Medusalocker勒索团伙破解RemoteUtilities商业远控软件实施窃密勒索

一、概述

Medusalocker勒索团伙于2019年10月开始活跃，国内外均有大量受害者。早期该团伙通过对入侵机器内的数据文件进行加密勒索1比特币（BTC）。随着文件加密+数据窃取的勒索模式流行，该团伙会在勒索信中威胁：“已收集了高度机密的资料，不付赎金就公之于众”。

腾讯安全威胁情报中心在进行例行高危风险样本排查过程中，发现该勒索团伙使用的样本托管资产（IP:45.141.84.182），对该资产其进行分析后发现，Medusalocker团伙除使用加密模块对文件进行加密外，其武器库中还包括一系列渗透过程中使用的相关工具和窃密木马。

有趣的是，分析后发现区别于传统的窃密木马，Medusalocker勒索团伙除使用CobaltStrike窃密木马外。还对商业远程控制软件RemoteUtilities（类Teamviwer软件）进行了破解重打包（系对官方版本的窗口、托盘、模块完整校验位置进行Patch）。由于RemoteUtilities属于正规商业远程控制软件，如果被用于窃密监听，会更加隐蔽，安全软件通常并不将此类商业远控软件报告为病毒。同时，由于修改版本木马与官方版本程序代码仅存在少量差异，也将比一般窃密木马具备更好的免杀效果。

近年来，勒索病毒从广撒网模式到针对性特定企业的精准打击，从单纯的数据加密演变为数据窃取加勒索。攻击者入侵企业内一台资产后，通常并不立刻进行加密操作。而是通过长时间的扫描探测，窃取机密信息后，再大面积对企业实施加密勒索。若企业使用备份数据进行还原，勒索团伙则威胁公开受害企业的机密数据继续敲诈。这对企业带来经济和社会声誉的双重损失。因此，我们提醒各政企机构高度警惕勒索病毒的攻击。

Medusalocker勒索病毒攻击者留下的勒索信

受害者在安全论坛发布的求助帖

腾讯电脑管家、腾讯安全T-Sec终端安全管理系统（御点）均可查杀拦截Medusalocker勒索病毒。

二、详细分析

魔改RemoteUtilities远程控制软件

RemoteUtilities是一款可免费，可商用，能够自建中继服务器的远程控制软件（类似于Teamviewer、向日葵等工具），该软件支持Windows、Mac、Linux、IOS、Android等多个平台版本。该软件服务端（Agent）运行后会弹出明显的服务端窗口信息，托盘展示信息等，一般用于管理员对多台设备进行统一的操作和管理。Medusalocker勒索病毒团伙通过对RemoteUtilities进行破解重打包后，将其作为窃密木马使用，达到植入目标系统持久化控制的目的，其修改流程主要有下文中分析中的多个步骤。

RemoteUtilities远控软件官网介绍

正常RemoteUtilities被控端（Agent）运行后的界面

RemoteUtilities精简破解重打包

RemoteUtilities正常被控端安装后后会存在大量模块文件，修改版本安装后后仅使用3个模块（移除非远程控制必须组件以外的其他模块），精简破解后重打包的版本安装完成后，会添加计划任务启动，进而实现持久化的远程控制。

下图上为完整版RemoteUtilities被控端安装文件，下为病毒修改版安装文件：

计划任务将自动启动病毒远控。

RemoteUtilities-Patch-1：

通过对官方版本被控端的ShowWindow函数调用进行nop处理，导致官方版本被控端启动时的所有窗口界面消失，从而实现无交互界面被远程控制，系统托盘、消息界面全部被隐藏：

官方版本完整代码：

修改后病毒版本代码：

RemoteUtilities-Patch-2：

通过对官方版本被控端的Terminateprocess函数调用进行nop处理，导致官方被控端相关快捷退出方式失效，从而让攻击者稳定持久的远程控制，持续进行窃密活动。

官方版本完整代码：

修改后病毒版本代码：

RemoteUtilities-Patch-3：

官方版本远程控制软件在运行后首先会对其安装目录下的所有模块完整性校验，当发现安装模块缺失后则直接会退出。病毒对其代码进行patch，使官方远控软件被控端校验流程被强行跳过。

官网软件模块完整性校验流程

官方版本完整代码：

修改破解后病毒版本代码：

RemoteUtilities-Patch-4：

官方程序每次接受命令或启动时会监测程序安装路径下rfuslient.exe模块，并将其执行起来，如果该文件不存在，则弹出一个系统错误对话框，随后服务端直接退出。病毒对其相关路径参数进行patch（破解），导致该处校验流程失效。

被绕过的模块完整性校验提示窗口，正常流程下服务端执行到此处代码将提示错误直接退出。

官方版本完整代码：

破解修改后病毒版本代码：

图为控制端界面，攻击者向攻击目标植入RemoteUtilities破解修改版本后可完全控制受控机器，可执行远程Shell、屏幕监控操作、语音监控操作、远程文件操作、RDP登录等等。

加壳的CobaltStrike

Medusalocker勒索病毒团伙同时还使用了加壳的CobaltStrike窃密木马，该版本窃密木马运行后首先以挂起方式启动系统白进程mstsc.exe，随后将Beacon恶意payload注入到mstsc.exe进程内，进而实现系统进程内执行远程控制恶意功能。其C2信息使用0x2E异或方式简单加密，解密后得到C2地址如下：

oow8Phokeing6kai5haH.glowtrow.online

ooLiey0phuoghei2cei7.cleans.online

eiphaem9aifuR1udaizu.badedsho.space

解密后的CobaltStrike配置信息

勒索辅助工具包

在该地址内，也发现了Medusalocker勒索团伙以往常用的工具包。包括本地系统口令窃取工具、浏览器密码窃取工具、局域网端口扫描工具、网络共享资源扫描工具、PsExec命令执行工具、Ark内核对抗工具、两个bat脚本文件等，这些工具在后期渗透局域网其他主机过程中使用。

Bat脚本主要功能有以下部分：

EnableLUA，避免系统提示以管理员权限执行等问题；

对系统内粘滞键、放大镜、系统帮助、Windows辅助工具管理器等程序进行映像劫持，侧面印证该团伙可能对系统内该系列工具位置进行后门劫持利用；

开启3389端口并允许远程控制，关闭RDP相关的远程登录安全策略项；

删除系统卷影，删除系统备份等。