标签: 勒索软件

俄黑客推出“人性化” RaaS 业务,连小孩都能发起勒索软件攻击了

据外媒 21 日报道,安全研究人员近期发现暗网市场中正在出售一种新型勒索软件 Karmen 以及其衍生出的“勒索软件即服务(RaaS)模式”。调查显示,俄罗斯网络犯罪组织 DevBitox 以用户名 Dereck1 的身份在顶级暗网中出售这款勒索软件。 勒索软件 Karmen 于 2017 年 3 月在暗网中被发现出售,但首次感染事件可追溯至 2016 年 12 月。与其他变体一样,该勒索软件加密受害者数据,并要求缴纳赎金方可提供解密密钥。目前攻击者主要针对美国与德国用户设备。 攻击者除了将勒索软件 Karmen 设计为人性化通用技能与知识外,还采用了先进的安全逃避技术。例如,在系统中检测到沙箱环境或任何其他类型的安全分析软件,Karmen 将自动删除解密部分,重新获取受害者文件访问权限。 此外,勒索软件还具备专用控制面板功能,允许人们定制个性化攻击服务。Recorded Future 研究人员表示,对于购买勒索软件 Karmen 的网络犯罪分子来说,使用控制面板是极其简单的事情,因为仅需极少的技术与知识。 Recorded Future 安全团队主管 Andrei Barysevich 透露,目前只要花个 175 美元,就连五岁小孩都能进行勒索软件攻击了。而勒索软件 Karmen 附带的“ 客户端 ” 页面还能让购买者跟踪已感染设备,并提供支付赎金的更新状态。 至今为止,DevBitox 组织已销售 20 份勒索软件 Karmen ,还剩 5 份可供潜在客户购买。据统计显示,暗网上利用 RaaS 模式出售勒索软件的趋势显著增长,网络犯罪分子通过定制出售恶意软件,旨在允许技术知识有限的人员发起大规模攻击。   原作者:India Ashok,译者:青楚,译审:狐狸酱 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

勒索软件 CradleCore 源码已被公开销售,或衍生多种变体

Forcepoint 安全专家表示,CradleCore 作者正在许多地下犯罪论坛提供该勒索软件源码,允许犯罪分子请求代码定制版本,有别于典型的 ransomware-as-a-service ( RaaS ) 模式。 勒索软件 CradleCore 采用 C++ 源码,配合必要的 PHP Web 服务器脚本与支付面板。两周前,该款恶意软件售价 0.35 比特币(约合 428 美元),接收议价。 恶意软件开发者一般通过 RaaS 商业模式牟利。只有在具体做法不可行的情况下才会考虑出售恶意软件源码。据悉,该销售模式将导致 CradleCore 衍生更多变体。 CradleCore 功能相对完整,采用 Blowfish 进行文件加密,此外还允许离线加密。其恶意代码可以实现沙箱对抗机制并通过 Tor2Web 网关与 C2 服务器通信。调查表明,目标系统一旦感染,勒索软件 CradleCore 将对文件进行加密处理并向受感染系统发送 “ 死亡威胁 ”。加密后的文件被附加 .cradle 扩展名。 虽然 CradleCore 的广告网站托管在暗网上,但该网站的 Apache 服务器状态页面显示为可查询状态。日志显示,托管 Onion 网站的 Apache 服务器还有一个托管 clearnet 网站的虚拟主机( VHost ),允许多个网站托管在一台机器与一个 IP 地址之上。 Linode 分配的托管网站 IP 地址看似专用。这实质上意味着服务器或遭受入侵、被滥用托管 CradleCore 网站,或 clearnet 网站与 CradleCore 属于同一所有者。 由此看出,CradleCore 是又一款可供网络犯罪分子利用的新型勒索软件。作为源码销售的原因可能是作者对恶意软件商业模型了解有限,或为开发者寻找额外收入的首个项目或附加项目。也就是说,购买者不仅可以更新该款勒索软件,还可将源码分享至他人。 原作者:Pierluigi Paganini,译者:青楚,译审:游弋 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

勒索软件 Cerber 超越 Locky 获得暗网市场最大份额

据外媒 13 日报道,勒索软件 Cerber 出色的传播能力使 2017 年第一季度最常见的勒索软件 Locky 也黯然失色。Malwarebytes 实验室最新发布的一份网络犯罪报告中指出,勒索软件 Cerber 在暗网中的市场份额从 1 月份的 70% 上升至 3 月份的 87%。 Malwarebytes 研究人员表示,勒索软件 Cerber 能够肆意传播归功于其强大的加密功能,如离线加密等。与此同时,Cerber 采用了 RaaS( ransomware-as-a-service,勒索软件即服务) 商务模式,允许攻击者进行修改或租赁,致使非技术攻击者也可轻松获取勒索软件的自定义版本。 Malwarebytes 研究人员从 Microsoft 分析报告中发现,感染 windows 10 的勒索软件中 Cerber 已然排名第一。相比之下,勒索软件 Locky (去年排名第一)已脱离暗网的主流,或是因为攻击者利用僵尸网络 Necurs 发送垃圾邮件的攻击战术发生了改变。迄今为止,Malwarebytes 发表的报告中并未出现勒索软件 Locky 的最新版本。 调查表明,勒索软件 Cerber 通常以弹出式广告或电话呼叫的方式感染目标设备。倘若受害者发出回应,攻击者则利用各种社会工程技术哄骗受害者安装其他软件或订阅有害服务。由于攻击者难以通过正规渠道获得赎金,他们已开始接受其他支付方式进行诈骗,如苹果礼品卡与比特币。 原作者:John Leyden,译者:青楚,译审:狐狸酱 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

勒索软件 Cerber 可识别虚拟机以躲避安全人员的分析

目前一款最臭名昭著的勒索软件已经进一步发展,获得了防止网络安全工具检测的能力,使恶意软件难以被安全人员分析。这款名为 Cerber 的勒索软件在 2016 年初被发现,除了加密受害者文件的典型行为之外,恶意软件还包含一个 .vbs 文件,显示赎金票据以进一步吓唬那些已被感染的受害者。 此外,Cerber 使用一组分配命令和控制服务器,使用 Cerber 的网络犯罪分子几乎可以分发 Cerber 。如果他们成功地感染受害者并且获得赎金,那么 Cerber 勒索软件开发者获得 40% 的利润,而具体攻击者则获得 60% 的利润。 典型的勒索软件通常通过恶意电子邮件发送,其中包含恶意网站的附件或链接。根据趋势科技表示,新版本的 Cerber 将会引导用户打开由黑客控制的 Dropbox 链接。一旦打开,Cerber 有效载荷将自动下载和提取,无需任何用户交互。 为了能够逃避检测,现在 Cerber 会检查它是否在虚拟机上运行,这是因为网络安全研究人员通常通过沙箱来分析恶意软件代码,从而无法传播到其他系统。如果 Cerber 检测到它正在虚拟环境中运行,它将停止运行。趋势科技公司的Gilbert Sison 表示:Cerber 采用的新型封装和加载机制可能会导致静态机器学习方法的问题,即分析文件而无需执行或仿真。 稿源:cnBeta;封面源自网络

2016 年约有 61% 的组织遭受勒索软件攻击

根据 CyberEdge 集团的“网络威胁防御报告”显示,2016 年大约有 61% 的组织遭受了勒索软件的攻击。在这些受感染者中,超过三分之一的公司通过向勒索者付费恢复了数据;54% 的公司拒绝缴纳赎金;13% 的公司永久失去了所有数据。 随着行业的发展,有利可图的恶意软件在当今时代越来越盛行。近期,有攻击者表示:仅仅在去年,他们利用恶意软件对各大公司进行入侵时,获取赎金高达 10 亿美元。 CyberEdge 的报告指出,越来越多的组织成为网络罪犯的牺牲品。从 2015 年的 70% 到 2016 年的 76% ,再到今年的 79% 。这些数字都得到了卡巴斯基实验室的证实并做出评估报告。报告中表明:在 2016 年全球有 1445434 个用户遭到 62 类加密勒索软件家族 54000 个变种的攻击。平均每隔 10 秒就有一个普通用户遭到勒索,每隔 40 秒就有一个组织或者企业成为攻击目标。 黑客们的惊人技术,早已攻破互联网巨头谷歌和雅虎的防护,并进行数据盗取,从而导致公司安全支出的激增。目前, CyberEdge的 研究人员认为:员工的低安全意识,导致组织更加容易受到攻击。 原作者: FRANCISCO MEMORIA,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

俄罗斯背景黑客以公布电子邮件要挟自由团体

根据 Bloomberg 的一份新报告表示,FBI 和私人安全人士指出,最近几个月,至少有 12 个美国自由团体被黑客勒索。黑客向这些团体展示已经被盗的电子邮件或云数据,并且威胁要支付赎金,要么让这些数据公之于众。根据彭博社的数据,赎金数额在 3 万到 15 万美元之间。 彭博名单中只有两个具名团体遭受威胁:美国进步中心和阿拉贝拉合作伙伴。虽然美国进步中心拒绝接受任何此类威胁,尚不清楚可能涉及的其他群体对勒索的反应。 由于涉及金钱,勒索企图通常与网络罪犯相关,而不是情报机构的行。然而,彭博社的消息来源称,这些攻击中使用的许多技术与以前 Cozy Bear 小组采用的技术类似,而后者和俄罗斯情报机构有关。私人网络安全小组以前报告了在选举之后对智囊团和非政府组织的一系列鱼叉式攻击,其中许多攻击也使用了 Cozy Bear 的技术和工具包。 稿源:cnBeta;封面源自网络

智能手机已成黑客攻击的首选目标

据法国法新社 3 月 2 日消息,专家警告称,载有银行数据、信用卡信息和个人地址等数据的智能手机俨然已经成为个人资料库,但这也使其成为网络罪犯的首选攻击目标。国际杀毒软件公司卡巴斯基实验室法国分公司的主管唐吉(Tanguy de Coatpont)在巴塞罗那召开的世界移动通信大会上表示: “哪里的信息有价值,哪里就有网络罪犯的身影。网络罪犯们意识到智能手机已经成为网上购物和支付的首选终端。” 报道称,勒索软件( Ransomware )也已经开始将智能手机作为目标。该软件是一种通过锁住计算机,使用户无法正常使用,并以此胁迫用户支付解锁费用的恶意软件。 专家们在世界移动通信大会上说,现在手机因为能够接触到其用户关键信息,也在受到攻击。英特尔安全事业部法国部门的负责人法比安•雷什( Fabien Rech )表示,网络罪犯的手段已经从用勒索软件攻击智能手机发展为利用窃取的手机银行用户登录凭据的木马病毒软件。他们利用盗窃得来的凭据就可以远程登录受害人的帐户,之后将钱转走。 雷什说:“我们看到越来越多的银行应用程序受到了攻击。” 根据斯洛伐克网络安全公司 ESET 的数据显示,去年全球针对手机银行应用程序的网络攻击频率增加了 17% 。 卡巴斯基实验室的负责人、俄罗斯网络安全专家尤金•卡斯佩尔斯基( Eugene Kaspersky )说,一些年轻网络犯罪分子更擅长利用智能手机。 他说:“我认为前代网络罪犯攻击的目标是个人电脑,而新一代的攻击对象则是智能手机”。 稿源:cnBeta;封面源自网络  

勒索软件 Dharma 密钥“泄露”,用户可免费解密恢复文件

勒索软件 Dharma 的受害者现在可以免费获得解密密钥。周四上午卡巴斯基实验室的 Rakhni 解密工具添加了勒索软件 Dharma 的解密密钥。 据称,一个名为“ gektar ”的用户在 BleepingComputer.com 论坛上发布了一个 Pastebin 链接,其中包含该勒索软件的解密密钥。研究员对密钥进行分析发现钥匙是有效的,并将其纳入现有的解密工具。勒索软件 Dharma 是勒索软件 Crysis 的变种,最初出现在去年 11 月,受害者 C 盘下的文件被加密并以“ .dharma ”结尾。在某些情况下,文件名也会被更改为电子邮件地址“ @ india.com ” 。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

针对 Android 平台的勒索软件攻击一年内增长了 50%

趋势科技进行的一项调查发现,针对 Android 操作系统的勒索攻击在短短一年内增长了超过 50%,因为越来越多的消费者从他们的 PC 切换到他们的智能手机,使移动操作系统生态系统成为网络犯罪分子更有价值的目标。 根据安全公司 ESET 的报告,加密恶意软件攻击的最大峰值来自 2016 年上半年。还发现锁定屏幕上的所谓“警察勒索软件”一直是 Android 平台上勒索软件的主要类型,可以有效地吓唬一些受害者,这类软件声称受害者犯罪,这导致许多人向攻击者支付所谓赎金。 除此之外,研究人员还发现,犯罪者通过将恶意软件的有效载荷加密深入到被感染的应用程序内,增加了它们被发现的难度。在 ESET 发布的勒索软件白皮书中表示,东欧是勒索软件开发商的主要目标。然而,随着时间的推移,这种情况已经改变,勒索软件记录在案的成功攻击事件当中,有 72% 发生在美国。研究发现,这种转变是由于在美国的移动用户一般比东欧更富有,因此针对美国的用户的攻击将为他们带来更多的利润。 为了确保 Android 设备安全,ESET 建议用户远离第三方应用商店,及时更新移动安全软件并且小心访问那些未知网站,因为并不是每一个登陆页面都是安全的。 稿源:cnBeta;封面源自网络

讲俄语的开发者创造了世界上 75% 的加密勒索软件

据卡巴斯基实验室统计,在 2016 年全球有 1445434 个用户遭到 62 个加密勒索软件家族 54000 个变种的攻击。平均每隔 10 秒就有一个普通用户遭到勒索,每隔 40 秒就有一个组织或者企业成为攻击目标。 卡巴斯基实验室统计的 2016 年勒索软件威胁 卡巴斯基实验室研究员发现, 62 个加密勒索软件家族中有 47 个是由使用俄语的开发者创建的。这个结论是基于对俄罗斯地下论坛、指挥与控制基础设施和相关文献的观察分析得出。 近年来加密勒索软件发展迅速 一方面归因于灵活且良好的地下生态系统,犯罪分子几乎不需要额外的技术和资金投入,即可借助平台分发勒索软件进行攻击并获得赎金抽成。另一方面,虚拟货币的发展(如比特币),使加密勒索攻击更容易货币化。 参与“业务”的三种类型 俄罗斯地下加密勒索市场目前为犯罪分子提供三种不同的参与方式 ·研发新的勒索软件用于销售 ·发展并支持联盟营销计划,分发勒索软件 ·作为合作伙伴参与联属计划 第一种类型的参与者处于金字塔顶端,不需要参与实际攻击,只负责开发勒索软件,但需要具有很强的代码编写技能。 第二种类型的参与者扮演着代理商的角色,负责联盟营销计划的经营(如一些犯罪社区),借助漏洞包、恶意垃圾邮件等附加工具分发勒索软件。 第三种类型的参与者处于生态链的底层,是联盟营销计划的合作伙伴,负责协助分发恶意软件,可获取赎金的部分抽成。 小结 卡巴斯基实验室还很难解释为什么这么多勒索软件家族由俄语犯罪分子开发。目前卡巴斯基正在跟踪几个专门从事加密勒索软件开发和分发的组织。他们的目标列表不仅包括普通的互联网用户,还包括中小型企业,传播范围也从俄罗斯地区蔓延向世界其他地区。 勒索软件攻击企业的方式也发生着改变。它们不再依赖于钓鱼邮件传播勒索软件。相反,它们开始攻击企业的服务器并利用开源漏洞工具传播勒索软件,并建立后门持续监控网络、识别重要文件。攻击目标也变得更加有针对性,并逐渐向大型企业转移。 此外,卡巴斯基实验室还在其博客中介绍了俄罗斯地下勒索软件市场的成本和利润之间的关系以及各层人员间的利益分配。卡巴斯基希望借此提高公众对勒索软件的危机意识做好防范工作、并为想打击勒索软件的有志人士提供参考信息。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。