分类: 恶意软件

Shifr RaaS 仅需三步即可创建勒索软件

勒索软件作为一种有利可图的商业模式一直被网络犯罪分子广泛利用。鉴于此,新型勒索软件即服务(RaaS)在网络生态系统中取得长足发展也就不足为奇了。恰好,本周末安全专家发现一款名为 Shifr 的新型 RaaS,仅需三步即可创建一款简单的勒索软件。 据悉,该网站托管在 Dark Web 上,堪称最易使用的 RaaS 网站,消费者可以用比特币支付赎金。Shifr 采用 Go 语言编写,命名源自加密字段扩展名,可能与 Trojan.Encoder.6491(首款用 Go 语言编写的勒索软件)有关。 对于 Shifr 服务而言,勒索软件的创建过程十分简单,犯罪分子仅需提供恶意软件要求的赎金、接收受害者支付赎金的比特币地址并解决 CAPTCHA 问题。 其他 RaaS 门户网站通常需要以收取入门费或验证客户身份确保只有精通一定骗术的网络犯罪分子才能获得勒索软件样本,而此项服务仅需简单几步即可提供完整的武器化样本。有别与其他 RaaS 服务之处在于,Shifr 供应商仅收取 10% 的维护费用,这与 Cerber RaaS 收取的六成份额相比不足挂齿。 目前,我们仍不能排除 Shifr RaaS 是骗局的可能,运营商也不会向经销商支付削减费用。唯一能够确定的是勒索软件不仅不复杂还缺少许多必要功能,或为正在进行项目。此外,研究人员还注意到犯罪分子采用相同的服务器托管支付门户网站与 RaaS 服务,这并不是一种专业的做法。 综上所述,不难预测各类 RaaS 服务将在未来一个月内得到迅速传播。 原作者:Pierluigi Paganini,译者:游弋,校对:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Petwrap 勒索软件攻击:全球受害者到底有多少?

Petwrap 勒索软件攻击爆发仅一日便有大量报告涌现,各家媒体纷纷对受感染的组织机构数量进行预估。最初报道源自此次事件重灾区乌克兰,乌克兰内政部称“一款未知病毒”侵袭了该国政府、银行等重要机构,堪称乌克兰历史上最大规模的网络攻击事件。没过多久即传出俄罗斯、整个欧洲、北美、澳大利亚等地区也遭受感染的消息并得到权威机构证实。 据悉,Petwrap 同样利用 Shadow Brokers 黑客组织泄露的 NSA “永恒之蓝”(EternalBlue)Windows 漏洞,能够使组织机构沦为瘫痪。ESET 研究人员表示,勒索软件爆发首日,乌克兰受害者数量占已知检测数量的 3/4。病毒通过多种击媒介在乌克兰境内传播,其中包括卡巴斯基实验室近期发现的新型手段,即通过伪装成 Windows update 的恶意文件进行强迫下载传播。 与此同时,检测结果显示,9% 被感染设备位于德国,6% 位于塞尔维亚。虽然大型攻击事件遍及全球,但剩余 60 多个国家攻击事件总和占比不到 1%。 来自微软恶意软件防护中心的数据显示,乌克兰境内 12,500 台设备面临威胁,假设这些设备占比受感染设备总数的 3/4,那么目前全球受感染设备总数就是 16,500 台。 即便如此,这个数字也低于 WannaCry 病毒爆发 24 小时内的受感染设备数量。( WannaCry 爆发期间,全球 74 个国家共发生 45,000 起攻击事件,受感染设备总数高达300,000 台)。 赛门铁克威胁情报显示,乌克兰与美国境内分别有 150 与近 50 家组织机构遭受感染;而根据卡巴斯基研究结果,截至目前约有 2,000 用户遭受攻击。俄罗斯与乌克兰的情况最为严重。此外,波兰、意大利、英国、德国、法国、美国与其他几个国家也在不同程度上受到影响。 虽然 Petwrap 目前受害者数量低于 WannaCry,这款勒索软件的类蠕虫特征意味着被感染设备数量仍有上升空间。 原作者:Danny Palmer,译者:游弋,校对:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

安全专家表示:Petya不能叫“勒索病毒” 因为它意在破坏系统

新浪科技北京时间 6 月 29 日早间消息,信息安全分析师指出,将 Petya 称作“勒索病毒”可能是不恰当的。这款恶意软件的代码和其他证据表明,Petya 的目的可能是针对乌克兰的网络展开间谍活动,而进行勒索只是一种伪装。 勒索病毒的基本规则是,如果你付款给攻击者,那么就可以拿回自己的数据。如果攻击者没有履行承诺,那么消息传出后将不会有人再支付赎金。那么,如果病毒导致数据完全不可找回,是否还可以称得上“勒索病毒”?因此,Petya 并不是勒索病毒,其动机并不是为了赚钱。考虑到 Peyta 起源于乌克兰的网络,因此一种推测是,Petya 的目的就是破坏这些网络。 随着关于这款病毒的更多信息曝光,这是许多专家提出的观点。Comae 的马特·苏奇(Matt Suiche)和其他人本周将 Petya 的代码与去年的类似攻击进行了比较。2017 年的 Petya 似乎经过了特别修改,通过改写硬盘的主引导记录,导致对用户数据的编码不可逆。攻击者的电子邮件地址似乎也已下线,导致受害者无法支付赎金。 来自伯克利国际计算机科学研究所的消息显示,Petya 是一种“蓄意、恶意、破坏性的攻击,也可能是伪装成勒索病毒的测试”。《连线》杂志报道称,乌克兰基辅的信息安全机构表示,攻击者已经在乌克兰的系统中存在几个月时间,很可能已掩盖了他们传播病毒的痕迹。(邱越) 稿源:新浪科技,封面源自网络

Petya 恶意软件肆虐:荷兰 TNT Express 快递业务大受影响

作为联邦快递(FedEx)旗下的一家子公司,席卷全球的 “Petya” 病毒已经对总部位于荷兰的 TNT Express 的运营造成了显著的影响:“虽然国际国内航运服务仍在运营,但延迟已经不可避免”。公告发布后不久,联邦快递选择了将股票暂时停牌,即便该公司旗下其他子公司并未受到影响。FedEx 在一份声明中解释称:“当前无法衡量服务中断造成的确切经济损失,但会尽快部署补救措施和应急计划,措施包括借助联邦快递自有服务来帮助 Express 递送积压的货物”。 Petya 病毒于近日跨欧洲大肆传播,波及了大量企业与服务,比如乌克兰央行的计算机系统、城市地铁、基辅机场、丹麦航运巨头马士基,甚至连切尔诺贝利核电站都切换到了手动辐射监测模式。 稿源:cnBeta.COM,封面源自网络

微软称新网络袭击源头是乌克兰一会计软件生产商

微软公司、网络安全分析师和乌克兰警方周三表示,新一轮影响全球的病毒袭击事件的源头,来自一家乌克兰的会计软件生产商 M.E.Doc。乌克兰警方负责网络犯罪部门本周二晚些时候表示,M.E.Doc 的软件升级中包含该病毒。同日,微软在一篇博文中表示,有证据显示用户在对该软件制造商的软件进行更新感染了病毒。 网络安全公司 FireEye 高级经理 John Miller 在一封电子邮件中表示,此次攻击中的所使用的一种病毒载体就是 M.E.Doc 生产的软件。卡巴斯基实验室首席安全专家 Aleks Gostev 同样证实,M.E.Doc似乎是恶意软件的来源。 据彭博社消息,M.E.Doc 并未就相关言论做出回应。在该公司的 Facebook 主页上,M.E.Doc 表示,“行业内主流的反病毒公司”已经对其软件进行了审查,证实了该公司对病毒的传播没有任何责任。该公司表示,像其他受害者一样,公司的服务也受到了此轮袭击的影响,并且正在努力恢复服中。 另据纽约时报报道,根据计算机安全公司赛门铁克的研究人员称,与五月份的 WannaCry 攻击一样,新的这一轮攻击同样使用美国国家安全局( National Security Agency )的黑客工具 Eternal Blue (永恒之蓝),并辅之以其他两种传播方法来加速病毒的传播。美国国家安全局尚未承认其工具被用于 WannaCry 或其他攻击,但计算机安全专家正在要求该机构帮助全世界其他机构和公司创造的可以遏制病毒传播的工具。 周二爆发的新一轮网络袭击首先从乌克兰政府部门的网络系统开始,随后俄罗斯石油公司、英国广告商WPP和切尔诺贝利核电站等机构均报告称遭到袭击。受其影响最深的丹麦航运巨头马士基集团在进行了全面评估后,不得不选择关闭了整个网络系统。 稿源:cnBeta,第一财经;封面源自网络

Svpeng 手机木马掀起首季度勒索软件攻击事件高潮

2017 年第一季度,手机勒索软件攻击数量激增,与去年同期相比增长 3.5 倍。犯罪分子试图通过 25 万个安卓手机木马安装包从受害者处勒索钱财,赎金金额从 100 美元到 500 美元不等。 根据卡巴斯基实验室本周一发布的《 2016 – 2017勒索软件报告》,德国首当其冲成为重灾区,美国受害者数量紧随其后。考虑到 2015 – 2016 年攻击数量的整体下降趋势(从 136,532 将至 130,232 ),2017 第一季度手机勒索软件数量的急剧增长情况实属异常。 报告显示,手机勒索软件攻击数量的下降反映了安全解决方案厂商、执法机构与白帽黑客之间的有效协作。2017 年第一季度勒索软件攻击事件高发源于 2016 年 12 月 Svpeng 勒索软件家族兴起。与通过入侵工具包与恶意电子邮件附件下载安装的 PC 端勒索软件不同,手机勒索软件主要通过观看色情内容或下载虚假手机Adobe Flash播放器传播。 报告作者之一、卡巴斯基实验室恶意软件高级分析师 Roman Unuchek 表示,“多数情况下,犯罪分子主要利用受害者的疏忽大意以及未及时更新安卓 OS 版本发动攻击。安卓更新版本具有相对完善的安全功能,对勒索软件起到一定抑制作用。” 报告指出,Svpeng 与 Fusob 两大恶意软件家族占据手机勒索软件市场。Fusob 构成勒索软件攻击事件主体,主要通过伪装成名为 “xxxPlayer” 的多媒体播放器欺骗用户。一旦成功下载,勒索软件就会阻止用户访问设备,除非缴纳 100 美元至 200 美元赎金。 手机木马 Svpeng 最早由卡巴斯基实验室于 2013 年发现,此后经历多番勒索软件功能添加或修改。以往社工活动主要基于短消息欺骗用户下载恶意软件。完成安装后会显示一份冒充 FBI 开具的非法内容下载罚单,要求以缴纳 200 美元罚金为代价解锁设备。 受影响最严重的国家排名为:德国(23%)、加拿大(20%)、英国(16%)、美国(15.5%)。针对移动设备的攻击主要源自少数几类恶意软件并通过附加程序传播。相比之下,PC 勒索软件较去年增长 11.4 %。在勒索软件受害者中,加密勒索受害者的比重从 2015 – 2016 年的 31% 上升至 2016 – 2017 年的 44.6%,增长了 13.6 个百分点。 研究人员还发现有针对性的勒索软件攻击由于“勒索软件即服务”(RaaS)的盛行呈上升趋势。 “勒索软件的复杂度与多样性均有提高,通过不断发展、日益便捷的地下生态系统为那些掌握较少技术、资源或时间的犯罪分子提供现成解决方案。” 卡巴斯基实验室对此持乐观态度,相信能够通过 The No More Ransom Project 等全球计划的良性发展有效保护手机与 PC 用户远离加密勒索软件困扰。 原作者:Tom Spring,译者:游弋,校对:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

威胁预警 | 新型勒索软件 Petwrap 肆虐全球,乌克兰电力、机场及俄石油公司受大规模影响

HackerNews.cc 北京时间 28 日跟进,感染乌克兰境内多家银行、政府、电力公司、邮政、机场设施以及俄罗斯石油公司 (Rosneft)的“未知病毒”被证实为 Petwrap 勒索软件,又称ExPetr 或 NotPetya,尽管其与之前的勒索软件 petya 极其相似,但它仍被认为是一种新型勒索软件。目前就连乌克兰境内切尔诺贝利核电站辐射监测系统也受到勒索软件影响,工场区域的辐射监测已改为手动进行。 勒索软件全球感染范围 目前 Petwrap 主要针对乌克兰,俄罗斯和西欧企业,截止 28日0 时仅卡巴斯基实验室就已检测到 2000 多次攻击: 仅卡巴斯基监测到的各国受 Petwrap 感染统计图(截止 28日0 时) ** 勒索软件 Petwrap 没有所谓的“开关域名”,目前尚无详细统计数据 勒索软件 Petwrap 如何传播 勒索软件 Petwrap 也像 WannaCry 那样通过 SMBv1 EternalBlue (永恒之蓝)漏洞感染未打补丁的 Windows 设备,但并不会对目标系统中的所有文件逐个加密。最重要的是拥有凭据管理器的单一受感染系统能够通过 WMI 或 PSEXEC 感染网络上的其他计算机,对局域网的威胁或比 WannaCry 更大。 国外安全研究员指出,若 Windows 系统中存在文件 “c:\windows\perfc.dat” 可触发本地 kill 开关。(仅在被感染之前起作用,但亦有研究员表示并未起效果) (勒索软件特征、样本分析可阅读卡巴斯基最新报告) 文件解密的可能性 很不幸,对于已感染勒索软件 Petwrap 的受害者而言,目前尚无解密方案。 勒索软件 Petwrap 向受害者索取 300 美元赎金并要求将钱包号码通过邮件发送至 “wowsmith123456@posteo.net” 进行确认,这一方法确实有效然而遗憾的是,目前此邮件账号已被关闭。 我们能做什么?  1、安装强大的反病毒软件对预防勒索软件有一定效果(但不绝对) 2、确保更新 Windows 系统以及第三方软件至最新版本 3、不要打开任何非可信来源的附件、安装包 4、将重要数据定期备份至外部设备并保持脱机状态 HackerNews.cc 提醒广大 Windows 用户及时修复系统漏洞,尤其是安装微软发布的“永恒之蓝”(MS17-010)补丁以防感染恶意软件。此前国内各大安全厂商针对 WannaCry 提出的恶意软件预防方案依旧有效(但不绝对)。   HackerNews.cc  我们将为您持续关注“Petwrap 勒索软件”最新动态。 —— 2017-06-27 23:00 第二次更新 —— 2017-06-28 06:00 第三次更新 —— 2017-06-28 11:30 第四次更新

SamSam 勒索软件攻击数量激增,赎金水涨船高至 33,000美元

据外媒 25 日报道,AlienVault 研究人员发现 SamSam 勒索软件近期攻击数量激增,赎金金额也一度水涨船高至 33,000 美元赎金。 SamSam 采用 C 语言编写,最早曝光在一年前,主要采用以下技术: 1、利用 JBoss 漏洞等传统攻击方式获取远程访问权限 2、部署 Web shells 3、通过 ReGeorg 等 HTTP 信道连接至 RDP 4、运行 batch 脚本,在设备上部署勒索软件 据悉,犯罪分子将恶意软件手工安装至目标系统,旨在感染网络上其他设备。目前,解密一台设备价格 1.7 比特币( 4,600 美元)、解密半数设备价格 6 比特币( 16,400 美元)、解密所有设备价格 12 比特币( 32,800 美元)。FBI 曾在去年发布两次警报。此次赎金上涨可能与内部业务量加大有关。 调查显示,SamSam 近期变体较之前版本无任何改变,利用 encc.myff1 与 encc.EncryptFile 加密。一旦成功加密文件,恶意软件将删除初始文件,但并不清理已删除文件扇区,允许用户恢复全部或部分文件。 今年 4 月,纽约一家医院被爆感染该勒索软件,但院方拒绝支付 44,000 美元赎金。此外,SamSam 还被报道与多起攻击活动有关,其中包括发生在去年马里兰州 MedStar Heath 的大型勒索事件。 研究人员在分析 SamSam 近一周比特币交易记录后发现,犯罪分子最新获取的一笔赎金高达 33,000 美元。 原作者:Pierluigi Paganini ,译者:游弋,校对:FOX 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

维多利亚州警方在测速相机感染勒索软件后撤销 8 千交通罚单

加拿大维多利亚州警方在测速相机感染勒索软件后宣布撤销 8 千多个交通罚单。它的测速相机被发现感染了勒索软件 WannaCry,测速相机并没有联网,勒索软件病毒是通过维护工人使用的一个被感染的 U 盘传播到系统内的。感染日期是 6 月 6 日,警方一开始估计有 55 个测速相机暴露在病毒下,但之后数量增加到了 280 个。 病毒导致相机不断重启,警方表示没有迹象显示病毒会导致测速雷达的数据不正确,它决定撤销在感染期间发出的交通罚单。在确保相机工作正常后,警方可能会重新发出交通罚单。 稿源:cnBeta,封面源自网络

McAfee 安全报告:Mac 恶意软件持续增长

据 McAfee 指出,去年 Mac 恶意软件的增长持续到了今年,仅第一季度就增长了 53%,检测到的恶意软件实例总数已超过 70 万起。当然,您也无需因为看到这些恐怖的数字而过分担忧。首先,该公司正在测量的是实例而不是应用程序的数量。如果在 10,000 台 Mac 上检测到一个恶意软件,则记录为 10,000 个实例。其次,McAfee 再次指出,这个数字是由于广告软件的恶化而增加的。 广告恶意软件很烦人,它会在浏览器或其它应用中显示广告,但通常不会对您的数据构成任何威胁。最后,检测到的 Mac 恶意软件的实例仅占 Windows 机器的 1%(总计达到 7 亿起)。这除了因为 macOS 基数较小,不太经常成为目标外,部分原因还是 Mac 平台内置了更严格的保护。 当检测到恶意软件时,苹果通常会通过安全更新来快速进行回应。但安全专家强调,这并不代表着 Mac 用户就可以自满。和往常一样,最安全的做法是仅从 Mac App Store 和值得信赖的开发者处安装软件。 稿源:cnBeta,封面源自网络。