標籤: 勒索軟體 Ransomware

Locky 勒索病毒等惡意程式,如何反制傳統的沙盒模擬分析?

趨勢科技 TrendMicro

沙盒模擬分析經常是傳統端點防護與網路防護的最後一道防線。所謂沙盒模擬分析正如其名所言，就是讓惡意程式或可疑檔案在虛擬化的控制環境當中毫無顧忌地執行，然後分析其行為，藉此判斷檔案是否安全。此方法有助於確保端點安全，將不信任的檔案隔離，以免對系統造成損害，甚至危害企業基礎架構。

然而，如果惡意程式找到了可以避開沙盒模擬分析的方法呢？如果惡意程式可以知道自己正在沙盒模擬環境當中執行呢？如果惡意程式刻意隱藏自己的惡意行為，讓沙盒模擬環境看不出來呢？

以下探討當前一些知名的惡意程式，看看它們如何騙過傳統資安防護、如何在系統上暢行無阻，以及新的「進階」沙盒模擬分析技巧如何解決這些問題。

不怕沙盒模擬分析技巧的知名惡意程式

Locky  勒索病毒家族  (趨勢科技命名為：RANSOM_LOCKY) 是最經典的範例，它最著名的就是能夠利用多種方法來感染系統，包括： 加密的 DLL、 Windows 腳本檔以及社交工程 垃圾郵件附件檔案  (暗藏惡意巨集的文件檔、.RAR 壓縮檔，以及JavaScript 和 VBScript 腳本)，或者利用漏洞攻擊套件  (例如之前收錄了 Flash 零時差漏洞的某個攻擊套件)。

Locky 在 2016 年因為使用了系統核心漏洞攻擊套件而備受矚目。其攻擊程序使用了一個木馬程式 (TROJ_LOCKY.DLDRA) 來當作檔案下載工具，該木馬程式會利用一個本機權限升級漏洞 (CVE-2015-1701：早在 2015 年 5 月 12 日即已修補)，偽裝成一個系統執行程序來騙過沙盒模擬分析。藉由系統核心漏洞，駭客就能透過系統核心機制 (如：工作項目、系統執行緒、非同步程序呼叫) 來連線至幕後操縱 (C&C) 伺服器並下載勒索病毒。所以，駭客不需在系統上產生檔案就能讓系統感染惡意程式。此技巧通常會配合當年 Magnitude 漏洞攻擊套件所收錄的某個零時差漏洞  (CVE-2016-1019：2016 年 4 月 5 日已修補)。

最近較新的 勒索病毒家族 也開始積極利用某些技巧來判斷自己是否在虛擬機器 (VM) 或沙盒模擬環境當中執行。例如 Locky 的變種就會利用層層編碼的惡意 JavaScript 來下載並執行壓縮的 DLL 檔案，內含偵測虛擬機器和執行環境的程式碼。KeRanger (OSX_KERANGER) 是一個暗藏在檔案分享軟體與惡意 Mach-O 檔案的 Mac 平台勒索病毒，可在被感染的系統上蟄伏三天之後再開始加密系統上的檔案。

Shamoon/Disttrack (WORM_DISTTRACK 家族) 最早發現於 2012 年，通常出現在針對性攻擊當中，主要攻擊對象為中東地區知名機構。它會將系統主開機磁區 (MBR) 清除，讓受害機構網域下的電腦和伺服器無法開機。當它在 2016 年 12 月重出江湖時，開始多了一個反制沙盒模擬分析環境的技巧，感染當下不會出現惡意行為，而是設定了一個定時炸彈在特定日期和時間觸發，此時才會在系統上植入惡意元件。

無檔案式惡意程式如何避開沙盒模擬分析?

對於無檔案式攻擊來說，元件越少越好。因為這類攻擊一般並無實際的檔案，也不會下載檔案到受害電腦或寫入硬碟，惡意程式通常直接在系統記憶體中執行。對駭客來說，沒有實體可分析的檔案就不會留下太多痕跡，有助於反制傳統的沙盒模擬分析。 繼續閱讀

目標式勒索:French Locker 每10 分鐘刪除一個檔案;專挑醫療機構下手的SAMSAM推出新版本

趨勢科技 TrendMicro

近期勒索病毒：更難偵測的手法與躲避技巧

勒索病毒 Ransomware (勒索軟體/綁架病毒)者絕不輕言放棄，他們總是不斷嘗試新的躲避技巧、新的程式開發語言、新的命名方式，甚至更強硬的勒索方式來逼迫受害者就範。

最近一項新的技巧是將勒索病毒包裝在 RarSFX 自我解壓縮執行檔內。我們曾探討了某個包裝在 SFX 檔案當中的多重元件 Cerber 變種 (趨勢科技命名為 RANSOM_CERBER)， 這種躲在壓縮檔內的技巧可以讓它避開機器學習偵測機制。新發現的 CrptXXX 勒索病毒 (趨勢科技命名為 RANSOM_CRPTX.A) 同樣也躲在 SFX 壓縮檔中，相信其意圖亦相同。此勒索病毒需搭配一些適當的指令參數和壓縮檔內的其他元件才能順利執行。

系統一旦感染 CrptXXX，受害者就會看到一份簡單明瞭的勒索訊息。受害者必須前往某個「.onion」(洋蔥路由器網域) 的網站，然後輸入勒索病毒產生的識別碼 (ID)，接著遵照指示付款。

French Locker在螢幕上顯示10 分鐘的倒數計時器，時間一到就刪除一個檔案

French Locker (趨勢科技命名為 RANSOM_LELEOCK.A) 是一個典型的快打型勒索病毒。此勒索病毒會在螢幕上顯示一個 10 分鐘的倒數計時器，每次 10 分鐘一到，就會刪除受害者一個被加密的檔案。
此病毒是經由惡意網站感染，或是由其他惡意程式植入系統當中，受害者可選擇英文或法文介面。首先，勒索病毒會將自己複製一份到系統上，然後在系統登錄當中增加一筆設定讓系統在重新開機時自動執行該病毒並觸發加密程序。被加密的檔案名稱末端會多了「.lelele」副檔名。

圖 1：FrenchLocker 的勒索訊息畫面。
圖 1：FrenchLocker 的勒索訊息畫面。

繼續閱讀

Chrome 彈出「找不到字型」視窗,別急著按更新,勒索病毒假冒的 !

趨勢科技 TrendMicro

如果上網突然出現亂碼,並彈出更新通知,要當心不要急著按更新或下載鍵。

二月肆虐的勒索病毒家族 SPORA 出現新的變種, SPORA v2 ( RANSOM_SPORA.F117C2)在瀏覽網頁時會出現「找不到字型」的小視窗，背景網頁的字體亦變成亂碼,故佈疑陣讓受害者因驚慌而按下「更新」,掉入勒索病毒陷阱。

最近新的版本增加了蠕蟲能力。SPORA v2 感染系統的方式是靠使用者點選 Google Chrome 瀏覽器的彈出視窗，該視窗請使用者更新 Chrome 字型套件以顯示「HoeflerText」字型。當使用者點選了彈出視窗，就會下載一個偽裝成正常檔案的惡意程式。一旦惡意程式執行，電腦即遭到感染。

佯稱請使用者更新 Chrome 字型套件的彈出視窗。
佯稱請使用者更新 Chrome 字型套件的彈出視窗

繼續閱讀

勒索病毒TorrentLocker 變種,利用雲端服務散布        

趨勢科技 TrendMicro

為何 TorrentLocker 勒索病毒最新變種,大多集中在平日出現，周末會暫時消失。上午 9 點至 10 點之間的感染數量會突然飆高?

TorrentLocker 勒索病毒在沉寂了好一陣子之後最近又開始活躍起來，出現了多個新的變種 (趨勢科技命名為 RANSOM_CRYPTLOCK.DLFLVV、RANSOM_CRYPTLOCK.DLFLVW、RANSOM_CRYPTLOCK.DLFLVS 及 RANSOM_CRYPTLOCK.DLFLVU)。這些新的變種會利用 Dropbox 帳號來散布，印證了我們的 2017 年預測：勒索病毒將持續演化出新的攻擊管道。

 

假冒供應商，寄送含Dropbox 連結的發票下載點

TorrentLocker的最新變種在行為上與趨勢科技之前所偵測到的類似，主要的差異只在於散布方式，以及惡意程式執行檔的包裝方式。

比方說，新的 TorrentLocker 變種在攻擊時，會先假冒受害者的供應商，用電子郵件寄一份發票給受害者。而這份「發票」不是隨信附上，而是透過一個 Dropbox 連結來下載。除此之外，為了增加郵件的真實性，郵件內容還包含了帳單、發票和帳戶編號等資訊。TorrentLocker之所以使用 Dropbox 連結，就是為了躲過郵件閘道防護產品的偵測，因為郵件當中不含附件，而是使用指向正派網站的連結。

 

AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！即刻免費下載
AV-TEST 連續第四個月評比趨勢科技 PC-cillin 雲端版為「頂尖產品」PC-cillin 2017雲端版除針對勒索病毒提供「3+1多層式防護」外，更提供密碼管理、SSL 網站安全憑證偵測、以及社群隱私防護三大獨家功能，跨平台跨裝置全面保護消費者遠離威脅！！即刻免費下載

 

 

繼續閱讀

Cerber 已具備躲避機器學習技術的能力

趨勢科技 TrendMicro

自從現身以來即一直不斷演進的 CERBER勒索病毒 Ransomware (勒索軟體/綁架病毒)最近又出現新的變種 (趨勢科技命名為：VBS_CERBER.DLCYG、RANSOM_CERBER.ENC、RANSOM_CERBER.VSAGD 及 TROJ_CERBER.AL)，這次它使用了一個獨立的勒索病毒載入程式來躲避機器學習機制的偵測。

 一旦偵測到系統正在虛擬機器或沙盒模擬環境上執行, 即終止執行

CERBER 勒索病毒 Ransomware (勒索軟體/綁架病毒)家族已開始採用一種讓自己更難被偵測的新技巧：專為躲避機器學習技術而設計的獨立載入程式。這個載入程式可將 CERBER 的程式碼注入某個執行程序當中執行。

CERBER 變種會經由電子郵件進入使用者系統，郵件內含 Dropbox 網站連結，點選之後會下載一個自我解壓縮檔案，一旦執行了該檔案，系統就會遭到感染。此勒索病毒包含多個檔案，最值得注意的是一個勒索病毒載入程式，該程式負責檢查目前系統是否在虛擬機器或沙盒模擬環境上執行。除此之外，還會檢查系統上是否安裝了某些分析工具和防毒軟體。一旦發現上述狀況，就終止執行，否則就將勒索病毒載入系統中。

透過這些額外檢查步驟，並且將病毒直接載入執行程序當中執行，CERBER 就能避開機器學習機制的偵測。此設計對於檔案分析靜態機器學習來說將是一大考驗，因為靜態機器學習只會分析檔案的內容當中是否含有惡意行為，而不管檔案的執行方式如何。不過，若遇到多層式惡意程式防護產品，這類勒索病毒依然只能束手就擒，因為多層式防護並非只仰賴機器學習技術。

假冒公共事業機構名義發送電子郵件，內含 Dropbox 連結

一般來說，勒索病毒大多經由電子郵件散布，這個新的 CERBER 家族亦不例外。它曾假冒多家公共事業機構名義發送電子郵件，這些電子郵件內含 Dropbox 網站連結，點選之後會下載一個自我解壓縮檔案，提供該檔案的應該是駭客的 Dropbox 帳號。一旦受害者點選郵件內的連結，就會下載檔案，使系統遭到感染。下圖顯示該程式的感染過程。

圖 1：Cerber 的感染過程。

受害者下載的自我解壓縮檔案解開之後會出現三個檔案：一個是 Visual Basic 腳本、另一個是 DLL 檔案、最後一個是看似設定檔的二進位檔案。在趨勢科技所發現的其中一個樣本當中，這三個檔案的名稱分別為：「38oDr5.vbs」、「8ivq.dll」以及「x」，不過並非每個樣本都一樣。 繼續閱讀