I. 事件簡介 1. 本事件為教育部一台執行計畫用的 SQL 資料庫主機發生中毒現象 2. 該主機為一台虛擬主機, 所安裝的系統為 Windows Server 2008 R2 系統 3. 該主機在 106 年 4 月底才完成系統建置作業, 主要提供廠商以固定 IP 透過 3389 port 方式從

Size: px

Start display at page:

Download "I. 事件簡介 1. 本事件為教育部一台執行計畫用的 SQL 資料庫主機發生中毒現象 2. 該主機為一台虛擬主機, 所安裝的系統為 Windows Server 2008 R2 系統 3. 該主機在 106 年 4 月底才完成系統建置作業, 主要提供廠商以固定 IP 透過 3389 port 方式從"

诈柳
5 years ago
Views:

1 個案分析 - SQL 資料庫主機感染 Cry36 勒索病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 106 年 7 月

I. 事件簡介 1. 本事件為教育部一台執行計畫用的 SQL 資料庫主機發生中毒現象 2. 該主機為一台虛擬主機, 所安裝的系統為 Windows Server 2008 R2 系統 3. 該主機在 106 年 4 月底才完成系統建置作業, 主要提供廠商以固定 IP 透過 3389 port 方式從遠端連線主機 4. 本單位取得該虛擬主機的樣本後, 以還原系統的方式進行研究分析 II.

2 I. 事件簡介 1. 本事件為教育部一台執行計畫用的 SQL 資料庫主機發生中毒現象 2. 該主機為一台虛擬主機, 所安裝的系統為 Windows Server 2008 R2 系統 3. 該主機在 106 年 4 月底才完成系統建置作業, 主要提供廠商以固定 IP 透過 3389 port 方式從遠端連線主機 4. 本單位取得該虛擬主機的樣本後, 以還原系統的方式進行研究分析 II. 事件檢測 1. 以使用者身分登入後, 桌面出現 ALL YOUR FILES ARE ENCRYPTED 所有檔案已被加密的桌布圖片, 所有被加密的檔案之副檔名皆為.s79ob, 若以管理者身分登入系統, 無法看到這些資訊 2. 從被加密的檔案名稱觀察, 其檔案名稱範例如下 : 原檔案名稱.id _[mk.predator@aol.com].s79ob, 發現其檔案命名方式與 Cry36 勒索病毒相似, 皆包含受害者的識別 id 犯罪者的電子郵件地址和 5 個隨機字母與數字混合延伸的副檔名 1

3. 以 Nmap 工具檢視受測主機對外的連接埠資訊, 發現 135 139 445 1433 2383

以 Currports 工具檢測, 發現有三個 IP 位址 122.114.51.141 221.236.172.

14 對受測主機進行 1433 port 大量連線, 查詢這三個 IP 來源位址發現皆來自於中國大陸,

3 3. 以 Nmap 工具檢視受測主機對外的連接埠資訊, 發現與 49152~49156 等 11 個連接埠為開啟狀態 4. 以 Currports 工具檢測, 發現有三個 IP 位址與對受測主機進行 1433 port 大量連線, 查詢這三個 IP 來源位址發現皆來自於中國大陸, 又發現有另一個來自荷蘭的 IP: 與中國 IP: 試圖透過 3389port 對受測主機進行連線, 可見這兩個 port 容易變成外部電腦攻擊的管道, 建議管理者檢視這兩個 port 開啟之用途 2

4 5. 從 Process Explorer 檢視背景程式, 發現程式 sqlservr.exe 開啟 1433 port, 該 Port 一般為 SQL 資料庫遠端管理連線用, 而 svchost.exe 開啟 3389 port 3

6. 從 Hosts 檔案中發現到一個 IP:192.0.20.200, 對應到 serverprotect 的網域, 經檢查該 IP 屬於美國加州 7.

194( 美國加州 ) 202.137.10.190( 印尼雅加達 ) 184.105.139.67( 美國加州 ) 185.129.148.234( 拉脫維亞裡加 ) 184.105.247.196( 美國加州 ) 74.82.47.5( 美國加州 ) 185.

5 6. 從 Hosts 檔案中發現到一個 IP: , 對應到 serverprotect 的網域, 經檢查該 IP 屬於美國加州 7. 從事件檢視紀錄發現, 從 106 年 6 月 2 日開始該主機陸續出現下列可疑 IP 的連線 : ( 俄羅斯莫斯科 ) ( 美國加州 ) 連線 3 次 ( 美國加州 ) ( 印尼雅加達 ) ( 美國加州 ) ( 拉脫維亞裡加 ) ( 美國加州 ) ( 美國加州 ) ( 荷蘭阿姆斯特丹 )2 次 ( 美國加州 ) ( 荷蘭阿姆斯特丹 ), 其中在 106 年 6 月 4-8 日期間有許多帳戶無法登入訊息, 所使用的帳戶名稱多達數十種, 如 LOVE DOCUMENTS CAD JIAZHEN, 可見駭客攻擊行為 4

8. 從被加密的檔案方面觀察, 發現主機內所有資料夾 ( 含桌面 ) 都出現一個名為 ###DECRYPT MY

透過 LastActivityView 工具, 發現在 106 年 6 月 8 日上午 5:08 至 5:10

6 8. 從被加密的檔案方面觀察, 發現主機內所有資料夾 ( 含桌面 ) 都出現一個名為 ###DECRYPT MY FILES###.txt 的文字檔, 此與 Cry36 勒索病毒的特徵相同, 而且所有被加密的檔案建立日期與修改日期皆介於 106 年 6 月 8 日上午 5:09 至上午 5:10 之間, 推測為駭客攻擊時間 9. 透過 LastActivityView 工具, 發現在 106 年 6 月 8 日上午 5:08 至 5:10 期間有短暫兩分鐘的使用者登入登出紀錄, 與主機內檔案被加密的時間相同, 查看事件檢視器之遠端桌面連線管理紀錄, 發現在 106 年 6 月 8 日上午 5:08 有來自盧森堡 IP: 之遠端連線, 以使用者名稱 yuntechdb 成功登入, 推測為駭客登入時間 5

10. 使用 Redline 工具檢視測試主機 Event logs 紀錄, 發現從主機系統建置完成後, 陸續有下列可疑 IP 透過遠端桌面服務 (RDP) 方式登入系統, 可疑 IP 詳列如下 : 185.70.186.152( 荷蘭 ) 82.192.

234( 拉脫維亞 ) 46.105.107.107( 法國 ) 188.42.253.90( 中國 ) 178.137.89.8( 烏克蘭 ) 94.242.252.

7 10. 使用 Redline 工具檢視測試主機 Event logs 紀錄, 發現從主機系統建置完成後, 陸續有下列可疑 IP 透過遠端桌面服務 (RDP) 方式登入系統, 可疑 IP 詳列如下 : ( 荷蘭 ) ( 荷蘭 ) ( 荷蘭 ) ( 荷蘭 ) ( 荷蘭 ) ( 荷蘭 ) ( 俄羅斯 ) ( 拉脫維亞 ) ( 法國 ) ( 中國 ) ( 烏克蘭 ) ( 盧森堡 ) 另外, 也發現有 3 個可疑 IP 有遠端桌面服務 : 使用者驗證成功紀錄, 分別是以管理者身分登入的美國 IP: 與中國 IP: , 以及以使用者身分登入的盧森堡 IP: ( 駭客所用 IP), 由上列 IP 中發現荷蘭 IP: 在 6

8 檢測該主機期間有再次連線狀況, 又檢視受測主機發現其防火牆功能未啟動, 由以上紀錄可以得知該受測主機的 RDP 連線設定與密碼強度需再加強, 以免駭客再次入侵 11. 在 ###DECRYPT MY FILES### 的文字檔中, 在贖金部分沒有說明為了獲得 Nemesis 解密器應該支付多少錢相反地, 它建議寫信到罪犯的電子郵件信箱或來獲取說明, 此勒索手法與 Cry36 病毒特徵相同 7

12. 為了瞭解 mk.predator@aol.com 與 mk.predator@inbox.

com 信箱馬上收到駭客回信, 詢問有多少台電腦被加密, 並且告知受害者要付 2 個比特幣 ( 約台幣 12 萬元 ) 與付款方式,

9 12. 為了瞭解與兩個信箱是否還活動著, 故寄信給到上列兩個信箱, 並隨信附上 personal ID, 其中信箱馬上收到駭客回信, 詢問有多少台電腦被加密, 並且告知受害者要付 2 個比特幣 ( 約台幣 12 萬元 ) 與付款方式, 駭客也告訴受害者為了確認解密的 key 是有效的, 可以免費解密一個檔案另外, 從駭客回信的 Mail 中, 發現到其來源 IP: 為來自俄羅斯的 IP 8

13. 將 ###DECRYPT MY FILES### 文字檔與被加密的檔案上傳至勒索病毒辨別網站

com), 檢測結果為 Cry36 勒索病毒 14. 在下載資料夾內, 發現一個可疑執行檔 svchost.

10 13. 將 ###DECRYPT MY FILES### 文字檔與被加密的檔案上傳至勒索病毒辨別網站 ( 檢測結果為 Cry36 勒索病毒 14. 在下載資料夾內, 發現一個可疑執行檔 svchost.exe, 其建立日期與修改日期皆為 106 年 6 月 8 日上午 5:10, 與主機內檔案被加密的時間相同將 svchost.exe 上傳至 virustotal 檢測, 其為惡意程式的比率 5/61, 雖然不高但有 5 家防毒公司認為其為木馬程式另外,svchost.exe 為 Windows 系統中常用的服務啟動程序之執行檔, 它只能提供條件讓其他服務在這裡被啟動, 而它自己本身卻不能給使用者提供任何服務, 通常位 9

$於 Windows\system32 目錄下, 在此受測主機內卻在下載資料夾中, 推測可能曾被駭客用來啟動某種的服務程序 15. 透過 Autoruns 工具檢視, 發現在 C:\windows\syswow64\drivers\ 資料夾中有 9 個驅動程式的系統檔案遺失, 遺失的檔案有 amdide.sys brfiltup.sys errdev.sys hidbatt.$

11 於 Windows\system32 目錄下, 在此受測主機內卻在下載資料夾中, 推測可能曾被駭客用來啟動某種的服務程序 15. 透過 Autoruns 工具檢視, 發現在 C:\windows\syswow64\drivers\ 資料夾中有 9 個驅動程式的系統檔案遺失, 遺失的檔案有 amdide.sys brfiltup.sys errdev.sys hidbatt.sys qd260x64.sys ipmidrv.sys lsi_scsi.sys peauth.sys 與 sfloppy.sys 此外, 也發現下列 4 個檔案遺失, 分別是 C:\windows\syswow64\scext.dll C:\windwos\syswow64\ie4unit.exe C:\localweb\tps\TPS_server2\DO\DO 排程 \DO 加密.exe 與 C:\Program Files(x86)\Common Files\Symantec Shared\EENGINE\cc.SvcHst.exe /h cccommon, 其中在 Task Scheduler 項目中之 C:\localweb\tps\TPS_server2\DO\DO 排程 \DO 加密.exe 非一般常見檔案, 推測可能為駭客所用執行檔 10

12 16. 使用 Process Explorer 觀察是否有惡意程式執行中, 但無法找到惡意程式活動狀態, 又使用惡意程式檢測軟體掃描整台受測主機也無法掃出惡意程式, 推測可能在駭客執行完加密程序後就將惡意程式刪除 11

13 III. 網路架構圖 1. 駭客透過 RDP 方式登入系統 2. 植入惡意程式於受害主機 3. 惡意程式掃描系統, 並用兩種加密演算法對受害主機內所有文件進行加密 4. 加密完成後置換使用者桌布, 並在每個資料夾中產生一個 ###DECRYPTMYFILES###.txt 文字檔 5. 刪除惡意程式與消除系統還原點的影子副本 IV. 建議與總結 1. 經檢測結果判斷本受測主機感染 Cry36 勒索病毒, 通常 Cry36 病毒滲透入主機後, 會掃描所有本機內磁碟機在網路上分享的磁碟機與其他連接主機的外接記憶體裝置, 之後對電腦內所有文件進行加密, 雖然 Cry36 的加密方式複雜, 但不會損壞移動或刪除文件 12

14 2. 由於 Cry36 病毒會消除系統還原點的影子副本, 加上加密是使用兩種加密演算法對電腦內檔案加密, 所以沒有私鑰基本上是無法救回檔案 3. 目前尚無有效的解密程式可將被加密的檔案還原, 為有效預防感染 Cry36 勒索病毒, 建議使用者定期做好重要資料備份作業 4. 本受測主機對外開啟 11 個連接埠, 容易使主機變成駭客攻擊入侵的對象, 建議管理者檢視這些連接埠開啟的必要性 5. 本案受測主機被駭客以 RDP 方式侵入, 建議加強密碼強度, 設定含英文及數字組合之 8 位以上的密碼, 並定期變更密碼 6. 檢測時發現該受測主機之防火牆功能未啟動, 建議管理者重新檢視防火牆設定 13

I. 事件簡介年各式勒索病毒攻擊事件頻傳, 而挖礦的攻擊事件也層出不窮, 而在 2018 年 2 月初 MalwareHunterTeam 發現了一個新型態的勒索病毒 Black Ruby 2. 該病毒除了會將電腦內的檔案加密來進行勒索外, 也在受害主機內植入門羅挖礦程式, 因為駭

I. 事件簡介年各式勒索病毒攻擊事件頻傳, 而挖礦的攻擊事件也層出不窮, 而在 2018 年 2 月初 MalwareHunterTeam 發現了一個新型態的勒索病毒 Black Ruby 2. 該病毒除了會將電腦內的檔案加密來進行勒索外, 也在受害主機內植入門羅挖礦程式, 因為駭個案分析 - Black Ruby 挖礦勒索攻擊事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 3 月 I. 事件簡介 1. 2017 年各式勒索病毒攻擊事件頻傳, 而挖礦的攻擊事件也層出不窮, 而在 2018 年 2 月初 MalwareHunterTeam 發現了一個新型態的勒索病毒 Black Ruby 2. 該病毒除了會將電腦內的檔案加密來進行勒索外, 也在受害主機內植入門羅挖礦程式,