I. 事件簡介年各式勒索病毒攻擊事件頻傳, 而挖礦的攻擊事件也層出不窮, 而在 2018 年 2 月初 MalwareHunterTeam 發現了一個新型態的勒索病毒 Black Ruby 2. 該病毒除了會將電腦內的檔案加密來進行勒索外, 也在受害主機內植入門羅挖礦程式, 因為駭

Size: px

Start display at page:

Download "I. 事件簡介年各式勒索病毒攻擊事件頻傳, 而挖礦的攻擊事件也層出不窮, 而在 2018 年 2 月初 MalwareHunterTeam 發現了一個新型態的勒索病毒 Black Ruby 2. 該病毒除了會將電腦內的檔案加密來進行勒索外, 也在受害主機內植入門羅挖礦程式, 因為駭"

弃屈
6 years ago
Views:

1 個案分析 - Black Ruby 挖礦勒索攻擊事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 107 年 3 月

2 I. 事件簡介年各式勒索病毒攻擊事件頻傳, 而挖礦的攻擊事件也層出不窮, 而在 2018 年 2 月初 MalwareHunterTeam 發現了一個新型態的勒索病毒 Black Ruby 2. 該病毒除了會將電腦內的檔案加密來進行勒索外, 也在受害主機內植入門羅挖礦程式, 因為駭客考量若被勒索的受害者不支付贖金, 至少可將受害主機拿來進行挖礦, 以獲取門羅幣 3. 為了瞭解該類型資安事件的觸發原因與攻擊行為, 本中心取得樣本後進行檢測 II. 事件檢測 1. 首先, 在檢測之前, 我們將病毒樣本 daea4b5ea119786d996f fa0bdbb8f9e9fcc184a89d0d0cb85e.e xe 送至 Virustotal 網站檢測, 發現其惡意比例高達 50/66, 其中有許多防毒軟體公司稱它為 BlackRuby 勒索病毒, 而知名的 Fortinet 與 Symantec 公司稱它為 CoinMiner 與 Downloader 1

3 2. 在 Win 10 作業系統環境下, 我們進行環境隔離檢測檢視該病毒的檔案內容, 發現它原檔名為 Windows Defender.exe, 名稱與微軟公司的防毒軟體名稱相同, 表示該病毒可能偽裝成防毒軟體來吸引使用者執行它 3. 以一般使用者權限執行此病毒程式後, 發現該病毒會呼叫兩個名稱相同的程式 svchost.exe 來執行, 而且 CPU 使用率衝至 100%, 呈現挖礦現象, 但受測主機內無任何檔案被加密之情形發生 2

4. 相關報導顯示駭客可能透過遠端桌面服務 (Remote Desktop Services) 方式入侵到受害主機內安裝惡意程式 BlackRuby, 故推測在執行此病毒時, 駭客可能以系統管理者權限執行程式, 因此, 我們以系統管理者權限來執行此病毒 5. 檢視病毒執行後對外連線情形, 發現它會先連線到美國 IP:104.25.149.25:80, 接著會陸續連線到烏克蘭 IP:94.130.

4 4. 相關報導顯示駭客可能透過遠端桌面服務 (Remote Desktop Services) 方式入侵到受害主機內安裝惡意程式 BlackRuby, 故推測在執行此病毒時, 駭客可能以系統管理者權限執行程式, 因此, 我們以系統管理者權限來執行此病毒 5. 檢視病毒執行後對外連線情形, 發現它會先連線到美國 IP: :80, 接著會陸續連線到烏克蘭 IP: :3333, port 3333 為挖礦常用 port, 可見該 IP 可能為一個礦池 6. 追蹤 IP: 之網路封包, 發現該 IP 對應到主機 :freegeoip.net, 表示受測主機查詢而且連線過程中會告訴對方受測主機的 IP 位置 country_code 與 country_name 3

$exe 存在於 C:\Windows\System32\ 新建的資料夾 BlackRuby 內, 而且是 XMRig CPU miner 的挖礦程式, 在 Command$

5 7. 檢視受測主機背景程式執行情形, 發現該病毒執行後會呼叫程式 Svchost.exe, 而程式 Svchost.exe 執行後會呼叫程式 conhost.exe 從 Svchost.exe 的內容可以得知 Svchost.exe 存在於 C:\Windows\System32\ 新建的資料夾 BlackRuby 內, 而且是 XMRig CPU miner 的挖礦程式, 在 Command 內容可以看到其礦池為 de01.supportxmr.com:3333 與其錢包帳戶的資訊 8. 檢視網路封包內容, 發現受測主機傳送礦池的登入帳戶資訊與受測主機名稱給礦池, 但是回傳顯示錯誤訊息, 表示這個帳戶在這個礦池的運用被限制了接著觀察受測主機是否有 CPU 資源使用率衝高之現象, 但發現無挖礦行為產生 4

$exe 與 Svchost.exe 到 C:\Windows\System32\BlackRuby 的資料夾內 11.$ $檢視 C:\Windows\System32 資料夾, 因為 BlackRuby 資料夾被隱藏了, 所以並未發現任何名稱為 BlackRuby 之資料夾,$

6 9. 檢視登錄編輯程式內容, 發現登錄檔有被修改過, 安裝 BlackRuby 軟體 10. 從背景程式發現, 在病毒執行時, 會寫入兩個檔案 WindowsUI.exe 與 Svchost.exe 到 C:\Windows\System32\BlackRuby 的資料夾內 11. 檢視 C:\Windows\System32 資料夾, 因為 BlackRuby 資料夾被隱藏了, 所以並未發現任何名稱為 BlackRuby 之資料夾, 此方式讓受害者不易發現惡意程式的所在之處 12. 在 BlackRuby 的資料夾內, 發現有兩個程式 Svchost.exe 與 WindowsUI.exe, 分別將它們送至 Virustotal 檢測得到如下的結果 : 5

7 (1) Svchost.exe 檢測結果其惡意比例為 50/67, 多家防毒公司使用 CoinMiner 用字來稱呼它, 被視為一個挖礦程式 (2) WindowsUI.exe 檢測結果其惡意比例為 50/67, 有多家防毒軟體公司稱其為 BlackRuby 勒索病毒, 也發現其 SHA256 編碼與本次檢測病毒樣本相同, 可推測病毒在執行寫入受測主機 BlackRuby 資料夾時, 也複製一份自己於資料夾內 6

$13. 檢視受測主機重新開機後背景程式運作情形, 發現來自 C:\Windows\system32\blackruby\windowsui.exe 的 Windows Defender 程式會在開機後自動執行, 而且程式 WindowsUI.exe 會呼叫 Svchost.exe 來進行挖礦 14.$

8 13. 檢視受測主機重新開機後背景程式運作情形, 發現來自 C:\Windows\system32\blackruby\windowsui.exe 的 Windows Defender 程式會在開機後自動執行, 而且程式 WindowsUI.exe 會呼叫 Svchost.exe 來進行挖礦 14. 檢視受測主機內檔案被加密之情形, 發現除了 C:\windows 與 program files 兩資料夾內檔案未被加密外, 其他檔案皆被加密檔案被加密後檔名變更為 Encrypted_ 英文字母與數字混合亂碼.BlackRuby 另外, 在檢測時發現在病毒執行加密期間, 若有其他程式執行中, 則這些應用程式的執行檔將不會被加密 7

9 15. 在被病毒加密過檔案或讀取過的資料夾內, 皆會出現一個名稱為 HOW-TO-DECRYPT-FILES.txt 的勒索通知信, 查看該信內容發現分為 6 個部分, 分述如下 : (1) Identification Key 為識別受害者 ID 8

10 (2) Can not access your files? 告訴受害者他的電腦中了 BlackRuby 勒索病毒, 需支付價值 $650 美元的比特幣才可以將系統還原 (3) HOW TO DECRYPT FILES 主要告訴受害者如何解密檔案首先, 要複製 Identification Key, 再寄兩個被加密的檔案連同 Key 到信箱駭客會將兩個加密檔案解密寄回給受害者, 受害者在確認檔案完整後, 用比特幣支付 $650 美元, 並寄 transaction code 到駭客信箱駭客的比特幣帳戶是 19S7k3zHphKiYr85T25FnqdxizHcgmjoj1, 最後受害者會得到 Black Ruby 的解密器與自己系統的私密金鑰 9

11 (4) What is encryption? 告訴受害者什麼是加密, 也提到要修改加密的檔案需要個人 Identificaiton Key 與特別的解密軟體 (5) Everything is clear for me but what should I do? 告訴受害者閱讀 HOW-TO-DECRYPT-FILES.txt 檔案, 也告訴受害者只有他們有私密金鑰可以將被加密的檔案解開 (6) Have you got advice? 告訴受害者如果用第三方工具來進行解密, 檔案可能會損壞 III. 網路架構圖 10

12 1. 駭客透過遠端桌面服務侵入受害主機 2. 駭客在受害主機上執行惡意程式 BlackRuby 3. 受害主機傳送所在 IP 位置 country_code 與 country_name 給美國 IP 4. 植入 WindowsUI.exe 與挖礦程式 Svchost.exe 於受害主機內 5. 執行程式 Svchost.exe 連線礦池 deo1.supportxmr.com 6. 加密受害主機內檔案 IV. 建議與總結本個案之病毒程式主要是透過遠端桌面服務方式散播, 駭入受害主機後, 會執行 BlackRuby 程式來植入挖礦程式與進行檔案加密作業當一般使用者發現檔案被加密時, 只會認為電腦中了勒索病毒, 不容易察覺在背景程式中有挖礦程式執行為預防此病毒的攻擊事件發生, 建議下列幾點措施 1. 關閉遠端桌面服務, 建議透過 VPN 連線, 保護要用遠端桌面服務的主機 2. 定期備份電腦內重要資料 3. 安裝防毒軟體保護與定期執行系統與應用程式的更新作業 4. 不隨意打開不明來源的檔案 5. 使用高強度的密碼, 並且避免重複使用相同密碼登入其他系統 11

2016 勒索軟體白皮書

2016 勒索軟體白皮書 Botnet Botnet 1 1 2 2 5 5 6 9 10 11 11 11 12 12 12 12 12 12 13 14 2016 1989 AIDS AIDS C 189 2005 2006 TROJ_CRYPZIP.A 2011 TROJ_RANSOM.QOWA 12 2012 REVETON 2013 Cryptolocker Cryptolocker AES RSA Cryptolocker