ida虚拟货币（2021年7月勒索病毒态势分析）
勒索病毒威胁仍是当前最热门的网络安全风险，360反勒索服务已累计接收处置数万勒索病毒感染求助。随着新型勒索病毒的快速蔓延，企业数据泄露风险不断上升，数百万甚至上亿赎金的勒索案件不断出现。勒索病毒给企业和个人带来的影响范围越来越广，危害性也越来越大。360安全大脑针对勒索病毒进行了全方位的监控与防御，为需要帮助的用户提供360反勒索服务。
2021年7月，全球新增的活跃勒索病毒家族有！BlackMatter、Grief、AvosLocker、nohope、GoodMorning、MiniWorld、FancyLeaks、LegionLocker、LockBit2。0等勒索软件。本月还发现Linux版本的HelloKitty正对安装VMWare ESXI的服务器发起攻击。
此外，本月发现DarkSide家族重命名为BlackMatter，而DoppelPaymer重命名为Grief。AvosLocker可能和Avaddon是同一批人运营，而目前双重勒索病毒中最为活跃的一个家族是LockBit2。0。
感染数据分析
针对本月勒索病毒受害者所中勒索病毒家族进行统计，Stop家族占比24。11%居首位，其次是占比14。23%的phobos，Makop家族以10。28%位居第三。
本月GlobeImposter家族比较罕见的掉出前三，同时本月通过匿隐僵尸网络进行传播的YourData以及针对网络存储设备进行攻击的ech0Raix勒索软件有较大的上涨。
对本月受害者所使用的操作系统进行统计，位居前三的是：Windows 10、Windows 7以及Windows Server 2008。
2021年7月被感染的系统中桌面系统和服务器系统占比显示，受攻击的系统类型仍以桌面平台为主，与上月相比无较大波动。本月针对NAS设备的攻击事件依然较多，导致其占比有所上涨，建议受害者立即提高设备登录口令的复杂度。若使用的NAS设备品牌为威联通，则还应及时对HBS多媒体软件进行升级。
勒索病毒疫情分析
Kaseya遭REvil供应链攻击，100万个系统被加密，购恢复文件需支付7000万美元的赎金
REvil勒索团伙在暗网数据泄露网站发布了一则声明：“ 周五（2021。07。02）我们对MSP提供商发起了攻击，超过100万个系统被感染。如果任何人想要协商通用解密器——我们的价格是7000万美元的BTC，那我们将公开发布解密器解密所有受害者的文件，然后每个系统都能在一小时内得到恢复。如果您对此类交易感兴趣——请使用受害者系统中留下的‘readme’文档与我们联系。”
图1 。REvil勒索软件公告
除通用解密器的报价，REvil还对不同类型的受害者报出了不同赎金：针对MSP(管理服务提供商) REvil索要500万美元，而向其客户则索要4万到4。5万美元作为赎金。此次攻击事件影响了多个托管服务商及其一千多名客户。其中瑞典最大连锁超市Coop因此次事件导致收银系统被感染，被迫关闭了500家商店。
针对此次事件调查时，REvil利用Kaseya VSA服务器中的漏洞来访问安装在客户系统中的VSA设备，然后通过被感染设备转向所有连接的工作站和公司网络，并安装有效载荷并加密客户文件。该漏洞并非未知漏洞，Kaseya正在替其用户发布补丁，但不幸的是还是被REvil先一步利用了。这次攻击事件不仅是近两年来感染设备量最大的一次，同时也创造了索要赎金金额最大的记录。
大部分受害者均拒绝向黑客支付赎金——在7月中旬仅有两名受害者向黑客妥协，而7月底，Kaseya从受信任的第三方手中获取到了通用解密工具，可以协助此次受攻击影响的设备免费解密文件。
宣称速度最快的LockBit 2。0本月极度活跃
7月中旬，已消失6个月的LockBit在其数据泄露网站发布一条新闻宣布更新版本为2。0。其中最引人注意的是该家族宣称是加密文件最快的勒索软件，并提供了2。0 版本和其他34个勒索软件的加密速度对照表格。同时还会为其攻击者支提供名为"；DESITET"；的数据软件，攻击者可通过该软件压缩、上传文件用户文件，作者宣称可在20分钟内上传100GB数据。在之前发现的版本中，该家族窃取数据利用到了第三方软件MegaSync。而在今年6月份时，RagnarLocker勒索家族还曾利用MegaSync来公开发布受害者数据，不过当时MegaSync很快做出反应，删除了该攻击者账户并取消了链接的访问权限。所以猜测也正是由于这个原因，Lockbit 2。0选择了一个新的数据软件来窃取数据。
图2。 LockBit公布的勒索软件加密文件效率测试图
同时该勒索软件还在新闻中提到，此次的最新版本具有自传播能力。该勒索软件通过使用Active Directory组策略自动加密Windows域。
图3。 LockBit2。0官方公告图
本月该勒索软件家族已成为活跃度最高的勒索病毒家族之一。截止目前为止已有62个企业/组织的数据遭到该家族的窃取，该家族最高一天曾连续公布12个受害企业/组织名单。目前该数据泄露网上仅保留40名受害者信息，由此可推测已有22名受害者向该勒索软件团伙支付了赎金。
匿影僵尸网络协YourData勒索软件再度来袭
近日360安全大脑监控到YourData勒索病毒开始采用匿影僵尸网络进行传播(该僵尸网络还曾传播过WannaRen以及CryptoJoker勒索病毒家族)， 该家族又被称作Hakbit、Thanos家族，最早出现于2019年11月。但在2021年1月中旬之前，国内极少出现被该家族或变种攻击案例。2021年1月开始在国内出现该家族的变种，由于早期其后缀虽一直更新，但在国内传播时使用到的邮箱均为yourdata@RecoveryGroup。at，被命名为YourData。
该病毒演变过程如下：
- 2021年1月份开始，该变种开始在国内开始采用暴力破解远程桌面口令进行传播，并不具备任何针对性的投放勒索病毒。
- 2021年4月份开始，发现该家族开始针对性的进行投放勒索软件，使用带有受害者公司名特征的字符串作为后缀，重命名被加密文件。同样采用暴力破解远程桌面口令进行传播。
- 2021年7月份开始，发现该家族开始通过匿隐僵尸网络进行传播，不具体针对性，但是传播量有大幅度提升。
进行针对性攻击时，该家族在生成的勒索提示信息中不仅给出了邮箱联系方式，还给为受害者提供了一个网址，可和黑客进行即时通信。黑客给受害者24小时的时间，若不能在24小时内支付0。7BTC的赎金，解密文件所需费用将提升20%。
图4。 YourData及时通信
此次利用匿影僵尸网络投放的勒索病毒生成的勒索提示信息，仅提供邮件地址供受害者联系。
图5。 YourData勒索提示信息
DoppelPaymer勒索软件重命名为Grief卷土重来
在DarkSide袭击美国最大的燃料管道运营商之一的Colonial Pipeline后，DoppelPaymer的活动开始下降。5月开始其数据泄露网站未曾更新过受害者消息，近日发现DoppelPaymer进行品牌重塑后，重命名为Grief(又叫Pay)。两者有较多相似之处：
- 两者共享相同的加密方式。
- 相同的分发渠道(Dridex僵尸网络)。
- 高度相似的代码，采用相同的加密算法(RSA2048和AES-256)。
- 均使用欧盟通用数据保护条例(GDPR)作为警告，未付款的受害者仍将因违规而面临法律处罚。
- 数据泄露站点上的防止爬虫的验证码等。
该家族最早的信息是从2021年6月开始的，但被捕获到的样本的编译时间为5月17日。同时该家族接受赎金时仅支持XMR虚拟货币，采用此虚拟货币很大程度是为了避免被追溯。目前已出现受害者，其中Clover Park学区被索要价值35万美元的XMR。
DarkSide更名为BlackMatter再度活跃，目标瞄准资产超1亿美元企业
在DarkSide袭击美国最大的燃料管道运营商之一的Colonial Pipeline后不久，便关停了所有的基础设施，并销声匿迹。7月发现一新型勒索软件BlackMatter(由DarkSide重命名而来)开始在网络犯罪论坛开始发布各种广告招募合作伙伴，并声称同时拥有REvil和DarkSide的最佳功能。
该团伙在攻击受害者的同时，还积极的从其他攻击者那里购买网络访问权限以发起新的勒索攻击。该家族曾在网络犯罪论坛发布消息称，其主要目标是那些盈利超过1亿美元，网络中存在500-15000台设备的公司。
图6。 BlackMatter团队暗网论坛招募同伙广告
该勒索病毒不仅支持在Windows上运行，还支持在Linux和EXSi服务器上运行。目前已出现受害者被攻击，并且已有受害者向BlackMatter支付400万美元的赎金。从其数据泄露网站发布的消息看，该家族声称不会攻击以下行业，并承诺若以下行业不幸中招，会提供免费的解密工具：
- 医疗行业
- 关键基础设施（核电站、发电厂、水处理设施）
- 石油和天然气工业（管道、炼油厂）
- 非盈利公司
- 政府部门
图7。 BlackMatter暗网数据泄露网站公告
黑客信息披露
以下是本月收集到的黑客邮箱信息：
|
k3n3dy@xmpp。cz
|
GoodMorning9@cock。li
|
ustedesfil@safeswiss。com
|
|
raincry@dr。com
|
johnlo@techmail。info
|
willettamoffat@yahoo。com
|
|
keepcry@mail。con
|
recupes@tutanota。com
|
GooodMorning@tutanota。com
|
|
recofile@mail。ee
|
tedydecrypt@elude。in
|
JessMalibu@protonmail。com
|
|
Zeus1@msgsafe。io
|
helpguarantee@aol。com
|
yourdata@RecoveryGroup。at
|
|
3292987166@qq。com
|
mrreturn@ctemplar。com
|
cryptodancer@onionmail。org
|
|
dragon520@mail。me
|
slamhelp123@gmail。com
|
devos_support@pressmail。ch
|
|
Handi@firemail。cc
|
AsupQue@protonmail。com
|
fushenkingdee@tutanota。com
|
|
kingkong2@tuta。io
|
diniaminius@winrof。com
|
GooodMorning1@tutanota。com
|
|
Naver@firemail。cc
|
recofile@mailfence。com
|
Forexexchane@protonmail。com
|
|
norahghnq@gmx。com
|
chickenfried@keemail。me
|
Goood。Morning@mailfence。com
|
|
chaziz@firemail。cc
|
decryptionwhy@india。com
|
protoshak140@protonmail。com
|
|
ecoding141@tuta。io
|
irrelevantly@aliyun。com
|
Goood。Morning1@mailfence。com
|
|
greenoffer@aol。com
|
justiceinfo@disroot。org
|
martingarrix@nonpartisan。com
|
|
datos@onionmail。org
|
soterissylla@wyseil。com
|
nohopeproject@protonmail。com
|
|
desmcmorran@aol。com
|
yourdataok@tutanota。com
|
troublemaker113@tutanota。com
|
|
greenoffer1@aol。com
|
greenoffer1@tutanota。com
|
troublemaker113@mailfence。com
|
|
nomanscrypt@tuta。io
|
kabayaboo@protonmail。com
|
bob_marley1991@libertymail。net
|
|
AsupQue@tutanota。com
|
managerhelper@airmail。cc
|
slamransomwareasistance@gmail。com
|
表格1。 黑客邮箱
当前，通过双重勒索模式获利的勒索病毒家族越来越多，勒索病毒所带来的数据泄露的风险也越来越大。以下是本月通过数据泄露获利的勒索病毒家族占比，该数据仅为未能第一时间缴纳赎金或拒缴纳赎金部分（因为第一时间联系并支付赎金的企业或个人不会在暗网中公布，因此无这部分数据）。
以下是本月被双重勒索病毒家族攻击的企业或个人。若未发现被数据存在泄露风险的企业或个人也请第一时间自查，做好数据已被泄露准备，采取补救措施。
|
dimeo
|
Geneva， Ohio
|
Arabian Cargo Group
|
|
imasa
|
Stevens & Lee
|
Breydons Solicitors
|
|
cegos
|
Talbert House
|
Pesquera Exalmar SAA
|
|
KASEYA
|
Paxton Access
|
ensingerplastics。com
|
|
Walsin
|
Paxton Access
|
Dragon Capital Group
|
|
Alcedo
|
aris-services
|
cecengenharia。com。br
|
|
Bamford
|
cometgroup。be
|
Commune De Villepinte
|
|
ALBIOMA
|
kennen。com。ar
|
Heller Injury Lawyers
|
|
CHADDAD
|
betonlucko。hr
|
swiftlogistics。com。my
|
|
Beckley
|
anderscpa。com
|
Virginia Defense Force
|
|
habasit
|
Techni+Contact
|
Belperio Clark Lawyers
|
|
matchmg
|
siro-group。com
|
europeanaccounting。net
|
|
Gulf Oil
|
The Wild Rabbit
|
creditoycaucion。com。ar
|
|
Hx5， LLC
|
Mambrino S。A。C。
|
sahintoptangida。com。tr
|
|
DiaSorin
|
Gateway College
|
classicalmusicindy。org
|
|
keltbray
|
INSERM-TRANSFER
|
Sierra Air Conditioning
|
|
friedrich
|
grupodismar。com
|
kuk。de / KREBS + KIEFER
|
|
PCM Group
|
f**************
|
Florida Sugar Cane League
|
|
BHoldings
|
vincents。com。au
|
Walter'；s Automotive Group
|
|
Cinépolis
|
SAC Wireless Inc
|
Elm3 Financial Group， LLC
|
|
Actiontec
|
Sandhills Center
|
Nottingham City Transport
|
|
infovista
|
Home in Brussels
|
Haftpflichtkasse Darmstadt
|
|
Jhillburn
|
Grupo DINA S。A。
|
GATEWAY Property Management
|
|
HUF GROUP
|
Phoenix Services
|
Artas Holding / Artas Insaat
|
|
Daylesford
|
riostarfoods。com
|
South Carolina Legal Services
|
|
inocean。no
|
modernbakery。com
|
Century 21 Gold Key Realty， Inc
|
|
IBC24 News
|
Agrokasa Holdings
|
Walter'；s Mercedes-Benz of Riverside
|
|
apg-neuros
|
Aquazzura Firenze
|
Trifecta Networks & CloudFirst Labs
|
|
ccz。com。au
|
Revision Skincare
|
On logistics Services Algeciras， S。L
|
|
Mega Vision
|
spiralfoods。com。au
|
Corporación Nacional de Telecomunicación
|
|
supplyforce
|
cspmould-stampi。it
|
SALZBURGER EISENBAHN TRANSPORT LOGISTIK GmbH
|
|
Colligan Law
|
WT Microelectronics
|
Orange County Chrysler Jeep Dodge Ram Dealership
|
.jpg)
表格2。 存在数据泄露风险的受害者名单
系统安全防护数据分析
通过将2021年6月与7月的数据进行对比，本月各个系统占比变化均不大，位居前三的系统仍是Windows 7、Windows 8和Windows 10。
以下是对2021年7月被攻击系统所属地域采样制作的分布图，与之前几个月采集到的数据进行对比，地区排名和占比变化均不大。数字经济发达地区仍是攻击的主要对象。
通过观察2021年7月弱口令攻击态势发现，RDP和MYSQL弱口令攻击在总体量级层面无较大变化。而利用MSSQL进行传播勒索的家族本月的感染量也有大幅度的下降——例如上个月的GlobeImposter家族。
勒索病毒关键词
以下是本月上榜活跃勒索病毒关键词统计，数据来自360勒索病毒搜索引擎。
- devos：该后缀有三种情况，均因被加密文件后缀会被修改为devos而成为关键词。但月活跃的是phobos勒索病毒家族，该家族的主要传播方式为：通过暴力破解远程桌面口令成功后手动投毒。
- eking：属于phobos勒索病毒家族，由于被加密文件后缀会被修改为eking而成为关键词。该家族主要的传播方式为：通过暴力破解远程桌面口令成功后手动投毒。
- Makop：该后缀有两种情况， 均因被加密文件后缀会被修改为makop而成为关键词！
- 属于Makop勒索病毒家族，该家族主要的传播方式为：通过暴力破解远程桌面口令成功后手动投毒。
- 属于Cryptojoker勒索病毒家，通过“匿隐” 进行传播。
- gujd：属于Stop勒索病毒家族，由于被加密文件后缀会被修改为gujd而成为关键词。该家族主要的传播方式为：伪装成破解软件或者激活工具进行传播。
- zzla！同gujd。
- Lockbit：Lckbit勒索病毒家族，由于被加密文件后缀会被修改为lockbit而成为关键词。该家族主要的传播方式为：通过暴力破解远程桌面口令成功后手动投毒。
- neer：同gujd。
- hauhitec：属于CryptoJoker，由于被加密文件后缀会被修改为hauhitec而成为关键词。通过“匿隐” 僵尸网络进行传播。
- moqs！ 同gujd。
- encrypt：该后缀被很多家族均使用过，但在本月活跃的是ech0Raix勒索软件，由于被加密文件后缀会被修改为encrypt而成为关键词。该家族针对网络存储设备NAS进行攻击，主要通过弱口令攻击以及漏洞攻击进行传播。
解密大师
从解密大师本月解密数据看，解密量最大的是CryptoJoker，其次是GandCrab。使用解密大师解密文件的用户数量最高的是被Stop家族加密的设备，其次是被Crysis家族加密的设备。
安全防护建议
面对严峻的勒索病毒威胁态势，360安全大脑分别为个人用户和企业用户给出有针对性的安全建议。希望能够帮助尽可能多的用户全方位的保护计算机安全，免受勒索病毒感染。
- 针对个人用户的安全建议
对于普通用户，360安全大脑给出以下建议，以帮助用户免遭勒索病毒攻击。
- 养成良好的安全习惯
- 电脑应当安装具有高级威胁防护能力和主动防御功能的安全软件，不随意退出安全软件或关闭防护功能，对安全软件提示的各类风险行为不要轻易采取放行操作。
- 可使用安全软件的漏洞修复功能，第一时间为操作系统和浏览器，常用软件打好补丁，以免病毒利用漏洞入侵电脑。
- 尽量使用安全浏览器，减少遭遇挂马攻击、钓鱼网站的风险。比特币汇率
- 重要文档、数据应经常做备份，一旦文件损坏或丢失，也可以及时找回。
- 电脑设置的口令要足够复杂，包括数字、大小写字母、符号且长度至少应该有8位，不使用弱口令，以防攻击者破解。
- 减少危险的上网操作
- 不要浏览来路不明的色情、赌博等不良信息网站，此类网站经常被用于发起挂马、钓鱼攻击。
- 不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接。也不要轻易打开扩展名为js 、vbs、wsf、bat、cmd、ps1等脚本文件和exe、scr、com等可执行程序，对于陌生人发来的压缩文件包，更应提高警。
评论