個案分析 - 會透過 SPAM 郵件入侵的 Zepto 勒索病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2016/9

Size: px

Start display at page:

Download "個案分析 - 會透過 SPAM 郵件入侵的 Zepto 勒索病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2016/9"

呼蝠化
5 years ago
Views:

1 個案分析 - 會透過 SPAM 郵件入侵的 Zepto 勒索病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2016/9

2 I. 事件簡介 1. 近年因為虛擬貨幣越來越普及, 順勢助長了加密勒索病毒盛行, 台灣的受害單位更不計其數, 企業政府或醫院都深受其害 2. 除了一般企業會遭受加密勒索病毒攻擊, 政府單位或學術單位也成為被攻擊的對象, 很多都是透過瀏覽器漏洞或 SPAM 郵件感染 3. 此類加密勒索共同點都是以比特幣為贖金的支付方式, 因為比特幣的匿名性可以輕易規避金流追查, 更成為犯罪組織喜愛的使用方式 4. 此例為社交工程 SPAM 郵件攻擊, 多以帳單或設備文件檢查為主旨, 並夾帶 zip 的病毒檔案 II. 事件檢測 1. 使用 VM 虛擬主機並且為 Windows 7(32 bit) 系統進行隔離環境測試 2. 惡意程式 zip 解壓縮之後會有三個附檔名為 js 的檔案, 雖然並非常見的 exe 執行檔,js 事實上是用 javascript 撰寫的執行檔案 3. 透過 Virustotal 線上掃毒, 該二個 JS 執行檔病毒的檢測比例 9/56, 為 Locky 家族變種的加密勒索軟體, 且偵測比例不算太高 1

3 4. 首先執行 js 的檔案, 系統會使用系統程式 Wscript.exe 去執行 java script 5. 透過 procexp 工具查看背景程式執行狀態, 可以看到 WScript.exe 會呼叫 rundll32.exe, 建立並執行位於 C:\~\local\temp\ 的惡意程式 7pFonKtg7.dll 2

4 6. 透過 Virustotal 掃描該 DLL 檔案, 確認該檔案為偵測比例 40/58 的惡意程式, 並被幾家防毒廠商判定為 ransomware 7. 惡意程式最主要的行為之一就是會有對外的網路連線產生, 因此查看程式 rundll32.exe 的網路狀態可以發現, 確實有正在對外部 :http 的網路連線, 該 IP 位址位於 UA 的國家烏克蘭 3

當所有磁碟內部或外部的關聯檔案都被加密後, 在桌面會跳出一個圖片檔 _HELP_instructions.

5 8. 使用 Cports 查看所有網路連線狀態, 也能觀察到該程式除了有對外 IP 建立連線, 也會針對內部網段其他 IP 進行 scan 動作, 判斷為找尋可存取的網路檔案進行檔案加密 9. 當所有磁碟內部或外部的關聯檔案都被加密後, 在桌面會跳出一個圖片檔 _HELP_instructions.bmp 以及一個 _HELP_instructions.html 說明檔, 主要內容是引導後害者如何進行繳付勒索贖金, 此時發現所有可開啟文件都已經無法開啟 4

6 10. 此時隨意開啟資料夾查看原有文件檔, 發現所有文件檔的確檔案名稱都被置換為主機識別 ID 及編碼, 而副檔名改為 zepto, 為 locky 病毒的變種型 11. 根據引導說明檔的內容操作, 勒索的網址必須透過 Tor 的匿名網路瀏覽器去開啟, 無法使用一般 DNS 解析出正常 IP, 而這是駭客很常用來規避 IP 追蹤的方法之一 5

12. 此例開啟特殊 onion 網域位址後看到至少經過三次的 Relay IP, 才轉

7 12. 此例開啟特殊 onion 網域位址後看到至少經過三次的 Relay IP, 才轉跳至未知的目的地 onion site 13. 透過 Tor 瀏覽器成功開啟網址後, 出現的是簡體中文的 Locky Decryptor 網頁, 意思是受害者必須向該網站購買解密的金鑰程式, 才能還原被加密過的檔案, 並且必須透過以比特幣作為支付方式, 將 0.5 BTC 付款至指定位址, 大約是新台幣元 14. 駭客為了希望能夠提高成功率, 還特地引導教學受害者如何購買取得比特幣, 根據受害者所在國家不同也有不同的取得方式 6

8 15. 因為比特幣的錢包地址具有完整的匿名性及不可被否認性, 一旦支付出去就無法追討回來, 也無法知道帳號擁有者身分, 所以比特幣成為犯罪組織最愛的交易工具 16. 從網路封包中可以看到, 主機感染惡意程式後 WScript.exe 會先連到美國的中繼站網址 malwinstall.wang, 並且透過 HTTP GET 方式下載 165KB 檔案 ezr08tjd, 判斷為加密用的公鑰 7

17. 解析網域名稱 malwinstall.wang 後得知該網域有兩個正解 IP 為 107.173.176.

當主機檔案被加密完成後, 惡意程式 7pFonKtg7.dll 透過 rundll32.exe 開始向烏克蘭的 C&C 91.

9 17. 解析網域名稱 malwinstall.wang 後得知該網域有兩個正解 IP 為和 , 網站畫面只有簡單的 LOGO, 判斷用來提供感染主機存取加密公鑰 18. 當主機檔案被加密完成後, 惡意程式 7pFonKtg7.dll 透過 rundll32.exe 開始向烏克蘭的 C&C 進行連線, 並使用 HTTP POST 方式上傳 urlencoded 的加密內容至 /data/info.php, 研判 8

10 為解密所需的私鑰 19. 當主機向上層 C&C 送出私鑰後, 惡意程式開始對內部區域網路進行 netbios 的存取, 並嘗試針對能夠存取的共享資料夾進行加密, 若有連接網路磁碟或 NAS 就有可能遭受破壞 9

11 III. 網路架構圖 STEP 6 接收 Bitcoin STEP 7.1 解密私鑰贖回贖金網站 onion/ec3737b6c31be444 持續監控駭客發送 SPAM 郵件 STEP 5 支付 Bitcoin 0.5BTC 中繼站 Malwinstall.wang:80 STEP 2 下載加密公鑰 HTTP GET 同網段主機共享資料夾 STEP 4 Netbios Scan 加密存取檔案烏克蘭.C&C :80 STEP 3 回傳解密私鑰 HTTP POST SPAM 郵件 Javascript 檔案 STEP 1 感染惡意程式美國 - 中繼主機 STEP 5 Tor Browser 匿名網路受害者檔案被加密勒索 STEP 7.2 解開加密檔案?? 1. 使用者透過 SPAM 郵件攻擊感染 Zepto 的加密勒索病毒 2. 主機感染後先向中繼站下載加密用的公鑰 3. 主機向烏克蘭的 C&C 主機回傳加密的私鑰 4. 感染主機開始向同網段的共享資料夾掃描存取並且加密檔案 5. 受害者必須透過 Tor Browser 使用中繼主機進入匿名網路 6. 開啟了贖金網站, 若是選擇付款則需要用 Bitcoin 支付 0.5BTC 7. 駭客收到 Bitcoin 贖金後理論上會將解密私鑰 Decryptor 給受害者 8. 受害者利用解密私鑰 Decryptor 進行解密並有可能還原檔案 IV. 建議與總結 1. 使用者透過 SPAM 郵件遭受感染 Locky 的變種 Zepto 加密勒索病毒 2. 主機一旦被感染後, 惡意程式會開始加密本機磁碟和網路資料夾中的文件檔圖片檔和影音檔案 3. 惡意程式隨後會跳出網頁和文件資訊, 引導受害者如何去支付贖金來取得 10

12 解密私鑰 4. Zepto 病毒號稱使用 RSA-2048 和 AES-128 加密, 因為沒有私鑰基本上是無法救回檔案, 建議使用者要定期備份重要資料避免無法挽回 5. 理論上付了贖金給駭客, 取得解密私鑰及工具就能解開, 然而也無法保證能成功救回檔案, 可能導致檔案遺失又損失金錢 6. 目前該 Zepto 病毒尚未有防毒軟體廠商製作出免費的解密工具 7. 此病毒主要透過 SPAM 郵件感染, 有別於傳統的 EXE 檔案, 務必安裝防毒軟體多能偵測抵擋此類病毒攻擊 11

個案分析 - 綁架勒索電腦檔案的惡意程式事件分析報告 TACERT 臺灣學術網路危機處理中心團隊製 2015/9

個案分析 - 綁架勒索電腦檔案的惡意程式事件分析報告 TACERT 臺灣學術網路危機處理中心團隊製 2015/9 個案分析 - 綁架勒索電腦檔案的惡意程式事件分析報告 TACERT 臺灣學術網路危機處理中心團隊製 2015/9 I. 事件簡介 1. 近年來惡意程式越來越多樣化, 以往都只是感染主機成為中繼站或殭屍電腦, 但另一種的惡意程式卻會破壞使用者的檔案資料, 並且勒索使用者相當的金額, 造成嚴重損害 2. 學術網路中的確有部分主機遭受過惡意勒索軟體 (ransomware) 的侵害, 然而往往找不出明確的感染途徑及惡意程式樣本

個案分析 - 會透過 SPAM 郵件入侵的 Zepto 勒索病毒事件分析報告 臺灣學術網路危機處理中心團隊 (TACERT) 製 2016/9

個案分析 - 會透過 SPAM 郵件入侵的 Zepto 勒索病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 2016/9