勒索病毒的快速致富模式: Encryptor RaaS 的”事業夥伴”只要會設定比特幣錢包ID,不需技術能力

2015年7月，一個名為「Encryptor RaaS」（趨勢科技偵測為RANSOM_CRYPRAAS.SM）的新勒索病毒即服務（Ransomware-as-a-Service）浮出檯面，想複製像Tox或ORX Locker的快速致富模式。這起新”服務”似乎是匹黑馬：跨平台，吸引人的價格，而且讓新手罪犯的進入門檻更低。它對一般用戶和企業都造成相當大的威脅，因為Encryptor RaaS可以對會員提供客製化服務。

Encryptor RaaS作者替從事勒索病毒事業的會員們,建立只能透過TOR網路存取的完整網路控制面板，讓他們可以管理勒索病毒受害者的系統。和其他競爭者比較起來（如Cerber，開發者抽取40%的佣金），Encryptor RaaS的訂價相當具有吸引力。會員只需投入至少5%的收入散播勒索病毒，當然,為了躲避追查,比特幣（Bitcoin）是首選交易貨幣。

早在2016年3月，趨勢科技就注意到Encryptor RaaS作者竭盡所能地不讓自己被偵測露出馬腳。包括使用有效憑證來簽章勒索病毒，同時也不斷地利用反防毒服務和加密服務。

但非常突然的這個”服務”在四個月後突然關閉了。好處是,少了一個勒索病毒需要擔心。壞處是, 開發者決定刪除主要金鑰,受害者再也無法回復他們被加密的檔案。是什麼讓Encryptor RaaS突然崩落？

犯罪手法: :勒索病毒”事業夥伴”只需要知道如何設定比特幣錢包ID，並不需要其他技術專長

Encryptor RaaS會在表層網路和黑暗網路（Dark Web）的論壇內進行宣傳。惡意分子只需透過Tor網站來聯絡開發者表示興趣。除了需要知道如何設定比特幣錢包ID來連結將要散播的勒索病毒外，並不需要其他技術專長。他們還會取得一個「客戶ID」，所以每個檔案都有唯一的「所有者」。會員可以指定贖金金額，並選擇使用哪些方法來散播定製的惡意軟體。

Encryptor RaaS使用C語言編寫，用RC6和RSA-2048演算法組合來加密231種類型的檔案。它還會生成一個ID讓受害者用來連上網路面板和閱讀付款說明。

圖1、用英語和德語所寫的勒贖通知會出現在中毒磁碟的每個資料夾中

受害者可以用聊天功能聯絡網路犯罪分子

Encryptor RaaS的整個基礎設施都隱藏在Tor網路中。受害者被指示用Tor2Web或Tor Browser等服務來連上。受害者可以用聊天功能聯絡網路犯罪分子。惡意分子不會多說什麼，通常只強調著「只要支付贖金，你就可以拿回你的檔案」。

圖2、受害者的網頁面板登錄介面

圖3、受害者登錄到網頁面板的截圖

為會員提供檔案簽章服務

要在這行存活代表必須要獲得生意，必須讓惡意軟體獲得更多下游的興趣。為此，開發者也開始為會員提供檔案簽章服務。吹噓自己能夠取得許多被竊的Authenticode，除了提供競標外，也讓它能夠免費簽章Encryptor RaaS樣本。

圖4、開發者將被竊Authenticode售予出價最高者

圖5、一個用來簽章Encryptor RaaS樣本的憑證：惡意使用和竊取數位憑證，特別是由開放憑證簽發機構所發布的憑證，是網路犯罪分子用來防止其惡意軟體被防毒軟體偵測的眾多方法之一。

開發者在這方面取得相當的成果。Encryptor RaaS常常無法被偵測。勒索病毒在躲避防毒偵測方面做得很成功：在純靜態分析引擎方面，35家中只有2家可以偵測，這並不包含使用現代防毒功能如行為偵測。還出現了另一個針對Linux的版本（RANSOM_CRYPRAAS.B），趨勢科技也確認了其真的可以運作。

圖6、Encryptor RaaS在2016年5月5日的被偵測率

Encryptor RaaS開發者的化名是「jeiphoos」，它在地下論壇甚至是社群媒體上都非常活躍。搜尋網路之後，我們發現了一則某人寫的Facebook留言，他可能跟勒索病毒的基礎設施有直接關係。巧合嗎？3月1日的Facebook狀態更新與Encryptor RaaS帶著新變種重新出現的時間相符合。他也對比特幣交易非常感興趣，如他的Twitter帳號所示。