[點晴永久免費OA]盤點近幾年勒索病毒使用過的工具和漏洞
早前，我們從贖金角度探討了下勒索病毒的發(fā)展演變，詳細參考從贖金角度看勒索病毒演變。加密數(shù)字貨幣和Tor網絡對勒索病毒的基礎性支撐不再贅述，今天，我們回歸技術，從另外一個角度，看勒索病毒為何會如此猖獗。為了很好的回答這個問題，我們同樣不急于切入主題。首先，深信服安全團隊基于大量真實的客戶案例及大量的威脅情報信息，來盤點近幾年勒索病毒使用過的工具和漏洞。 工具本質上來講，工具是無害的，取決于使用的人，就像一把菜刀，可以用來切菜，也可以用來砍人，不過話又說回來，在特定場景和環(huán)境，我們又不得不對這些工具進行限制，同樣以菜刀為例，菜刀在國內地鐵環(huán)境下，即密集人流環(huán)境下，多數(shù)情況下是不允許被攜帶的，原因相信大家都懂的。
其實，對網絡安全、攻防對抗來講，工具也是承擔類似的角色，黑產團隊可以用這些工具，安全團隊也可以用這些工具，至于利弊來講，是取決于使用者的最終目的的。以開源工具Process Hacker為例，安全團隊可以用這個工具進行應急響應、惡意進程分析、病毒查殺；而黑產團隊可以用這個工具對安全軟件進行卸載，對系統(tǒng)或應用級保護機制進行破壞。
對從事勒索病毒活動的攻擊者來講，同樣存在上述現(xiàn)象，攻擊者可以使用大量的工具進行攻擊活動。深信服安全團隊處理過大量的勒索病毒案例，從攻擊現(xiàn)場，捕獲了大量的工具，這些工具都是攻擊者所使用的。當然，這些工具本身也可以被用于正常用途。
ProcessHacker Process Hacker是一款針對高級用戶的安全分析工具，它可以幫助研究人員檢測和解決軟件或進程在特定操作系統(tǒng)環(huán)境下遇到的問題。除此之外，它還可以檢測惡意進程，并告知我們這些惡意進程想要實現(xiàn)的功能。Process Hacker是一個開源項目，Process Hacker跟ProcessExplorer十分相似，但是Process Hacker提供了更多的功能以及選項。而且由于它是完全開源的，所以我們還可以根據(jù)自己的需要來自定義其他功能。就是這樣一款工具，安全人員和黑客，均可以拿來使用，至于是用來應急響應和查殺病毒，還是用來破壞系統(tǒng)或應用，就取決于使用者。我們在大量的勒索病毒攻擊中，發(fā)現(xiàn)很多中勒索病毒的主機，黑客都會上傳一份ProcessHacker，在執(zhí)行勒索病毒前，先把本地保護機制破壞掉，防止加密過程被中斷。
PCHunter PCHunter是一款功能強大的Windows系統(tǒng)信息查看軟件，同時也是一款強大的手工殺毒軟件，用它不但可以查看各類系統(tǒng)信息，也可以揪出電腦中的潛伏的病毒木馬。不過，深信服安全團隊發(fā)現(xiàn)，在勒索病毒攻擊活動中，黑客也有可能使用這個工具，原因仍然是想在執(zhí)行勒索病毒前，先把本地保護機制破壞掉，防止加密過程被中斷。有意思的是，這個工具是國人開發(fā)的，也就是工具本身是中文版的，外國人懂的概率比較低（難不成攻擊前得先學中文？）。這里也是提醒大家，黑產團隊并不局限一個地區(qū)的，像勒索病毒這塊“巨大的蛋糕”，國內黑產或華人黑產社區(qū)，很難想象不會參與其中。當然，境外人士對國內的勒索攻擊行為相信是占大頭的，畢竟他們可以肆無忌憚的攻擊政府、醫(yī)療等等敏感或公益行業(yè)。
Mimikatz 神器Mimikatz是法國人Genti Kiwi編寫的一款windows平臺下的工具，它開發(fā)了很多功能，最令人熟知的功能是直接從lsass.exe進程里獲取Windows處于激活狀態(tài)賬號的明文密碼。也正是因為此功能，常常被黑客所使用，用于提取被入侵主機更多的賬號密碼，在勒索攻擊中非常常見。  PsExec PsExec 是一個輕型的 telnet 替代工具，它使你無需手動安裝客戶端軟件即可執(zhí)行其他系統(tǒng)上的進程，并且可以獲得與控制臺應用程序相當?shù)耐耆换バ?。這是一款微軟官方網站可以下載的工具，有數(shù)字簽名，屬于“根正苗紅”類型的，很少有殺毒軟件會將這個軟件當作病毒的，因為本身它也有正常的用途的。不過，或許正是因為此（殺軟不敢“動它”），黑客在勒索攻擊中，也時常會使用這個工具，進行遠程病毒執(zhí)行和內網擴散。 NetworkShare 網絡共享掃描工具，用于發(fā)現(xiàn)網絡共享資源的，至于用來做什么，看你的目的了。當然，我們確實在不少的勒索病毒攻擊中，發(fā)現(xiàn)了這個工具。 DUBrute DUBrute是一款強大的遠程桌面(3389)密碼破解軟件，你可以用本附件的掃描功能來自動掃描活躍IP地址，掃描完成后設置好用戶名與需要猜解的密碼就可以開始全自動工作了。 NLBrute 一款爆破工具，跟DUBrute比較類似，不同黑產團隊可能使用不同的爆破工具，或者基于某種考慮，會輪換使用相同類型的不同工具。 WebBrowserPassView WebBrowserPassView是一款功能強大的網頁密碼查看工具。該款工具會自動找出你在瀏覽器里面保存過的的帳號和對應的密碼并顯示出來，只要啟動它，經過幾秒鐘之后，就會看到畫面上出現(xiàn)你的瀏覽器所記憶的網址、帳號及密碼了！目前一共支持了IE1~IE9、Firefox、Chrome及Opera等四種主流瀏覽器。 Nasp 一款服務安裝軟件。 KPortScan 一款端口掃描工具。 PortScan & Stuff 一款端口掃描工具。
Lazykatz Mimikatz作為一款神器，已廣為人知，殺毒軟件已將此軟件視為“病毒”和“黑客工具”。為了逃避檢測和加強繞過，Lazykatz是Mimikatz的升級版本。
PowerTool PowerTool 一款免費強大的進程管理器，支持進程強制結束，可以Unlock占用文件的進程，查看文件/文件夾被占用的情況，內核模塊和驅動的查看和管理，進程模塊的內存的dump等功能。最新版還支持上傳文件在線掃描病毒。支持離線的啟動項和服務的檢測和刪除，新增注冊表和服務的強刪功能，可在PE系統(tǒng)下清除感染MBR的病毒（如鬼影等）。
Masscan Masscan是為了盡可能快地掃描整個互聯(lián)網而創(chuàng)建的，根據(jù)其作者robert graham，這可以在不到6分鐘內完成，每秒大約1000萬個數(shù)據(jù)包。 AnyDesk AnyDesk是一款免費遠程連接/遠程桌面控制軟件，在一些勒索病毒攻擊活動中，我們發(fā)現(xiàn)還是有些黑客為了方便，會預留一個遠程軟件，方便其登錄控制。 DefenderControl Defender Control是一款實用的Windows Defender控制工具，這款工具的主要作用就是可以對Windows Defender進行開啟和關閉操作。
Rdp_Connector RDP連接工具，勒索病毒攻擊活動中，RDP弱密碼作為一個很嚴重的問題，經常會被利用。
Netpass Network Password Recovery（系統(tǒng)管理員密碼查看器）是一款功能強大的系統(tǒng)管理員密碼密碼找回軟件，如果忘記了電腦系統(tǒng)管理員密碼時，通過這款軟件既可以幫助你輕松找回，讓你能夠繼續(xù)使用電腦。有趣的是，如果你是管理員，找回密碼是一種正常行為，但如果你是勒索病毒的攻擊者，“找回密碼”肯定動機就不單純了，而我們在大量案例中，也確實發(fā)現(xiàn)了這個工具的使用痕跡。
Gmer Gmer是一款來自波蘭的多功能安全監(jiān)控分析應用軟件。它能查看隱藏的進程服務，驅動， 還能檢查Rootkit，啟動項，并且具有內置命令行妥⒉岜肀嗉� ，Gmer具有強大監(jiān)控功能。Gmer還具備自己系統(tǒng)安全模式，清理頑固木馬病毒很得心應手！同樣的，我們也在勒索病毒攻擊中，發(fā)現(xiàn)了這個工具的使用痕跡。也就是說，工具只要好用，易上手，基本上就會有很多人去用。 漏洞漏洞在勒索病毒攻擊中，同樣扮演了一個重要角色。由于操作系統(tǒng)和應用軟件的數(shù)量、版本眾多，這些系統(tǒng)、軟件和程序，或多或少都存在各種各樣的漏洞，也正是由于這些漏洞的存在，使攻擊行為變得更加快速和高效。以下漏洞，是深信服安全團隊跟蹤和發(fā)現(xiàn)的，在近幾年被勒索病毒攻擊所使用的漏洞。
永恒之藍漏洞(MS17-010)  2017年5月12日WannaCry勒索病毒在全球爆發(fā)，勒索病毒利用MS17-010永恒之藍漏洞進行傳播感染。短時間內感染全球30w+用戶，包括學校、醫(yī)療、政府等各個領域。 Confluence漏洞(CVE-2019-3396) Confluence是一個專業(yè)的企業(yè)知識管理與協(xié)同軟件，可用于構建企業(yè)wiki。2019年4月份，深信服安全團隊捕獲到利用Confluence新型漏洞傳播勒索病毒的事件，已有政企機構受到攻擊，黑客團伙通過漏洞利用入侵服務器，上傳Downloader腳本文件，連接C&C端下載運行勒索病毒。通過樣本中提取的IP進行關聯(lián)，該攻擊事件與利用Confluence漏洞(CVE-2019-3396)傳播GandCrab勒索病毒攻擊事件有密切的關聯(lián)。 此外，深信服安全團隊，也關注到了國外廠商也發(fā)生類似的入侵事故。  參考鏈接：https://blog.alertlogic.com/active-exploitation-of-confluence-vulnerability-cve-2019-3396-dropping-gandcrab-ransomware/ JBoss反序列化漏洞(CVE-2017-12149) JBoss反序列化漏洞(CVE-2013-4810) JBoss默認配置漏洞(CVE-2010-0738) 由于大部分服務器都會對外提供服務，這意味著如果系統(tǒng)、應用漏洞沒有及時修補，攻擊者就可能乘虛而入。我們發(fā)現(xiàn)有不少的勒索病毒，會嘗試攻擊Weblogic、JBoss、Tomcat等Web應用，之后通過Web應用入侵Windows服務器，下載執(zhí)行勒索病毒。  注：上圖顯示了某款勒索軟件所內置的JBoss默認配置漏洞利用代碼。 Tomcat任意文件上傳漏洞(CVE-2017-12615)  注：上圖顯示了某款勒索軟件所內置的Tomcat任意文件上傳漏洞利用代碼。
WebLogic任意文件上傳漏洞(CVE-2018-2894) Satan勒索病毒已更新到V4.2版本，在最新版本中新增加了利用CVE-2018-2894（WebLogic任意文件上傳漏洞）進行傳播。  Weblogic WLS組件漏洞(CVE-2017-10271)  注：上圖顯示了某款勒索軟件所內置的Weblogic WLS組件漏洞利用代碼。 WinRar漏洞(CVE-2018-20250) Windows ALPC 特權升級漏洞(CVE-2018-8440) Windows提權漏洞(CVE-2018-8120) 在勒索病毒攻擊活動中，也有一些勒索病毒使用了提權漏洞。譬如CVE-2018-8120的存在，在Windows 7、Windows Server 2008 R2和Windows Server 2008中允許從內核提升權限。由于系統(tǒng)進程令牌中存在錯誤對象，因此更改惡意軟件中的此令牌會導致惡意軟件使用系統(tǒng)權限。
注：上圖GandCrab5.0勒索病毒內置的執(zhí)行CVE-2018-8120漏洞的代碼。 Apache Struts2遠程代碼執(zhí)行漏洞(S2-045) 注：上圖顯示了某款勒索軟件所內置的Apache Struts2遠程代碼執(zhí)行漏洞利用代碼。 Apache Struts2遠程代碼執(zhí)行漏洞(S2-057)  注：上圖顯示了某款勒索軟件所內置的Apache Struts2遠程代碼執(zhí)行漏洞利用代碼。
Nexus Repository Manager 3遠程代碼執(zhí)行漏洞(CVE-2019-7238) Flash遠程代碼執(zhí)行漏洞(CVE-2018-4878) Flash類型混淆漏洞(CVE-2015-7645) Flash越界讀取漏洞(CVE-2016-4117) Flash Player (CVE-2015-8651) Internet Explorer內存損壞漏洞(CVE-2016-0189)  一款叫Princess（“公主”）的勒索軟件，就集成了上訴多個漏洞利用代碼。 參考鏈接： https://malwaretips.com/threads/rig-exploit-kit-distributes-princess-ransomware.75060/ Spring Data Commons遠程代碼執(zhí)行漏洞(CVE-2018-1273) 社工與爆破除了工具和漏洞，社工與爆破，也在勒索病毒活動中扮演了十分重要的角色。 
VNC爆破 2019年3月，針對遠程管理工具VNC進行大范圍掃描探測被發(fā)現(xiàn)，攻擊者使用弱口令字典對運行VNC服務的機器進行爆破連接。爆破成功后，該團伙會在中招企業(yè)網絡中運行多種病毒木馬，包括GandCrab5.2勒索病毒、門羅幣挖礦木馬、數(shù)字貨幣錢包劫持木馬等均被下載運行。 參考鏈接：https://www.freebuf.com/column/198957.html RDP爆破 2018年8月，深信服安全團隊陸續(xù)接到政府、國企、醫(yī)療等多個行業(yè)用戶反饋，其業(yè)務系統(tǒng)在短時間內出現(xiàn)被勒索加密現(xiàn)象，造成服務器大面積癱瘓，情況危急，原因不明，對如何遏止影響進一步擴大束手無策。深信服安全團隊，通過深入追蹤分析，發(fā)現(xiàn)大面積癱瘓，主要是統(tǒng)一的RDP弱密碼造成的，勒索家族為CrySiS，目前仍然是比較活躍的勒索家族之一。黑客主要利用大量黑客工具，進行RDP爆破，利用統(tǒng)一密碼特性，使用相同密碼對全網業(yè)務進行集中攻擊，導致重要數(shù)據(jù)被加密。  參考鏈接：https://www.freebuf.com/articles/terminal/179004.html Web管理后臺弱口令爆破 勒索病毒GandCrab曾多次被爆出通過暴力破解Tomcat Web服務器弱密碼實現(xiàn)入侵。例如通過入侵通過Tomcat Manager管理后臺弱口令進行爆破，爆破成功后，攻擊者會上傳一個war包，該war包中包含了一個JSP網頁木馬，這是一個擁有最高權限的WebShell。攻擊一旦得手，黑客就會以此為跳板，繼續(xù)向內網擴散。 SMB爆破 SMB是一種非常常用的網絡共享協(xié)議，基于SMB漏洞的勒索病毒入侵很多，典型的就是WannaCry勒索病毒。其實，SMB爆破也是勒索病毒入侵的一種常見方式。黑客深入內網后，常見會利用攻擊工具（SMB弱口令爆破）在局域網內橫向擴散。從調查來看，雖然機構大多都有及時修復高危漏洞的意識，但是由于管理不到位，SMB賬號爆破風險依然存在，給了黑客可乘之機。 MySQL爆破 2019年9月，深信服安全團隊發(fā)現(xiàn)，全國各地有多處針對MySQL數(shù)據(jù)庫的勒索病毒現(xiàn)象發(fā)生，其主要入侵手段是MySQL賬號密碼爆破，與以往勒索病毒攻擊相差較大的是，表現(xiàn)為不在操作系統(tǒng)層面加密任何文件，而是直接登錄MySQL數(shù)據(jù)庫，在數(shù)據(jù)庫應用里面執(zhí)行加密動作。加密行為主要有，遍歷數(shù)據(jù)庫所有的表，加密表每一條記錄的所有字段，每張表會被追加_encrypt后綴，并且對應表會創(chuàng)建對應的勒索信息。  參考鏈接：https://www.freebuf.com/articles/system/213975.html 釣魚郵件 2019年4月，深信服安全團隊接到包括金融行業(yè)在內的多家企業(yè)反饋，其內部員工收到可疑郵件。郵件發(fā)件人顯示為“National Tax Service”（譯為“國家稅務局”），郵箱地址為lijinho@cgov.us，意圖偽裝成美國政府專用的郵箱地址gov.us。追蹤發(fā)現(xiàn)，該郵件為GandCrab5.2勒索病毒的釣魚郵件，用戶如果嘗試打開該郵件附件，就會中勒索病毒，從而造成不可估量的損失。  參考鏈接：https://www.freebuf.com/articles/system/200070.html U盤投毒 2018年12月，奇安信威脅情報中心就監(jiān)控到GandCrab勒索病毒通過U盤和壓縮文件傳播，一度活躍在包括局域網在內的眾多終端上。該蠕蟲病毒構成的僵尸網絡，過去主要傳播遠控、竊密、挖礦等木馬病毒，而現(xiàn)在開始投遞GandCrab勒索病毒。 參考鏈接：https://www.secrss.com/articles/6806 在地下論壇購買RDP賬號 地下論壇一直是黑產的溫床，對有些黑客來說，并不一定要自己親自去破解用戶賬號密碼。以勒索病毒為例，很早就爆出，一個RDP賬號大概20美元，在地下論壇和市場可以直接購買，然后用于勒索病毒攻擊活動，賺取勒索成功后的巨大差價。  參考鏈接： https://www.bankinfosecurity.com/ransomware-gangs-not-so-secret-attack-vector-rdp-exploits-a-13342 僵尸網絡 2019年7月，深信服安全團隊捕獲到一起利用Trickbot僵尸網絡下發(fā)Ryuk勒索病毒的攻擊事件。Ryuk勒索病毒最早于2018年8月被安全研究人員披露，名稱來源于死亡筆記中的死神。該勒索病毒運營團伙最早通過遠程桌面服務等方式針對大型企業(yè)進行攻擊。起初由于代碼結構與Hermes勒索病毒十分相似，研究人員將Ryuk勒索事件歸因于朝鮮的APT組織Lazarus。隨后，國外安全團隊發(fā)現(xiàn)了針對已經被TrickBot攻擊的受害者的Ryuk勒索活動，由此關聯(lián)出Ryuk勒索事件實為俄羅斯黑客組織GRIM SPIDER所為。在這里是想提醒大家，現(xiàn)存的僵尸網絡是很龐大的，如果后期僵尸網絡大量被用于勒索攻擊，是一件非常可怕的事情。  參考鏈接：https://www.freebuf.com/articles/system/208537.html 破解軟件 由于某方面原因，有不少用戶喜歡用一些破解或者捆綁類軟件，其實天下沒有免費的午餐，破解或者捆綁軟件，給你帶來“便利”的同時，說不定就會給你預留一個大坑。2018年12月，深信服安全團隊發(fā)現(xiàn)一款cexplorer.exe軟件，通過被捆綁的方式而攜帶了勒索病毒。該勒索病毒與正常的應用軟件捆綁在一起運行，捆綁的勒索病毒為STOP勒索病毒的變種，加密后綴為.djvu。如果用戶到官方站點下載，切勿輕信第三方下載鏈接，就可以大大規(guī)避此類中招風險，說到底，還是員工安全意識不到位。  參考鏈接：https://www.freebuf.com/articles/terminal/192059.html 結論通過盤點，可以看到，大量的工具、漏洞、社工與爆破被應用在勒索病毒攻擊活動中。實際上，勒索病毒是一個高度經濟化的產物，如何理解呢？就是各個黑產團隊，會想方設法以最小代價獲取最大利益，因為攻擊有一個成本問題。 以工具為例，其實黑客進行勒索病毒攻擊所使用的工具，很難說就是“黑客工具”，這里面有很多工具也可以用于正常用途，例如Process Hacker和PC Hunter這種，就是可以用來排查病毒和強制殺死病毒進程的。但實際上，這類安全人員所使用的工具，并沒有規(guī)定黑客不能用啊，而且他們完全沒有必要去重新開發(fā)，“拿來主義”很方便。既然能用這類工具做對抗，即破壞安全軟件的環(huán)境，使勒索病毒能正常運行，所以就會被黑客所頻繁使用。再比如PsExec工具，這個是微軟官方網站的一個工具，所謂“根正苗紅”，但照樣被黑客拿去從事勒索病毒攻擊活動。 以漏洞為例，目標企業(yè)（被勒索病毒入侵的對象），本身的系統(tǒng)、版本、業(yè)務和軟件是繁多的，有多少漏洞很難講，但實際上，很多時候，黑客并不是要找“最難找”的漏洞（或者發(fā)現(xiàn)最新的漏洞，如0day），也不是要“找全”所有的漏洞，作為突破口，很多時候，往往找到一個“最好找”的漏洞即可，由此在目標企業(yè)內網撕開一個口子，漫游內網，并將勒索病毒在內網大肆傳播，獲取巨大利潤。 以社工和爆破為例，目標企業(yè)并不是所有人都有很好的安全意識，而攻破一個企業(yè)，并不需要把所有人都攻擊到位，只要有個別員工存在“疏忽”行為，點擊不明郵件或下載運行不明軟件，都有可能帶來入口點的突破，從而導致后面勒索病毒在內網的橫向。而且安全和易用性往往有一定的矛盾性，安全部門強調安全性，業(yè)務部門強調易用性。業(yè)務部門作為生產部門，有很大的話語權，有時候為了更快的運轉，更“方便”底下員工，在管控上都做的不是很到位。譬如，U盤可以亂插拔，網絡可以隨意介入，甚至為了方便（防止忘記密碼），內網大量主機和服務器常常設置弱密碼，并且基本不更新。  工具種類的繁多，本質上是數(shù)字化繁榮，即社會活動前所未有的向數(shù)字化方向轉移，設想能用軟件解決的問題，誰還會手動去操作或者記錄？能用工具解決的問題，就沒必要用命令行或者大量重復的操作。也就是說，同大多數(shù)新型事務一樣，勒索病毒也從數(shù)字化繁榮中“得到了發(fā)展”，或者“越來越猖獗”。 漏洞，本質是軟件的弱點，這個也很難根治，并且隨著數(shù)字化和信息化時代的繁榮，軟件開發(fā)速度只會越來越快，種類只會越來越多，版本也是紛繁復雜，所以從長期趨勢來講，黑客可利用的漏洞，是正相關的。而所有漏洞利用和攻擊中，勒索病毒憑借“短平快”的特點，幾乎會長期存在，并且日趨嚴重。 從社工與爆破來看，內在本質是人的弱點，這個弱點是具有普遍性、通用性的，任何一個人或者一名員工都有可能有這個弱點。雖然說漏洞衍生意義來講，是軟件的弱點，軟件衍生意義來講，也是人的弱點，不過這更多是一個行業(yè)人員的弱點，譬如軟件開發(fā)者。就勒索病毒來講，在社工與爆破方面，其實只要找到一個這樣的人并成功實施即可，所以對人的安全意識之加強，也是十分繁重的任務。 回到最開始的問題，從技術角度，勒索病毒為何會如此猖獗？答案還是很明顯的，信息化、數(shù)字化浪潮中，很多安全問題錯綜復雜，亟待解決。而企業(yè)在安全建設的投入，逐漸跟不上攻擊者的“投入”。或者通俗的講，就是得投入更多的人力、更多的基礎設施，去建設企業(yè)安全，而不是等勒索病毒出現(xiàn)了再采取行動。 解決方案其實勒索病毒演變至今，已經不再是單純的個人行為，必須以集體力量對抗集體力量。 勒索病毒攻擊者已經產業(yè)化運作，防護者更不應該只是單純的只依賴某個軟件，就指望著解決所有問題，這是很困難的，防勒索，還得系統(tǒng)化思考，深層次多角度進行產業(yè)化對抗。 
本文作者：Further_eye 本文為安全脈搏專欄作者發(fā)布，轉載請注明：https://www.secpulse.com/archives/118154.html Tags: Confluence漏洞(CVE-2019-3396)、DUBrute、jboss漏洞、mimikatz、NetworkShare、NLBrute、PCHunter、Process Hacker、psexec、Tomcat任意文件上傳漏洞(CVE-2017-12615)、WebBrowserPassView、勒索病毒、工具、永恒之藍漏洞(MS17-010)、漏洞、社工與爆破
該文章在 2024/1/15 17:01:19 編輯過 |
關鍵字查詢
相關文章
正在查詢... 
|
400 186 1886
