国内企业遭遇勒索软件攻击事件及相关样本分析-安全客

事件背景

日前，国内某制造企业遭受勒索病毒攻击，造成核心生产网络、业务办公网络被勒索病毒加密，直接导致生产停工，中招主机被要求支付0.1个比特币的赎金。360企业安全接到用户应急求助后，第一时间赶赴现场，对该事件进行分析和溯源，现场快速定位、及时恢复数据，帮助用户降低损失。

分析显示攻击者采用了人工渗透定向攻击并推送多个恶意模块进行勒索，不排除攻击者对更多已经控制的内网系统下手，在此提醒用户对网络和终端进行安全排查，发现入侵迹象及时采取措施。以下为360威胁情报中心对现场所获取的勒索病毒的技术分析及防护处置建议，供不幸中招的用户参考，如需协助也可以联系360企业安全应急响应中心。

现场取证与事件分析

360企业安全应急响应安全专家通过对现场终端进行初步排查，发现客户终端主机被植入勒索病毒，导致无法进入操作系统。下图为被勒索的主机开机时的界面。

修复MBR后使用数据恢复软件恢复部分文件，在部分机器上对日志进行分析，发现其存在域控管理员登入记录。

经过排查，初步判断此次攻击事件由黑客入侵企业的备用域控，获得其账号密码，并在bat脚本中批量使用cmdkey命令来保存远程主机凭据到当前会话，随后调用psexec远程执行命令，向域中机器下发攻击文件进行勒索。

在此次应急响应过程中，我们发现了3个勒索恶意代码的相关样本：

勒索病毒名	功能说明
update3.exe	将勒索信息写入主机MBR，不会加密机器文件
update.exe	使用类似TEA的对称加密算法加密文件
update2.exe	使用libsodium-file-crypter开源项目开源代码加密文件

样本分析

360企业安全应急响应团队在完成初步摸排梳理工作后，对现场发现的3个勒索相关样本进行详细分析，具体如下：

三个样本初始执行的入口解密流程类似

解密出43163C处代码，并通过EnumWindowStation回调函数执行。

在第二阶段，样本通过映射NTDLL模块来获取所需API并逃避R3 HOOK。

判断样本是否在64位模式下运行。

反调试及虚拟机检测。

最后执行主要功能，如下描述。

1. update3.exe – MBR锁屏

以读写的模式，打开计算机\\.\PhysicalDrive0、\\.\PhysicalDrive1、\\.\PhysicalDrive2、等磁盘写主机MBR勒索数据。

写入的MBR功能代码为，调用int 13中断，将扇区1-32从磁盘加载到内存0x8000开始的地址，然后转到0x8000执行指令：

设置屏幕的显示模式。

并调用int 10h中断显示骷髅头。

检测是否有键盘按键信息如果有按键信息，则读取相应的勒索信息，弹出信息勒索信息显示界面。

骷髅头字符信息：

重启机器后的显示效果：

本次事件，攻击者使用了此恶意破坏模块来劫持系统进行勒索。

2. update.exe – Aurora变种勒索软件

执行的勒索代码是在二阶段中由BlowFish算法加密压缩的。

样本通过创建傀儡进程的方式来执行勒索代码。

此勒索样本的PDB信息如下，勒索病毒为Aurora。

勒索样本中依旧做了虚拟机检测。

设置一个启动项，名称为MSFEEditor。

要加密文件的后缀列表如下：

1CD, doc, docx, xls, xlsx, ppt, pptx, pst, ost, msg, eml, vsd, vsdx, txt, csv, rtf, 123, wks, wk1, pdf, dwg, onetoc2, snt, jpeg, jpg, docb, docm, dot, dotm, dotx, xlsm, xlsb, xlw, xlt, xlm, xlc, xltx, xltm, pptm, pot, pps, ppsm, ppsx, ppam, potx, potm, edb, hwp, 602, sxi, sti, sldx, sldm, vdi, vmdk, vmx, gpg, aes, ARC, PAQ, bz2, tbk, bak, tar, tgz, rar, zip, backup, iso, vcd, bmp, png, gif, raw, cgm, tif, tiff, nef, psd, svg, djvu, m4u, m3u, mid, wma, flv, 3g2, mkv, 3gp, mp4, mov, avi, asf, mpeg, vob, mpg, wmv, fla, swf, wav, mp3, class, jar, java, asp, php, jsp, brd, sch, dch, dip, vbs, ps1, bat, cmd, asm, pas, cpp, suo, sln, ldf, mdf, ibd, myi, myd, frm, odb, dbf, mdb, accdb, sql, sqlitedb, sqlite3, asc, lay6, lay, mml, sxm, otg, odg, uop, std, sxd, otp, odp, wb2, slk, dif, stc, sxc, ots, ods, 3dm, max, 3ds, uot, stw, sxw, ott, odt, pem, p12, csr, crt, key, pfx, der。