標籤: 勒索軟體 Ransomware

《勒索病毒警訊》Petya 大規模爆發中,鎖定EternalBlue”永恆之藍”漏洞,三步驟防範感染

趨勢科技 TrendMicro

有一波大規模的 Petya 勒索病毒變種四處肆虐當中，目前傳出的災情以歐洲最為嚴重。趨勢科技已將此變種命名為 RANSOM_PETYA.SMA，相比五月造成全球大恐慌的WannaCry勒索病毒，Petya 散播的管道主要有兩種：其一為同樣利用透過微軟的安全性弱點：MS17-010 – Eternalblue 針對企業及消費者進行勒索攻擊，而與上次WannaCry不同的是，本次 Petya入侵電腦後，會修改電腦硬碟中的主要開機磁區(Master Boot Record, MBR) 設定，並建立排程工作於一小時內重新開機，一旦受害者重開機後其電腦螢幕將直接跳出勒索訊息視窗，無法進行其他操作。

去年趨勢科技資安部落格曾經介紹過Petya 勒索病毒修改主要開機磁區 (MBR) 讓電腦無法正常開機 ,Dropbox 成為駭客入侵管道!該惡意程式透過發散布一封看似要應徵某項工作的電子郵件散播,受害電腦會出現藍色當機畫面，一旦電腦重新開機時會顯示骷髏頭畫面勒索訊息。這次爆發的變種讓歐洲國家重災區，報導指出多家運營商、石油公司、零售商、機場、ATM機等企業和公共設施已大量淪陷。

 

另一個值得注意的攻擊管道為其駭客利用微軟官方的 PsExec 遠端執行工具，以「進階持續性滲透攻擊」（Advanced Persistent Threat，APT攻擊）手法入侵企業，一旦入侵成功，將可潛伏於企業內部網路中並感染控制企業內部重要伺服器，進一步發動勒索病毒攻擊，對企業內部機密資料進行加密勒索，以達到牟利之目的。

趨勢科技建議一般使用者和企業機構應採取以下三個防範措施來避免感染：

  1. 套用 MS17-010 修補更新
    無論是企業用戶或是消費者，都建議安裝更新電腦作業系統最新的修補程式，尤其是跟安全性弱點MS17-010 EternalBlue 相關的安全性修補程式，此外也可透過 GPO 或是微軟官方的說明停用此類含有漏洞的 Windows Server Message Block (SMB) ，正確配置SMB服務才能免於受到此次攻擊影響。
  2. 停用 TCP 連接埠 445 ( 請參考)
  3. 企業用戶應嚴格管制擁有系統管理權限的使用者群組

此外，趨勢科技 XGen™ 防護當中的預測式機器學習以及其他勒索病毒相關防護功能，目前已可防止這項威脅並保護客戶安全。我們將繼續深入分析這項威脅，一有最新情況就會立即更新訊息。

感染過程

前面提到，該勒索病毒會經由 Microsoft 官方提供的 PsExec 遠端執行工具來進入電腦系統。並且還會搭配 EternalBlue 這個之前 WannaCry(想哭)勒索蠕蟲也用過的漏洞攻擊套件來攻擊 Server Message Block (SMB) v1 漏洞。 Petya 變種一旦進入系統，就會利用 rundll32.exe 來執行其程式碼。其檔案加密程式碼是放在 Windows 資料夾底下一個名為「perfc.dat 」的檔案內。

接下來，勒索病毒會新增一個排程工作，讓系統至少在一個小時之後就會重新啟動，並且修改硬碟的主要開機磁區 (MBR) 以便在重新開機之後執行其加密程式碼並顯示勒索訊息。一開始，病毒會先顯示一個假的 CHKDSK 磁碟檢查程式執行畫面，但其實就是病毒程式。有別於一般勒索病毒的作法，該病毒並不會修改被加密檔案的副檔名。它可加密的檔案類型超過 60 多種，但其主要目標為企業環境常用的檔案，至於其他勒索病毒經常針對的影像和視訊檔案則不在此列。 繼續閱讀

內建自我摧毀功能的無檔案式勒索病毒:SOREBRECT

趨勢科技 TrendMicro

無檔案式威脅和勒索病毒 Ransomware (勒索軟體/綁架病毒)早已不是新聞，但若這兩種特性結合起來，將變得相當危險。前一陣子趨勢科技發現的 SOREBRECT 勒索病毒 (RANSOM_SOREBRECT.A 和 RANSOM_SOREBRECT.B) 就是最好例子。

▍《延伸閱讀》勒索病毒採 APT 手法再進擊 , 某企業超過一百台伺服器被 SOREBRECT 加密 ▍

趨勢科技今年第二季初監控全球威脅情勢時首次發現 SOREBRECT 勒索病毒，經過擷取與分析樣本之後，我們發現 SOREBRECT 採用了一種特殊的技巧來執行檔案加密。此外，還有一個值得注意的地方是它使用了 PsExec 這個遠端執行工具。SOREBRECT 顯然是用這工具來執行勒索病毒的程式碼注射功能。

匿蹤是 SOREBRECT 最拿手的把戲

雖然 SOREBRECT 的最終目標依然是將系統上的檔案加密，但匿蹤卻是它最拿手的把戲。由於勒索病毒內建自我摧毀功能，因此可歸類為無檔案式病毒。它會先將自己的加密程式碼注射到某個正常的系統執行程序當中，然後再將自己的主程式終止。此外，SOREBRECT 還會大費周章刪除受害系統上的事件記錄檔 (Event Log) 和其他可供鑑識分析的資訊 (如系統上所執行過的檔案與時間，也就是系統的 appcompat/shimcache 和 prefetch)，這樣的作法可避免留下可供分析軟體追蹤的活動痕跡。

我們在網路上首次發現 SOREBRECT 的樣本時，它的數量還算不多，而且大多集中在科威特、黎巴嫩等中東國家。但到了五月初，便開始在加拿大、中國、克羅埃西亞、義大利、日本、墨西哥、俄羅斯、台灣以及美國發現 SOREBRECT 病毒的蹤跡，受害的產業包括製造、科技與電信業。有鑑於勒索病毒的潛在破壞力與獲利能力，SOREBRECT 會出現在其他國家也就不足為奇，甚至滲透到網路犯罪地下網路，成為歹徒兜售的一種服務。

圖 1：SOREBRECT 攻擊過程。

程式碼注入系統執行程序之後就會銷毀檔案，採集病毒樣本成了挑戰

SOREBRECT 在攻擊過程當中運用了一個正常的 Windows 指令列工具叫「PsExec」，此工具可讓系統管理員在本地端執行指令或在遠端系統上執行某個執行檔。歹徒之所以能夠利用 PsExec 在電腦上安裝 SOREBRECT 病毒，顯然系統管理員的帳號密碼已經被歹徒掌握，或者遠端電腦已經被入侵，或者其密碼已遭暴力破解。SOREBRECT 並非第一個利用 PsExec 工具的勒索病毒，例如：SAMSAM、Petya 及其衍生變種 PetrWrap (趨勢科技分別命名為 RANSOM_SAMSAM 和 RANSOM_PETYA) 也會利用 PsExec 在已遭入侵的伺服器或端點上安裝勒索病毒。

然而 SOREBRECT 的作法又更加高明，它會在系統上安裝 PsExec，然後將自己的程式碼注射到 Windows 的系統執行程序 svchost.exe當中，然後再將自己的主程式庫銷毀。這兩種能力的結合非常強大：勒索病毒主程式庫在執行完成之後將自我銷毀，但被注入 Windows 服務執行程序 svchost.exe 當中的程式碼卻能繼續執行檔案加密動作。由於 SOREBRECT 在將程式碼注入系統執行程序之後就會銷毀檔案，因此，採集該病毒的樣本變成了一項挑戰。 繼續閱讀

南韓網站代管公司,遭 Erebus 勒索病毒襲擊, 153 台 Linux 伺服器遭到感染

趨勢科技 TrendMicro

6 月 10 日，南韓網站代管公司 NAYANA 遭 Erebus 勒索病毒襲擊 (趨勢科技命名為：RANSOM_ELFEREBUS.A)，共有 153 台 Linux 伺服器與 3,400 個該公司代管的商業網站遭到感染。

與駭客達成協議分三期支付逾百萬美元贖金

NAYANA 公司 6 月 12 日在官網發布了一則公告，表示駭客要求 550 比特幣 (BTC) 的天價贖金 (約合 162 萬美元) 以解開所有伺服器上被加密的檔案。6 月 14 日，NAYANA 又發布新的消息表示和歹徒討價還價之後同意支付 397.6 比特幣 (約合 101 萬美元：根據 2017 年 6 月 19 日匯率)，並且約定分期付款。 6 月 17 日，NAYANA 的官網又發布一則聲明表示已經匯出第二期款項。到了 6 月 18 日，NAYANA 開始分批復原受害伺服器。但某些第二批復原的伺服器卻出現了資料庫錯誤的情況。預料在第一和第二批伺服器成功復原之後，該公司將再支付第三期贖金。

這不禁讓人聯想到當年美國堪薩斯醫院 (Kansas Hospital) 的受害案例 (儘管贖金無法相提並論)。不過堪薩斯醫院的情況更悲慘，因為該院在付了贖金之後還是沒有救回被加密的檔案，反而又再被勒索了一次。

Erebus 感染了 NAYANA 的 Linux 伺服器，並利用一個假的藍牙服務來讓自己就算系統重新開機也會再自動執行。此外，更利用了 UNIX 系統的 cron 工作排程工具來定期每小時檢查一次勒索病毒是否還在執行。 

Erebus 勒索病毒最早是在 2016 年 9 月經由惡意廣告感染，2017 年 2 月又再度現身，並且運用了一個可避開 Windows 使用者帳戶控制的伎倆，以下是有關 Linux 版本 Erebus 勒索病毒目前發現到的一些技術細節。

Erebus 的勒索訊息有多國語言版本 (本圖為英文版本)。
圖 1：Erebus 的勒索訊息有多國語言版本 (本圖為英文版本)。

繼續閱讀

企業如何對抗頑強的 CERBER 勒索病毒變種?

趨勢科技 TrendMicro

勒索病毒 Ransomware (勒索軟體/綁架病毒)在2016年相當地猖獗，出現大規模的攻擊活動及各種能夠對抗安全措施的新變種。在2016年年底，Locky和 CERBER勒索病毒家族似乎在市場佔有率方面遇上頻頸。但這隨著 CERBER 發展出新的躲避偵測能力而有所改變。根據 Security Intelligence的報導，CERBER在2017年的市場佔有率達到70%，並且在第一季末上升至90%。相較之下，Locky在2017年第一季只剩下2%的佔有率。

 CERBER已經展現其躲避安全軟體偵測的成功，為了犯罪活動而加以優化。新CERBER變種也開始會繞過機器學習工具，不過趨勢科技也站在解決這些問題的最前端。事實上，趨勢科技最近發表了一份報告秀出CERBER迄今為止的演變及如何維護安全性的進階解決方案。隨著CERBER持續對企業造成威脅，了解如何防範新變種及解決目前漏洞變得相當重要。

CERBER的快速變形讓其躲避偵測

就跟大多數惡意軟體一樣，CERBER透過垃圾郵件、漏洞攻擊套件及其他感染途徑散播。當接收者點入連結或開啟郵件時，程式會在背景被偷偷下載，開始加密檔案。但CERBER與許多其他勒索病毒不同。它不僅會重新命名目標副檔名和檔案名稱；微軟指出它也會選擇感染的資料夾。比方說，CERBER會避開系統資料夾，但會加密共享網路及本機磁碟上，進而讓感染擴散。

 

CERBER還經常進行升級，以「勒索病毒服務」(Ransomware as a Service，簡稱 RaaS)的形式賣給網路犯罪分子。這些修改使其很難被鎖定。在2016年，伺服器每15秒鐘改變一次CERBER，每次都產生新的哈希（Hash）。根據SecurityWeek，解決方案需要偵測這些哈希（Hash）來識別惡意軟體，但CERBER的快速變形技術讓其躲避偵測。這技巧是讓CERBER能夠繼續保持神祕並且讓新變種成功抵禦安全措施的關鍵。  繼續閱讀