Maze勒索软件分析 – 作者:Kriston

在过去的一年中,Maze勒索软件已成为企业和大型组织严重威胁之一。 数十个组织已成为该恶意软件的受害者,包括LG,Southwire和Pensacola。该勒索软件始于2019年上半年,当时没有任何明显的特有标记,勒索中常包含标题“0010 System Failure 0010”,研究人员命名为“ChaCha勒索软件”。

1603849949_5f98cedd42f7e61d51255.png!small?1603849949091

早期版本勒索软件内容

不久之后,新版本勒索软件自称为Maze,电子邮件会使用与受害者相关的网站,代替上面截图中的通用电子邮件地址。

1603850089_5f98cf69f29fb75e242b7.png!small?1603850089769

近期Maze使用的网站

传播方法

Maze勒索软件最初是通过漏洞工具包(Fallout EK和Spelevo EK)以及带有恶意附件的垃圾邮件进行传播感染。下面是恶意垃圾邮件的示例,其中包含一个带有宏的Word文档,该宏可下载Maze勒索软件有效负载。

1603850544_5f98d1304f836ae193525.png!small?1603850545338

如果收件人打开附加文档,系统将提示他们启用编辑模式,然后启用内容。点击后文档中包含的恶意宏将被执行,导致受害者的电脑被感染。

1603850610_5f98d172668edeab8f833.png!small?1603850611417

除了这些典型的感染方式外,勒索软件把目标对准公司和市政组织,最大限度地增加勒索金额。攻击中使用了Citrix ADC / Netscaler或Pulse Secure VPN等网络服务漏洞以及弱RDP访问凭证。

研究人员观察到了以下工具:mimikatz、procdump、Cobalt Strike、IP扫描、Bloodhound、powerspolit等。攻击者试图识别存储受损网络中服务器和工作站上有价值的数据,过滤受害者机密文件,并在协商赎金时利用这些文件。最后安装勒索软件,对数据进行加密,完成攻击。

数据泄漏与混淆

Maze是最早的勒索软件系列之一,如果拒绝合作就会泄露受害者的机密数据,其已经成为REvil/Sodinokibi, DoppelPaymer, JSWorm/Nemty/Nefilim, RagnarLocker和Snatch在内的数个勒索软件的标准。

Maze维护网站中列出了最近的受害者,并发布了部分或全部转储的文件。

1603851085_5f98d34d3f6f0ca801d4c.png!small?1603851085953

勒索软件合作

2020年6月,Maze开始与LockBit,RagnarLocker合作,组成了一个“ransomware cartel”。这些小组窃取的数据现在将发布在由Maze维护的网站上。攻击者不仅在窃取文件,同时也在分享专业知识。

技术分析

Maze通常以PE二进制文件(EXE或DLL)的形式分发,该二进制文件以C / C ++开发并进行模糊处理。它采用各种技巧阻止静态分析,包括动态API函数导入,使用条件跳转控制流混淆,用JMP dword ptr [esp-4]代替RET,用PUSH + JMP代替CALL以及其他几种技术。

为了应对动态分析,木马程序还将终止研究人员通常使用的进程,例如procmon,procexp,ida,x32dbg等

Maze使用的加密方案有以下几个级别:

1、加密受害者文件的内容,木马生成唯一的密钥和随机数值,以与ChaCha流密码一起使用;
2、ChaCha密钥和随机数值由启动恶意软件时生成的会话公共RSA-2048密钥加密;
3、 会话专用RSA-2048密钥由木马主体中硬编码的主公用RSA-2048密钥加密。

在计算机上执行时,勒索软件还将区分不同类型的系统(“备份服务器”,“域控制器”,“独立服务器”等),使受害者认为犯罪分子了解有关受影响网络的一切。

1603851524_5f98d5049880658b794ea.png!small?1603851526142

勒索信息字符串

1603851552_5f98d5207a5105bdfb898.png!small?1603851552710

勒索信息生成代码片段

防范建议

勒索软件在不断进化,抵御勒索软件的最佳方法是主动预防,一旦加密数据,为时已晚。

以下建议可以帮助防止此类攻击:

1、保持操作系统和应用程序最新状态;
2、对所有员工进行网络安全培训;
3、使用安全技术方法进行远程连接;
4、备份回滚。

IOCs

2332f770b014f21bcc63c7bee50d543a

CE3A5898E2B2933FD5216B27FCEACAD0

54C9A5FC6149007E9B727FCCCDAFBBD4

8AFC9F287EF0F3495B259E497B30F39E

原文链接

securelist

来源:freebuf.com 2020-10-28 10:24:57 by: Kriston

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论