新年刚过没几天,人们就发现了2021年的第一批新型勒索软件。根据最新的研究,到目前为止,一个名为Babuk Locker的勒索软件似乎已经成功入侵了五家公司。
研究人员是佐治亚理工学院的计算机科学学生Chuong Dong,他说,他是在推特上一位名叫 "Arkbird "的安全研究人员的推文中第一次看到这个勒索软件的。随后,他在一个分享漏洞和泄密数据库的论坛RaidForums上发现了Babuk的相关信息。
Dong表示,根据Babuk勒索说明中提到的网站,以及RaidForums泄露的有关信息,可以证明该勒索软件已经成功入侵了全球五家不同的公司。根据BleepingComputer的报告,这些受害公司其中至少有一家已经同意支付8.5万美元的赎金。
Dong说:
Dong在本周的分析中说:
Babuk的特征
该勒索软件是以32位.EXE文件的形式出现的,很明显它没有做混淆加密保护。目前也还不清楚该勒索软件最初是如何传播给受害者的。
Dong告诉Threatpost:
在被勒索软件加密前,Babuk中包含的服务和进程列表中所对应的进程和服务都会被关闭。其中包括各种系统监控服务,比如BackupExecVSSProvider、YooBackup和BackupExecDiveciMediaService。在进程方面,Babuk会终止31个进程,包括sql.exe,oracle.exe和outlook.exe。
Dong向Threatpost解释说:
加密方式
值得注意的是Babuk采用的加密机制:它在攻击中使用自己实现的SHA哈希、ChaCha8加密和椭圆曲线Diffie-Hellman(ECDH)密钥生成交换算法来对文件进行加密,这使得受害者几乎不可能将文件进行恢复。
Dong说:
由于ECDH的机制,勒索软件作者可以使用自己的私钥和受害者的公钥生成共享秘钥来解密文件,这使得受害者不可能自行解密文件,除非他们能够在恶意软件完成加密之前找到生成的随机私钥。
Sophos研究人员表示:
Babuk还使用了多线程。为了能让进程并行执行,提高系统利用率,许多计算机中都包含一个或多个多核的CPU。像Babuk这样可以利用多线程的勒索软件,能够将单个任务并行化,以确保在受害者发现他们受到攻击之前,可以造成更大的破坏。
不过,Dong表示,该勒索软件的"多线程方法非常简单"。
他说,首先,它的多线程进程会使用递归来遍历文件。这个过程会从最高目录(例如C://驱动器)的一个线程开始,在主加密功能中,程序将遍历父目录中的每一个项目。如果找到了一个文件,它就会对其进行加密。如果发现是一个新的目录,这个过程将以该目录为父目录再次调用主加密函数,然后遍历该文件夹。这个过程会持续多层,直到Babuk遍历了每一个文件夹和文件。
Dong告诉Threatpost:
勒索软件要产生的线程数量通常是将受害者机器上的核心数量增加一倍,然后再分配一个数组来存储所有的线程句柄。
Dong说:
每个进程都有可能创建大量的线程,然而,在理想的情况下,每个处理器最好只运行一个线程,以避免在加密过程中,线程之间相互竞争处理器的时间和资源。
Dong补充说,相比之下,Conti勒索软件就正确地利用了多线程方法,它使每个处理器核心运行一个线程。它的加密速度非常快,只需不到30秒就可以加密C://驱动器。
Windows Restart Manager
Babuk还利用了微软的Windows Restart Manager功能,它能使用户关闭和重启所有应用程序和服务。勒索软件利用的这一功能可以终止任何正在使用文件进程。Dong表示,这可以确保没有任何东西能阻止恶意软件加密文件。
此前,其他常见的勒索软件也曾利用过Windows Restart Manager,包括Conti勒索软件(在2020年7月的一次攻击中被发现)和REvil勒索软件(在2020年5月的新版本中被发现)。
一旦所有文件被加密,Babuk的勒索信息就告诉受害者他们的计算机和服务器已经被加密,并要求受害者使用Tor浏览器与他们联系。
Tripwire安全研究高级总监Lamar Bailey在一封电子邮件中说:
新的勒索软件是在勒索软件攻击持续上升的情况下出现的。自2018年以来,勒索软件攻击数量猛增了350%。在过去的一年里,医疗系统受到勒索软件攻击的情况尤为严重,最近的一份报告称,自11月份以来,针对医疗机构的网络攻击增加了45%。
本文翻译自: https://threatpost.com/ransomware-babuk-locker-large-corporations/162836/如若转载,请注明原文地址。
日前,一个被大量下载的 Node.js 组件被发现其含有一个高危的代码注入漏洞。 该...
近日,土耳其央行行长 NaciAbal 表示,央行已开始进行多项有关数字货币的研究,...
通常情况下,让程序自行结束是最理想的状态。在进程正常进行退出时,会调用ExitP...
比特币的价值是一个复杂的话题,涉及很多方面;然而,它的价值可以归因于几个因素...
任何有效的企业IT安全计划都必须基于某些核心原则。这些安全原则已经经过数十年...
前段时间,微软发布了Microsoft Exchange Server的安全更新公告,其中包括了4个...
作为互联网时代的一种变革性技术区块链已广泛用于金融、物联网、公共服务、供应...
回顾2020年,我们看到了macOS攻击者策略发生了许多改变。这些措施包括转换为Shel...
最近,一份广东省深圳市中级人民法院的(2018)粤03民特719号民事裁定书(下称裁定...
淘系可以拒绝微信,但没有办法拒绝数字货币 对于微信,同为支付企业,支付宝可以...