陷企業一臺網絡資產之後，會利用該資產持續滲透攻陷更多資產，之後大量植入文件加密模塊，從而迫使企業在業務系統大面積癱瘓的情況下繳納贖金。加密、合作、定製化，勒索病毒技術手段升級經過長期的演變，勒索病毒在「勒索」這件事上越發成熟。首先，為了對攻擊目標進行精準打擊，很多勒索病毒會利用殭屍網絡龐大的感染基數進行迅速擴張。例如GandCrab勒索團夥就藉助Phorpiex殭屍網絡的持續投遞獲利超 20 億美金。
  • 騰訊安全:勒索和挖礦雙開花!Satan勒索病毒變種來襲
    作為 2018年度最為活躍的勒索病毒之一，Satan(撒旦)進入 2019年之後持續更新迭代病毒，不斷出現病毒變種，企圖攫取更多利益。近日，騰訊安全御見威脅情報中心監測發現Satan勒索病毒變種樣本。據了解，該病毒變種主要針對Windows、Linux系統用戶進行無差別攻擊，然後在中招電腦中植入勒索病毒勒索比特幣和植入挖礦木馬挖礦門羅幣，嚴重威脅用戶個人信息及財產安全。Satan病毒變種運行後，病毒作者會快速遍歷文件並進行加密，生成後綴為.evopro的加密文件，並提示用戶支付一個比特幣(當前價格折合人民幣約 25600元)進行解密。
  • 2020上半年勒索病毒報告:勒索手段升級 不交贖金就公開數據
    據《報告》顯示，為了追求利益最大化，多數情況下，攻擊者在攻陷企業一臺網絡資產之後，會利用該資產持續滲透攻陷更多資產，之後大量植入文件加密模塊，從而迫使企業在業務系統大面積癱瘓的情況下繳納贖金。註：上圖的勒索病毒樣本僅針對特定目標的IT設備此外，為避免勒索失敗，攻擊者還採取了新的勒索策略。
  • 聊聊勒索病毒處置經驗
    本文轉載自微信公眾號「新鈦雲服 」，作者王愛華。轉載本文請聯繫新鈦雲服 公眾號。 這些安全措施包括： 修改個人電腦、應用伺服器、域控伺服器登錄密碼，修改為強密碼; 禁用guest帳號; 統一關閉139、445埠，關閉RDP服務; 安裝360、火絨等防病毒軟體進行防護和查殺; 更新作業系統安全補丁。
  • 騰訊雲:Petrwrap勒索病毒席捲全球,為何說雲端才是安全高地?
    騰訊雲主機防護產品雲鏡已實時監測該蠕蟲，同時騰訊云云鼎實驗室將持續關注該事件和病毒動態，第一時間更新相關信息，並提醒用戶及時關注，修復相關漏洞，避免感染風險。　　Wannacry、Petya輪番來襲，世界級網絡病毒將成常態　　經騰訊云云鼎實驗室確認，Petya是一種類似於「WannaCry」的勒索病毒新變種，傳播方式與「WannaCry」類似，其利用EternalBlue(永恆之藍)和OFFICE OLE機制漏洞(CVE-2017-0199)進行傳播，同時還具備區域網傳播手法。
  • 斯福賽特:勒索病毒是什麼?要怎麼預防?中了勒索病毒還有救嗎?
    平均每天有7家三甲醫院被檢出WannaCry勒索病毒(所幸多為加密功能失效的病毒版本)製造業正迎來「工業4.0」的重大歷史契機，面對需要將無處不在的傳感器、嵌入式系統、智能控制系統和產品數據、設備數據、研發數據、運營管理數據緊密互聯成一個智能網絡的新模式，一個全新的安全需求正在產生。
  • 這種病毒大爆發,不少大學生收到黑客勒索信!高校給出了預防攻略.
    杭州師範大學一位同學電腦中病毒時電腦屏幕上跳出來的勒索信唐同學是昨晚8點左右中病毒的。電腦桌面上顯示了一封勒索信。這封信上，可以選擇顯示語言，中文、韓文、日文、英文都有。信上的內容大致是，想要解鎖你電腦上的文檔，請付300美金等價的比特幣。上面還威脅說，一周之內不付款，就永遠恢復不了文件了。」   「我關掉了病毒顯示的窗口，但過了一會兒，病毒窗口又跳出來了。
  • 「關注」勒索病毒製作者抓到了!揭秘22歲男子作案過程
    導讀一款新型勒索病毒在網際網路傳播，病毒危害造成廣泛惡劣影響。近日，東莞網警破案了...24小時火速破案！經審訊，嫌疑人羅某某對其製作新型勒索病毒破壞計算機信息系統，利用微信支付勒索錢財的事實供認不諱。據其供述，2018年6月，羅某某自主研發出病毒「cheat」，用於盜取他人支付寶的帳號密碼，進而以轉帳方式盜取資金。
  • 加強版GlobeImposter勒索病毒來襲 這樣防範
    近日，亞信安全網絡監測實驗室監測到大量GlobeImposter勒索病毒在我國傳播，此次勒索病毒變種繁多，被加密後的文件擴展名也各不相同，包括.crypted!、.doc和.TRUE等。GlobeImposter勒索病毒主要是通過垃圾郵件進行傳播，與以往不同的是，此次變種會通過郵件來告知受害者付款方式，勒索贖金從1到10比特幣不等。
  • Globelmposter勒索病毒預警:從「十二生肖」到「十二主神」,為何...
    I2E中文科技資訊　　經過對比分析,確認「十二主神」版本為「十二生肖」的升級版,也就是說Globelmposter「十二主神」版本,是Globelmposter3.0的更新版本。目前該病毒變種依然無法解密,已有多家醫院的多臺伺服器感染病毒,業務出現癱瘓,危害巨大。
  • 「安全通告」警惕新型ColdLock勒索病毒攻擊
    安全通告近日，亞信安全發現了一起針對我國臺灣多個組織機構發起的勒索病毒攻擊事件，此次攻擊事件中使用的新型勒索病毒被命名為ColdLock。其針對資料庫和電子郵件伺服器進行加密，有較強的破壞性。該勒索病毒會檢查%System Root%\ProgramData\readme.tmp文件是否存在(該文件是勒索贖金提示文件)，以此來判斷系統中是否存在ColdLock勒索，防止重複感染病毒。該病毒會檢查系統時鐘，其會在任意一天下午12：10或之後運行；如果早於該時間，該病毒將休眠15秒鐘，直到超過上述時間為止。
  • 騰訊安全《2017年勒索病毒盤點報告》 揭秘未來勒索病毒五大傳播趨勢
    2018年勒索病毒五大傳播趨勢預測 漏洞利用或將「冒頭」《報告》分析指出，2018年勒索病毒將呈現出「以漏洞利用為新的傳播方式」、「與安全軟體的對抗將持續升級」、「攻擊目標日益精準化」、「製作成本降低，蹭熱點特徵明顯」、「國產勒索病毒開始活躍」五大新趨勢。
  • 2018勒索病毒全面分析報告
    圖：BadRabbit勒索病毒3、GlobeImposter家族：變種眾多持續更新GlobeImposter勒索病毒是一種比較活躍的勒索病毒，病毒會加密本地磁碟與共享文件夾的所有文件，導致系統、資料庫文件被加密破壞，由於Globelmposter採用RSA算法加密，因此想要解密文件需要作者的RSA私鑰，文件加密後幾乎無法解密
  • 比特幣勒索病毒全球肆虐 廈門各界出招抵禦病毒「勒索」
    廈門各界出招抵禦病毒「勒索」黃勁超 圖　　廈門網訊 （海西晨報記者李凌）近日，不少網絡用戶的電腦桌面跳出紅色勒索信，該信用中英文寫著　　5月12日晚間，一款名為「WannaCry」的惡意勒索軟體(比特幣勒索病毒)在全球肆虐。截至15日，該病毒的影響仍在持續，並發生變種捲土重來，目前，至少有150個國家受到網絡攻擊，我國許多高校校園網和多家能源企業、政府機構也中招。　　據悉，廈門也有高校、企業中招。好在，大多數企事業單位已做好防禦，各界也紛紛「出招」。