真實示範 CryptoWall 2.0揭開『勒索病毒』的操作流程

 

CryptoWall_20140617_06

 

網絡攻擊方式千變萬化,例如常見的 DDoS 又或者最傳統透過植入惡意軟件來偷取用戶資料等方法,這些方法筆者早前都向大家分享過;而近兩年開始,黑客又多了一種新形的收入途徑,那就是基於進行勒索軟件攻擊,並對目標系統進行封鎖,從而勒索開鎖費用並賺取可觀收入。

未知大家有否試過中了這些勒索軟件?希望你沒有試過。不過對於從事企業管理員的你,了解這種攻擊方式絕對是必須的,因為這種攻擊方式已悄悄的成為黑 客界之中最為流行的賺錢途徑,而且很多時即使受害一方乖乖付款,亦無法可以解鎖,所以面對這種攻擊方式,防禦才是治本治本之法。

Cryptolocker -> CryptoWall 2.0

有留意開資安事件的你,想必對 Cryptolocker 不會陌生;這是一種勒索軟件﹐而 Cryptolocker 的主腦早前已成功被 FBI 與國際組織拘捕,近日亦正式被起訴。就在事件看似告一段落時,那邊箱又出了一個全新的勒索軟件,就是以下將會為大家示範的 CryptoWall 2.0。

中國、香港、台灣成目標

CryptoWall 2.0 與 Cryptolocker 一樣採用類似的手法加密電腦之中的重要文件,並再針對目標進行勒索,根據安全機構 Softnext 的消息,現時香港、台灣以及中國已有用戶「中招」。

傳播方式及感染途徑

當然你的系統要感染到 CryptoWall 2.0 亦需要一定的傳播媒介才可,以往的 Cryptolocker 除了通過電郵附件的方式進行傳播之外,更會透過於網站之中植入惡意軟件、製造虛假的用戶提示及安全更新提示,從而引誘用戶下載勒索軟件並安裝到系統之內。

根據調查,現時最新出現的 CryptoWall 2.0 只會於電郵之中以附件形式傳播,常見的攻擊方式會於電郵之中附有一個已壓縮的文件,當用戶解壓後會見到一個 PDF 圖示,然而此 PDF 並非真正的 PDF 文件,它只是利用了反轉字符(黑客通過於系統 /etc 之中修改路徑與顯示的字符),從而製造出 PDF 檔案的 .src 虛假文件。

 

CryptoWall_20140617_01

 

執行軟件的後果?

當大家執行了惡意軟件後,剛才大家接收到的假 PDF 檔案將會自動被刪除,然後會於系統中的隱藏 Temp 資料夾留下兩個全新的執行檔,分別為 sicac.exe 以及 vofse.exe。其中 vofse.exe 為 CryptoWall 2.0 的主程式。

然後惡意軟件會自動與 tamayk-kicker.de、dominicanajoker.com、likeyoudominicana.com 網址進行連接(請大家不要嘗試登入上述網址,否則中毒本網不負責!!)然後再悄悄的將系統之中的影音及文件等大部份檔案進行加密。

根據測試,加密的文件類型為 .doc、.txt、.eml、.pdf,甚至連以往 CryptoLocker 不會加密的文件如 .mp3、.wav 等都會自動加密;而在加密的過程之中,會自動生成 .7wf 的暫存格式,而原始文件會刪除。

接著便會自動彈出網頁,並於網頁之中說明你的電腦已被勒索,要求付款才能解密。而黑客亦十分「有心」,網頁之中會提供不同的工具,讓你可避開公司的網絡控制/監控,如 VPN、Tor(The Onion Router) 等方式,讓你可直接完成付款工作。

 

CryptoWall_20140617_02

 

至於付款的方式,由於希望避開執法者的追查,因此只接受比特幣(Bitcoin)一種付款方式。根據測試,黑客要求用戶於 5 天內繳交等值於 500 美元的 Bitcoin 才可解密。我們嘗試過 5 天不繳交,發現金額將會自動乘大 2 倍。

 

CryptoWall_20140617_03

CryptoWall_20140617_04

 

而在 regedit(Windows 機器碼)之中,當中了 CryptoWall 2.0 後,我們發現在 HKEY_CURRENT_USER\Software 下便會產生出一組特定的機器碼,此機器碼記錄了系統之中有那些檔案被加密;儘管我們可透過此方法找回部份被加密的檔案,然而解密過程需要十分長的時間,可 能需要十數年(使用暴力式解密方法)才可解密,因此可以說是沒有解密及還原方法;我們可以做的就只有提升系統的保安,例如安裝不同的安全方案,以希望達致 防患於未然。

 

CryptoWall_20140617_05

 

鳴謝:Softnext ASRC 高銘鐘提供技術上的資訊及協助

 

 

引用︰HKITBLOG http://www.hkitblog.com/?p=21749

 

 
 
 

    全站熱搜

    電腦醫哥 發表在 痞客邦 留言(0) 人氣()