Quantcast
Channel: CodeSection,代码区,网络安全 - CodeSec
Viewing all articles
Browse latest Browse all 12749

【安全报告】坏兔子勒索病毒事件基本分析报告

0
0
【安全报告】坏兔子勒索病毒事件基本分析报告

2017-10-25 17:26:24

阅读:1975次
点赞(0)
收藏
来源: 安全客





【安全报告】坏兔子勒索病毒事件基本分析报告

作者:360CERT





【安全报告】坏兔子勒索病毒事件基本分析报告

0x00 事件描述

2017年10月24日,360CERT监测到有一起名为“坏兔子”(the Bad Rabbit)的勒索病毒正在东欧和俄罗斯地区传播,据悉,目前影响了俄罗斯部分媒体组织,乌克兰的部分业务,包括基辅的公共交通系统和国家敖德萨机场,此外还影响了保加利亚和土耳其。

“坏兔子”主要是通过伪装flash安装程序让用户下载运行和暴力枚举SMB服务帐号密码的形式进行传播,并未使用“永恒之蓝”漏洞进行传播,感染形式上和此前的NotPetya勒索病毒相似,会主动加密受害者的主引导记录(MBR)。“坏兔子”在勒索赎金上有所变化,初始赎金为0.05 比特币(约280美元),随时间的推移会进一步增加赎金。

根据监测,目前中国地区基本不受“坏兔子”勒索病毒影响。

本文是360CERT对“坏兔子”事件的初步分析。


0x01 事件影响面

影响面

经过360CERT分析,“坏兔子” 事件 属于勒索病毒行为,需要重点关注其传播途径和危害:

主要通过入侵某合法新闻媒体网站,该媒体在乌克兰,土耳其,保加利亚,俄罗斯均有分网站。在受害者访问时会被引导安装一个伪装的flash安装程序(文件名为 install_flash_player. exe),用户一旦点击安装后就会被植入“坏兔子”勒索病毒。


【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

“坏兔子”样本主要通过提取主机NTLM认证信息和硬编码部分用户名密码暴力破解NTLM登录凭据的方式来进一步感染可以触及的主机。

“坏兔子”会试图感染目标主机上的以下类型文件和主引导分区,赎金会随着时间的推移而增长。


【安全报告】坏兔子勒索病毒事件基本分析报告

综合判定“坏兔子”勒索病毒通过“水坑”方式进行较大规模传播,且产生的危害严重,属于较大网络安全事件。

监测到IP请求态势和感染分布(图片来源:见参考)


【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

注:以上监测数据不一定完整,仅供参考。数据显示感染趋势并没有特别剧烈,持续时间较短。


0x02部分技术信息

“坏兔子”勒索病毒的整体行为技术分析上并没有太多的技术创新,中间也没有证据表明该病毒利用任何漏洞,以下是相关的部分技术信息。

传播信息

“坏兔子”勒索病毒通过链接 hxxp://1dnscontrol[.]com/flash_install.php 链接进行传播,该域名下的可疑连接如下:
【安全报告】坏兔子勒索病毒事件基本分析报告

整体行为

“坏兔子”勒索病毒并没有利用任何漏洞, 需要受害者手动启动下载名为 install_flash_player.exe的可行性文件,该文件需要提升的权限才能运行, windows UAC会提示这个动作,如果受害者还是同意了,病毒就会按照预期运行。

“坏兔子”勒索病毒主要包括如下流程:

“install_flash_player.exe”会下载名为 infpub.dat 的DLL恶意载体。

infpub.dat会夹带和释放传播模块和文件加密模块。

合法的DiskCryptor加密模块,discpci.exe,包括32和64位。

2个疑似mimikatz模块。

生成IP信息,暴力破解NTLM登陆凭证,实现进一步感染。

该文件会被保存到C[:]\Windows\infpub.dat路径中。

Rundll32.exe 加载infpub.dat文件。

增加计划任务“rhaegal”启动discpci.exe实现磁盘加密。

增加计划任务“drogon”重启系统,并显示被勒索界面。

创建感染线程,尝试对外感染。

重启前会主动删除部分日志信息。

具体流程如下图所示:


【安全报告】坏兔子勒索病毒事件基本分析报告

“坏兔子”勒索病毒在行为方面并没有太多的创新,具体的程序执行链可以直接通过360核心安全团队的沙箱平台分析出来:


【安全报告】坏兔子勒索病毒事件基本分析报告

其中,如上文所述。infpub.dat有5个资源文件,

资源文件1/2是类似于mimikatz的64位/32位版本;

资源文件7/8是diskcryptor中的64位/32位驱动文件,具有数字签名;

资源9是主要用来加密的程序:


【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

相关落地到磁盘的样本如下:


【安全报告】坏兔子勒索病毒事件基本分析报告

相关信息

Rundll32.exe启动infpub.dat动态库


【安全报告】坏兔子勒索病毒事件基本分析报告

公钥信息


【安全报告】坏兔子勒索病毒事件基本分析报告

提权相关


【安全报告】坏兔子勒索病毒事件基本分析报告

感染目标IP段生成(依次获取已建立TCP连接的IP,本地ARP缓存的IP和局域网内的服务器IP地址)


【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

NTLM暴破的用户/密码列表


【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

尝试通过IPC匿名管道加密


【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

【安全报告】坏兔子勒索病毒事件基本分析报告

感染成功后的logo


【安全报告】坏兔子勒索病毒事件基本分析报告

Indicators of Compromise (IOCs)

文件哈希

fbbdc39af1139aebba4da004475e8839 – 木马释放器(最初被释放的样本)

1d724f95c61f1055f0d02c2154bbccd3 – infpub.dat – 主要的DLL

b4e6d97dafd9224ed9a547d52c26ce02 – cscc.dat – 用于磁盘加密的合法驱动

b14d8faf7f0cbcfad051cefe5f39645f – dispci.exe – 安装bootlocker,与驱动通信

域名

1dnscontrol[.]com caforssztxqzf2nm[.]onion

IP地址

185.149.120[.]3

疑似受影响网站

Argumentiru[.]com Fontanka[.]ru Adblibri[.]ro Spbvoditel[.]ru Grupovo[.]bg www.sinematurk[.]com

0x03处理建议

1. 建议用户默认开启防火墙禁用Windows客户端139, 445端口访问,如若需要开启端口建议定期更新微软补丁。

2. 该类勒索病毒360安全卫士在该病毒爆发之前已能拦截,建议下载并安装360安全卫士进行有效防御。


0x04 时间线

2017-10-24 事件被披露

2017-10-25 360CERT完成了基本分析报告


0x05 参考

1. http://blog.talosintelligence.com/2017/10/bad-rabbit.html#more

2. https://www.forbes.com/forbes/welcome/?toURL=https://www.forbes.com/sites/thomasbrewster/2017/10/24/bad-rabbit-ransomware-using-nsa-exploit-in-russia/&refURL=https://t.co/zIjBLXa1BI&referrer=https://t.co/zIjBLXa1BI

3. https://securelist.com/bad-rabbit-ransomware/82851/

4. https://securingtomorrow.mcafee.com/mcafee-labs/badrabbit-ransomware-burrows-russia-ukraine/

5. https://www.forbes.com/sites/thomasbrewster/2017/10/24/bad-rabbit-ransomware-using-nsa-exploit-in-russia/#8697ad455368

6. https://www.virustotal.com/en/domain/1dnscontrol.com/information/



【安全报告】坏兔子勒索病毒事件基本分析报告
【安全报告】坏兔子勒索病毒事件基本分析报告
本文由 安全客 原创发布,如需转载请注明来源及本文地址。
本文地址:http://bobao.360.cn/learning/detail/4603.html

Viewing all articles
Browse latest Browse all 12749

Latest Images

Trending Articles





Latest Images