黑客組織Lazarus實驗新加密勒索程式

網絡保安人員與黑客之間的技術追逐時刻都在發生,隨著加密勒索程式的廣泛流行,現代可靠的防護方案都有相當高的防護率,而惡名昭彰黑客組織 Lazarus 就進行新加密勒索程式的實驗,試圖突破防護方案的保護網。

加入 APT 技術傳播加密勒索軟件
黑客組織 Lazarus 一直是以 APT 方法攻擊進行金融網絡犯罪,表現一直相當「突出」,然而最近 Kaspersky 的專家就偵測到從未被發現的 VHD 惡意程式,並顯示 Lazarus 正在對它進行實驗。

在功能上,VHD 是一款相當標準的加密勒索工作,它會漫延到與受害者電腦相連的磁盤,加密檔案、刪除所有 System Volume Information 資料夾 (從而破壞 Windows 的 System Restore),此外它還可以暫停那些保護重要檔案的步驟 (例如 Microsoft Exchange 或 SQL Server)。

不過最令研究人員感到興趣的是 VHD 如何進入目標電腦的方法,因為它傳遞的機制通常用於 APT 攻擊,研究人員從幾個 VHD 個案中分析了攻擊者分別的行動。

通過受害者的網絡橫向傳播
在第一個個案中,VHD 在目標網絡內傳播用的惡意編碼吸引了 Kaspersky 專家的注意,它具備了受害者電腦的 IP 地址列表,並附有管理員權限的帳號資料,如果惡意程式成功使用 SMB 協定連線到其他電腦的網絡資料夾,它便會自我複製和執行,對該裝置同樣進行加密。

這種行為並非典型的廣泛型加密勒索程式,它需要至少對目標的網絡架構進行一定的偵查,所以比較像 APT 活動的特徵。

連鎖感染
Kaspersky 的 Global Emergency Response Team 在另一次調查中再遇到 VHD 加密勒索程式,這次研究人員能夠追蹤症個連鎖感染的流程,根據他們的報告,網絡罪犯:

  1. 透過 VPN gateway 的漏洞存取受害者的系統
  2. 取得被入侵裝置的管理權限
  3. 安裝後門程式
  4. 奪取 Active Directory 伺服器的控制
  5. 以專門為這項工作編寫的 VHD 加密勒索程式載具,感染網絡內所有電腦。

經更深入分析部署後門程式的工作,發現時多平台惡意程式框架 (MATA) 的一部份 (又被稱為 Dacls),研究確信它是 Lazarus 的其他工具,詳細資料可以瀏覽這裡

保護公司的方法
Lazarus 的 VHD 加密勒索程式感染業電腦的手法高明,此惡意程式並不在普通的黑客討論區出現,而是專門為針對性攻擊而開發,用作滲透受害者網絡設施和於網絡內傳播的技術令人回想起精密的 APT 攻擊。隨著金融網絡犯罪工具和 APT 攻擊的邊界越來越模糊,顯示即使是較小型的公司也可能需要進階的防護技術。Kaspersky 較早前推出了綜合方案,結合 Endpoint Protection Platform (EPP) 和 Endpoint Detection and REsponse (EDR) 的功能,讓企業用戶能具備較進階的對策

Comments are closed