主页 > imtoken客户端 > 深入分析 LockCrypt——通过 RDP 勒索软件进行暴力破解

深入分析 LockCrypt——通过 RDP 勒索软件进行暴力破解

imtoken客户端 2023-01-17 07:45:52

此前，我们曾报道（链接地址：）勒索软件SamSam向受害者索要高额赎金。事实上，它并不是唯一勒索高额解密费用的勒索软件。今年6月比特币追踪ip，一个名为LockCrypt的勒索病毒新变种首次曝光。根据我们的检测数据，截至 10 月份，感染该恶意软件的机器数量已大幅增加。此外，LockCrypt 软件的代码与其他勒索软件的代码几乎没有重叠。我们现在掌握的证据表明，攻击者可能在重新投资于他们自己的勒索软件之前，先发制人地部署了更易于部署的勒索软件即服务。目前，在美国、英国、南非、印度、菲律宾等国家也发现了感染LockCrypt的小企业。

初始感染

根据受害者报告（链接地址：），感染源来自被 RDP 暴力破解破坏的邮件服务器（链接地址：）。攻击者随后通过手动“杀死”业务的关键进程，对公司造成了严重的损害。

我们发现很多相关活动（链接地址：）来源于以下IP：

图1

目标

据受害者称比特币追踪ip，攻击者要求每台服务器支付 0.5 到 1 个比特币的赎金——也就是说，按照当时的折算价格，每台服务器需要 5,000 多美元。另一家企业报告说，攻击者勒索了近 19,000 美元的赎金来赎回这三台机器。

在早期版本中，勒索软件信件中提供了一个比特币钱包地址（链接地址：）。该地址在 7 月份收到了价值约 20,000 美元的比特币。

图 2 受感染机器截图

攻击概述

图3 攻击者向目标机提供的弹窗和勒索信息

LockCrypt会对文件进行加密，然后重命名文件，生成的加密文件扩展名为.lock。另外，为了持久化，软件实现了自安装功能；同时，为了防止受害者自行恢复加密文件，勒索软件会删除文件的相应备份（卷影副本）。

之后，它会执行一个批处理文件来杀死所有非核心进程——这是一种非常激进的防病毒和沙箱规避。

图 4

比特币追踪_808比特币创始人颜万卫炮制比特币风险大_比特币追踪ip

LockCrypt 然后对受感染计算机的信息进行 base64 编码，并将其发送到位于伊朗的服务器。

勒索软件泛滥？

LockCrypt 的第一个版本（链接地址：）使用了一个电子邮件地址，该地址曾经指向勒索软件 Satan，这实际上是一个易于使用的“勒索软件即服务”。

左图：勒索软件撒旦的勒索信（链接地址：）；右图：来自勒索软件 LockCrypt 的勒索信（链接地址：）。两者的联系方式完全一样，都是用来联系如何支付赎金的（链接地址：）。

许多人担心像 Satan 这样的勒索软件生成服务可能会导致攻击者将他们的犯罪收入重新投资到更复杂的活动中。这种猜测不无道理，而现实或许正如人们所担心的那样。

巧合的是，在最近接受 BBC 采访时，AlienVault 也讨论了（链接地址：）勒索软件 Satan 带来的各种威胁。以下是生成勒索病毒的具体过程：

图5 勒索病毒Satan生成页面

预防和检测

为了防止RDP暴力破解，需要做好以下几点：

为 RDP 访问强制执行复杂的密码和双因素身份验证

· 拒绝所有来自 Internet 的传入 RDP 连接

· 登录失败一定次数后，锁定相应用户

我们在下面提供了相应的检测规则、Yara 签名、文件哈希、支付电子邮件和比特币地址。

检测类似恶意行为的通用方法

尽管样本指标对于跟踪当前的恶意行为非常有用，但它们对于检测未来的恶意行为却不太有效。下面我们展示如何使用USM Anywhere（链接地址：）检测LockCrypt：

比特币追踪_808比特币创始人颜万卫炮制比特币风险大_比特币追踪ip

图 6

Yara 文件检测规则

rule lockcrypt {
       $a = "taskkill /f /im bcn1.exe" nocase wide ascii
$mz = { 4d 5a }
  condition:
$mz at 0 and $a
}
rule lockcrypt_text {
        $a = "Set WhiteList=Microsoft.ActiveDirectory.WebServices.exe:cmd.exe" nocase wide ascii
        $b = "You have to pay for decryption in Bitcoins. The price dependson" nocase wide ascii
    condition:
        any of them
}

rule lockcrypt_installer_packer {
    strings:
        $a = "c:usersnachalnikdocumentsvisual" nocase wide ascii
        $b = "WshShell.Run chr(34) & "bcn1.exe" & Chr(34), 0" nocase wide ascii
    condition:
        any of them
}