2017 年 03 月鼠尾草 Sage 2.0 勒索软件样本信息通告 2017 年 03 月 20 日稿检测产品本部版权所有

Size: px

Start display at page:

砾阙
4 years ago
Views:

2 目录一. 核心结论... 3 二. 鼠尾草 Sage 勒索攻击分析报告恶意样本报警信息恶意样本分析报告 - 快速检测部分恶意样本分析报告 - 深度检测部分... 4 三. 鼠尾草 Sage 勒索攻击技术分析基本信息执行结果技术分析... 8 四. 启明星辰 APT 检测产品介绍什么是 APT 攻击启明星辰 APT 检测产品解决思路... 14

一. 核心结论 Sage 勒索攻击是最近活跃于我国各大政府机关金融机构电信运营商企事业单位的一款新型勒索攻击变种, 属于 CryLocker 勒索攻击家族的成员, 从技术角度分析,Sage 与我们早先披露的 Cerber Locky Tesla Spora 勒索攻击手段类似, 应属于同一家族所为 Sage 勒索攻击也是借助邮件进行传播, 在邮件中嵌套一个包含恶意的 zip 压缩文件,

3 一. 核心结论 Sage 勒索攻击是最近活跃于我国各大政府机关金融机构电信运营商企事业单位的一款新型勒索攻击变种, 属于 CryLocker 勒索攻击家族的成员, 从技术角度分析,Sage 与我们早先披露的 Cerber Locky Tesla Spora 勒索攻击手段类似, 应属于同一家族所为 Sage 勒索攻击也是借助邮件进行传播, 在邮件中嵌套一个包含恶意的 zip 压缩文件, 一般情况下,zip 压缩文件包含了一份 Word 宏文档, 当用户不慎点开压缩文件, 便会自动执行下载及安装 Sage 勒索软件运行 Sage 勒索软件后, 用户会被不断要求点击 YES 窗口按钮, 直到 Sage 勒索攻击软件运行完毕为止与 Cerber Locky Tesla Spora 攻击方式不同的是,Sage 勒索软件会对全盘文件进行加密, 被加密过的文件名以.sage 结尾我们取 Sage 英文单词中鼠尾草 ( 可用作调料 ) 的中文释义, 命名此类攻击为鼠尾草 Sage 勒索攻击遭受鼠尾草 Sage 勒索攻击的用户, 会有文件恢复指南的提示, 并且支持十二种语言, 用户需要根据恢复指南进行操作, 或者根据攻击者提供的赎金页面, 让受害者去 Tor 网络页面支付赎金针对鼠尾草 Sage 勒索攻击,APT 检测产品能够精准检测, 无需进行产品升级我们也建议用户应该对此变种攻击行为给予足够重视, 不要轻易打开陌生人的邮件, 尤其是主题和附件包含工资报销发票等字样的邮件, 更不要随意打开邮件附件中的压缩包或应用程序如您购买了我司 APT 检测产品, 我们将为您免费提供安全巡检和样本分析服务, 排查每一处可能的网络安全隐患, 分析每一个可能的未知威胁样本详情请咨询当地销售, 或发送邮件至 venuseye@venusgroup.com.cn 申请

4 二. 鼠尾草 Sage 勒索攻击分析报告 2.1 恶意样本报警信息 2.2 恶意样本分析报告 - 快速检测部分值得注意的是, 鼠尾草 Sage 勒索攻击的用户, 防病毒类检测手段可能无法检测 2.3 恶意样本分析报告 - 深度检测部分进程入侵

5 尝试读取系统进程内存反虚拟机

6 威胁行为

7 三. 鼠尾草 Sage 勒索攻击技术分析 3.1 基本信息 MD5 样本大小????a47e c4d8???c6fdad379c 345KB 3.2 执行结果 0x01: 该病毒样本执行后会对文件进行加密, 加密后将显示如下信息 : 0x02: 每个被加密的文件下包含一个!Recovery_IVV.html 文件, 其内容如下 :

8 0x03: 被加密的文件后缀均为.sage 3.3 技术分析 0x01: 样本主功能逻辑如下 :

9 0x02: 该样本首先进行初始化工作 0x03: 测试中包含的参数功能, 其参数为 d, 应该是调试分析时用的

10 0x04: 如果参数为 g, 实现进程守护, 如父进程被结束, 将重新启动 0x05: 通过互斥量, 确保单实例执行 0x06: 区域检查, 排除以下几个国家 ( 白俄罗斯, 哈萨克斯坦, 俄罗斯, 乌克兰, 乌兹别克斯坦 )

11 0x07: 通过 maps.googleapis.com 尝试获取地理信息, 以及 mac, ssid 等信息 0x08: 自删除模块 0x09: 判断文件标志是否存在, 如果不存在对文件进行加密

12 0x10: 对如下类型文件进行加密, 被加密文件添加 sage 后缀.dat.mx0.cd.pdb.xqx.old.cnt.rtp.qss.qst.fx0.fx1.ipg.ert.pic.img.cur.fxr.slk.m4u.mpe.mov.wmv.mpg.vob.mpeg.3g2.m4v.avi.mp4.flv.mkv.3gp.asf.m3u.m3u8.wav.mp3.m4a.m.rm.flac.mp2.mpa.aac.w ma.djv.pdf.djvu.jpeg.jpg? ar.zip.arc.paq.bak.set.back.std.vmx.vmdk.vdi.qcow.ini.accd.db.sqli.sdf.mdf.myd.frm.odb.myi.dbf.i ndb.mdb.ibd.sql.cgn.dcr.fpx.pcx.rif.tga.wpg.wi.wmf.tif.xcf.tiff.xpm.nef.orf.ra.bay.pcd.dng.ptx.r3d. raf.rw2.rwl.kdc.yuv.sr2.srf.dip.x3f.mef.raw.log.odg.uop.potx.potm.pptx.rss.pptm.aaf.xla.sxd.pot.e ps.as3.pns.wpd.wps.msg.pps.xlam.xll.ost.sti.sxi.otp.odp.wks.vcf.xltx.xltm.xlsx.xlsm.xlsb.cntk.xlw.xl t.xlm.xlc.dif.sxc.vsd.ots.prn.ods.hwp.dotm.dotx.docm.docx.dot.cal.shw.sldm.txt.csv.mac.met.wk3.wk4.uot.rtf.sldx.xls.ppt.stw.sxw.dtd.eml.ott.odt.doc.odm.ppsm.xlr.odc.xlk.ppsx.obi.ppam.text.doc b.wb2.mda.wk1.sxm.otg.oab.cmd.bat.h.asx.lua.pl.as.hpp.clas.js.fla.py.rb.jsp.cs.c.jar.java.asp.vb.vbs.asm.pas.cpp.xml.php.plb.asc.lay6.pp4.pp5.ppf.pat.sct.ms11.lay.iff.ldf.tbk.swf.brd.css.dxf.dds. efx.sch.dch.ses.mml.fon.gif.psd.html.ico.ipe.dwg.jng.cdr.aep.aepx.123.prel.prpr.aet.fim.pfb.ppj.in dd.mhtm.cmx.cpt.csl.indl.dsf.ds4.drw.indt.pdd.per.lcd.pct.prf.pst.inx.plt.idml.pmd.psp.ttf.3dm.ai. 3ds.ps.cpx.str.cgm.clk.cdx.xhtm.cdt.fmv.aes.gem.max.svg.mid.iif.nd.2017.tt20.qsm aif.qbw.qbb.qbm.ptb.qbi.qbr.2012.des.v30.qbo.stc.lgb.qwc.qbp.qba.tlg.qbx.qby.1pa.ach.qpd.g db.tax.qif.t14.qdf.ofx.qfx.t13.ebc.ebq.2016.tax2.mye.myox.ets.tt14.epb.500.txf.t15.t11.gpc.qtx.itf.tt13.t10.qsd.iban.ofc.bc9.mny.13t.qxf.amj.m14._vc.tbp.qbk.aci.npc.qbmb.sba.cfp.nv2.tfx.n43.let.tt dac.slp.qb20.saj.zdb.tt15.ssg.t09.epa.qch.pd6.rdy.sic.ta1.lmr.pr5.op.sdy.brw.vnd.esv.kd3.vmb.qph.t08.qel.m12.pvc.q43.etq.u12.hsr.ati.t00.mmw.bd2.ac2.qpb.tt11.zix.ec8.nv.lid.qmtf.hif.lld.quic.mbsb.nl2.qml.wac.cf8.vbpf.m10.qix.t04.qpg.quo.ptdb.gto.pr0.vdf.q01.fcr.gnc.ldc.t05.t06.t om.tt10.qb1.t01.rpf.t02.tax1.1pe.skg.pls.t03.xaa.dgc.mnp.qdt.mn8.ptk.t07.chg.#vc.qfi.acc.m11.k b7.q09.esk.09i.cpw.sbf.mql.dxi.kmo.md.u11.oet.ta8.efs.h12.mne.ebd.fef.qpi.mn5.exp.m16.09t.00 c.qmt.cfdi.u10.s12.qme.int?.cf9.ta5.u08.mmb.qnx.q07.tb2.say.ab4.pma.defx.tkr.q06.tpl.ta2.qob. m15.fca.eqb.q00.mn4.lhr.t99.mn9.qem.scd.mwi.mrq.q98.i2b.mn6.q08.kmy.bk2.stm.mn1.bc8.pfd. bgt.hts.tax0.cb.resx.mn7.08i.mn3.ch.meta.07i.rcs.dtl.ta9.mem.seam.btif.11t.efsl.$ac.emp.imp.fxw.sbc.bpw.mlb.10t.fa1.saf.trm.fa2.pr2.xeq.sbd.fcpa.ta6.tdr.acm.lin.dsb.vyp.emd.pr1.mn2.bpf.mws. h11.pr3.gsb.mlc.nni.cus.ldr.ta4.inv.omf.reb.qdfx.pg.coa.rec.rda.ffd.ml2.ddd.ess.qbmd.afm.d07.vy r.acr.dtau.ml9.bd3.pcif.cat.h10.ent.fyc.p08.jsd.zka.hbk.mone.pr4.qw5.cdf.gfi.cht.por.qbz.ens.3pe.pxa.intu.trn.3me.07g.jsda.2011.fcpr.qwmo.t12.pfx.p7b.der.nap.p12.p7c.crt.csr.pem.gpg.key

13 0x11: 删除卷影备份 0x12: 通过计划任务添加用户登录自启动

14 四. 启明星辰 APT 检测产品介绍 4.1 什么是 APT 攻击 APT 攻击之所以称之为高级持续威胁, 是因为攻击本身复杂多维度, 手段变化多样, 隐藏技术运用多, 这让传统的网络安全设备诸如防火墙入侵检测入侵防御防病毒网关上网行为管理等网关型安全设备难以招架, 因此, 基于环境模拟的检测技术手段可以填补威胁不可定义的技术空白, 使未知恶意代码和嵌套式攻击隐秘通道等新形势下的攻击形态无处遁形启明星辰 APT 检测产品是根植于数十年协议分析和文件还原的技术积累基础上, 结合用户对于未知威胁的检测迫切性需求, 研发的一款创新型检测产品对于诸如方程式攻击黑暗力量 H-worm 远控木马分析等这样的 APT 攻击, 设备无需添加入侵特征库无需定制开发即可精确检测此类攻击, 是用户应对 APT 攻击的不二选择用户可以通过启明星辰 APT 检测产品, 精确检测高级持续性威胁, 快速发现未知漏洞 (0-day), 准确定位失陷主机或用户 4.2 启明星辰 APT 检测产品解决思路针对高级持续性威胁的攻击特点, 通过部署启明星辰 APT 检测产品, 可以对多种未知威胁攻击事件进行有效的检测和防范产品可以直接将含有该攻击样本的文件在虚拟的环境学模拟运行, 避免恶意代码在真实环境中释放, 有效规避 APT 攻击的可能性启明星辰 APT 检测产品, 作为一款针对恶意代码等未知威胁具有细粒度检测效果的专业安全产品, 可实现包括对 : 未知恶意代码检查嵌套式攻击检测木马蠕虫病毒识别隐秘通道检测等多类型未知漏洞 (0-day) 利用行为的检测, 由公司独立自主研发系列采用国内领先的双重检测方法 ( 静态检测和动态检测 ), 多种核心检测技术手段 : 二进制检查堆喷检测 ROP 利用检测敏感 API 检测堆栈检测 Shell code 检查沙箱检查等, 可以检测出 APT 攻击的核心步骤, 同时, 产品可结合人工服务, 有效发现网络 APT 攻击见图 :

目录一. 前言... 3 二. 多种应对措施可供选择天阗 APT 检测系统, 精确检测 Locky 密锁敲诈勒索攻击天清入侵防御系统, 精确阻断 Locky 密锁敲诈勒索攻击 FlowEye 系统, 发现 Locky 密锁敲诈勒索攻击...

目录一. 前言... 3 二. 多种应对措施可供选择天阗 APT 检测系统, 精确检测 Locky 密锁敲诈勒索攻击天清入侵防御系统, 精确阻断 Locky 密锁敲诈勒索攻击 FlowEye 系统, 发现 Locky 密锁敲诈勒索攻击... 2016 年 3 月 Locky 密锁敲诈勒索攻击样本分析通告 VenusEye 安全团队网络威胁全面检测目录一. 前言... 3 二. 多种应对措施可供选择... 4 2.1 天阗 APT 检测系统, 精确检测 Locky 密锁敲诈勒索攻击... 4 2.2 天清入侵防御系统, 精确阻断 Locky 密锁敲诈勒索攻击... 5 2.3 FlowEye 系统, 发现 Locky 密锁敲诈勒索攻击...

2017 年 03 月 鼠尾草 Sage 2.0 勒索软件样本 信息通告 2017 年 03 月 20 日稿 检测产品本部版权所有

2017 年 03 月鼠尾草 Sage 2.0 勒索软件样本信息通告 2017 年 03 月 20 日稿检测产品本部版权所有