HDDCryptor - 資安趨勢部落格

磁碟加密勒索病毒 HDDCryptor 變種, 根據感染規模來調整受害者的贖金

2017 年 08 月 22 日2017 年 08 月 16 日趨勢科技 TrendMicro

磁碟加密勒索病毒HDDCryptor的變種（趨勢科技偵測為RANSOM_HDDCRYPTOR.AUSE）據報在巴西和沙烏地阿拉伯感染了許多受害者。它跟2016年11月攻擊舊金山市政交通局（SFMTA）的磁碟加密惡意軟體是同一個家族，當時迫使公共交通系統手動分配路線，並打開票閘以防止運作停擺。

HDDCryptor（也被稱為Mamba）在去年9月首次出現。它可以加密透過SMB分享的網路資源，包括網路磁碟、資料夾、檔案、印表機和序列埠。它惡意使用一些免費軟體、開放原始碼軟體和商用軟體來搞亂磁碟及掛載的SMB磁碟，並且用修改過的開機引導程式（bootloader）覆寫主開機記錄（MBR），進而鎖住受感染電腦的硬碟。受感染系統重新啟動後會顯示勒贖通知而非正常的登入畫面。

[延伸閱讀：勒索病毒造成藍色當機畫面：HDDCryptor使用商業工具來加密網路分享和鎖住硬碟 ]

它的感染載體讓人聯想到其他家族（如Crysis和Erebus Linux勒索病毒），會利用漏洞攻擊來在植入並執行惡意軟體前先取得管理員權限。到了11月下旬，HDDCryptor更新使用了更加精簡的加密程序及防沙箱和反除錯功能，更能夠去躲避防毒和其他偵測技術。

[延伸閱讀：<勒索病毒> 已從中毒電腦移除,還能再度感染系統 ! Crysis 透過暴力破解遠端桌面協定（RDP）散播]

HDDCryptor修改受感染系統的MBR以顯示勒贖通知

開放原始碼磁碟加密軟體DiskCryptor的憑證和簽章，它是被HDDCryptor利用的工具之一 繼續閱讀

攻擊舊金山市交通局的勒索病毒HDDCryptor 變種：小更新仍造成大威脅

2016 年 12 月 07 日2016 年 12 月 09 日趨勢科技 TrendMicro

自從在今年九月第一次寫到關於HDDCryptor的發現，趨勢科技就一直緊密追踪此一勒索病毒Ransomware（勒索軟體/綁架病毒）的演變。它在上個禮拜出現了一個新版本。根據分析，這新變種在最近被用來攻擊舊金山市交通局（SFMTA）。系統被入侵後，所有的電子售票機都出現了「停止服務」或是「捷運（地鐵）免費」的訊息。

⊙延伸閱讀: 勒索病毒造成藍色當機畫面：HDDCryptor使用商業工具來加密網路分享和鎖住硬碟

此次攻擊就跟我們在HDDCryptor的其他版本所看到的一樣，勒索病毒會植入一些工具來加密整個磁碟，同時會加密掛載的網路磁碟。趨勢科技認為此次攻擊並沒有用漏洞攻擊套件和自動安裝工具來入侵感染受害者。而是先透過針對性攻擊/鎖定目標攻擊(Targeted attack )或攻擊漏洞等作法取得對機器的存取能力，接著再手動執行惡意軟體。儘管我們沒有詳細資料去解釋這攻擊如何涵蓋SFMTA內的2000台機器，但很有可能是透過管理權限在所有設備上設定排程任務來達成。

繼續閱讀

勒索病毒造成藍色當機畫面：HDDCryptor使用商業工具來加密網路分享和鎖住硬碟

2016 年 09 月 22 日2017 年 09 月 12 日趨勢科技 TrendMicro

雖然趨勢科技所看到的大多數勒索病毒 Ransomware (勒索軟體/綁架病毒)只針對儲存在本地磁碟、可移除式媒體和網路分享上的特定檔案類型或資料夾，我們也發現到有些勒索病毒並不挑剔：HDDCryptor。被偵測為Ransom_HDDCRYPTOR.A的HDDCryptor不僅會針對網路分享的資源，如透過伺服器訊息區塊（SMB）分享的磁碟、資料夾、檔案、印表機和序列端口，還會鎖住磁碟。這種破壞性作法讓此勒索病毒成為家庭用戶及企業嚴重而真實的威脅。