code

Mount Locker 勒索软件向黑客提供双重勒索方案

  • 浏览次数 18840
  • 喜欢 0
  • 评分 12345

研究发现,一种新的勒索软件可以扩大目标范围,躲避安全软件的检测,发动双重勒索攻击。

MountLocker勒索软件在2020年7月开始出现,它在加密前窃取文件,并且要求数百万赎金,这种策略被称为双重勒索。

BlackBerry Research and Intelligence Team的研究人员表示,“MountLocker背后的攻击者显然只是在热身。从7月份开始,他们的勒索要求越来越高。”

“与MountLocker相关联的公司效率很高,能够快速过滤敏感文档,在几个小时内对目标进行加密。”

MountLocker还加入了其他勒索软件家族,比如Maze(上个月关闭),这些勒索软件在暗网上运营一个网站,羞辱受害者,并提供泄露数据的链接。

到目前为止,这款勒索软件已经有5名受害者,但研究人员怀疑人数可能“多得多”。

MountLocker作为勒索软件即服务(RaaS)提供,它在今年8月初针对瑞典安全公司Gunnebo进行了部署。

尽管该公司表示已成功阻止了勒索软件攻击,但攻击者最终在10月份窃取并在网上发布了18G的敏感文件,这些文件包括客户银行保险库和监控系统的示意图。

1

现在根据BlackBerry的分析,MountLocker背后的攻击者利用远程桌面(RDP)和泄露的凭证,在受害者的环境中获得初步的立足点(这在Gunnebo的黑客攻击中也有观察到)。然后部署工具执行网络侦察(AdFind),接着部署勒索软件和横向跨网络传播,通过FTP过滤关键数据。

勒索软件本身是轻量级且高效的。执行后,它会终止安全软件,使用ChaCha20密码触发加密,并创建一张勒索便条,其中包含一个Tor.onion URL的链接,通过暗网聊天服务协商解密软件的价格。

它还使用一个嵌入的RSA-2048公钥对加密密钥进行加密,删除卷影副本以阻止加密文件的恢复,并最终将自己从磁盘中删除以隐藏踪迹。

然而,研究人员指出,勒索软件使用一种称为GetTickCount API加密不安全方法来生成密钥,该方法可能容易受到暴力攻击。

MountLocker的加密目标非常广泛,支持2600多个文件扩展名,包括数据库、文档、档案、图像、会计软件、安全软件、源代码、游戏和备份。

除此之外,我们在11月底发现了MountLocker的一个新变种(称为“版本2”),它删除了加密所需的扩展名列表,转而使用精简的排除列表:.exe、.dll、.sys、.msi、.mui、.inf、.cat、.bat、.cmd、.ps1、.vbs、.ttf、.fon和.lnk。

研究人员总结说:“自从成立以来,MountLocker组织就在扩大和改进其服务。虽然他们目前还不是特别先进,但可能短期内变得更强大。”

 

 

 

消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。

本文由 HackerNews.cc 翻译整理。

转载请注明“转自 HackerNews.cc ”