Bad Rabbit
1、原理说明
1、病毒概述
2017年10月24日晚,俄罗斯、乌克兰等多个东欧国家遭Bad Rabbit勒索病毒的袭击,政府、交通、新闻等200多家机构收到不同程度影响。该勒索病毒通过虚假Flash更新链接传播,当用户访问被入侵控制的合法网站是,网页跳转到虚假的Flash更新网站,一旦用户下载并安装虚假的Flash更新包则导致系统被感染。
且被感染主机开始SMB扫描内网主机,通过硬编码的用户名和密码对内网SMB服务器进行暴力破解。爆破成功后,利用永恒浪漫漏洞进行提权,再释放infpub.dat文件到共享服务器上,再利用SCManager和rundll.exe执行恶意代码进行加密。
此次攻击中的受害者,被要求支持0.05比特币(约280美元)赎金,一个小时后计时器倒计时结束,赎金价格会上升。
2、病毒分析
1、该勒索软件通过注入网页脚本使访问者自动下载并运行恶意软件,通过该脚本可以发现其POST地址为185.149.120.3(目前已经无法访问)。
2、通过伪装成知名软件使用户下载安装最终达到传播目的,其下载名为install_flash_player.exe。
3、当执行完加密操作后便弹窗提示用户付费解密磁盘文件。
4、通过提供的安装Key生成bitcoin地址,用户付费后便得到一个解密密钥。
5、该加密算法使用的是用于驱动加密的开源加密算法DiskCryptor,密钥由CryptGenRandom生成,而后通过硬编码的RSA 2048位公共密钥保护,加密后文件扩展名均改为.encrypted。
6、该勒索软件还在代码中硬编码了用户名和密码用于枚举局域网的SMB共享,再通过永恒浪漫感染局域网更多主机。
3、网络行为
支付地址: http://caforssztxqzf2nm.onion
注入URL: http://185.149.120.3/scholargoogle/
下载感染URL: http://1dnscontrol.com/flash_install.php
被注入网站地址:
hxxp://argumentiru[.]com
hxxp://www.fontanka[.]ru
hxxp://grupovo[.]bg
hxxp://www.sinematurk[.]com
hxxp://www.aica.co[.]jp
hxxp://spbvoditel[.]ru
hxxp://argumenti[.]ru
hxxp://www.mediaport[.]ua
hxxp://blog.fontanka[.]ru
hxxp://an-crimea[.]ru
hxxp://www.t.ks[.]ua
hxxp://most-dnepr[.]info
hxxp://osvitaportal.com[.]ua
hxxp://www.otbrana[.]com
hxxp://calendar.fontanka[.]ru
hxxp://www.grupovo[.]bg
hxxp://www.pensionhotel[.]cz
hxxp://www.online812[.]ru
hxxp://www.imer[.]ro
hxxp://novayagazeta.spb[.]ru
hxxp://i24.com[.]ua
hxxp://bg.pensionhotel[.]com
hxxp://ankerch-crimea[.]ru
2、危害说明
1、感染主机文件被加密,需向攻击者支持0.05比特币赎金才可以解密;
2、感染范围没有WannaCry广,因为采用水坑站点进行传播,并未使用永恒之蓝传播;
3、中毒主机极可能伴随着其它中毒症状,包括但不限于恶意软件、广告软件等。
3、处置建议
1、病毒取证
(1)被加密的时间和文件后缀名是否为“.encrypted”,截图取证。
(2)systeminfo命令检查服务器之前是否打过MS17-010补丁,服务器中的补丁编号与官方编号进行对比(如win2008R2应该打的MS17-010补丁为 KB4012212、KB4012215),此场景下可以发现服务器已经打上相应的漏洞补丁,截图取证。
(3)查看服务器是否开放135,139,445等高危端口,可以借助一些wannacry免疫工具(如深信服EDR工具等查杀的检测工具)进行检测(如果检测出有问题,不要免疫),截图取证。
(4)查看服务器是否开放3389远程登录,截图取证。
(5)使用EDR、QQ管家等杀毒工具对服务器进行查杀,看是否能杀出病毒样本(目前不少勒索病毒加密完会自行删除本体,杀软不一定能100%杀出病毒),上传样本到virustotal、微步在线等平台进行确认,看是否报样本为勒索病毒,同时记录病毒的创建时间和修改时间,截图取证。
(6)根据勒索病毒的后缀名,尽可能的找出最早被加密的那个文件,记录文件的创建时间,修改时间(如下图在某次勒索病毒事件处置中,我们发现文件最早被加密的时间是在2017年10月5日12:40),截图取证。
(7)Win+R运行eventvwr,打开时事件查看器,打开安全日志(windows安全日志分析可参考附录4.3)。
(8)根据管理员发现服务器被勒索的时间和文件被加密的时间(如在步骤6中的文件最早被加密的时间是在2017年10月5日12:40),排查文件被加密的时间前后的安全日志(2017年10月5日12:40前后),看是否有异常ip地址远程登录了服务器(如下图可以发现在12:36分,172.168.1.101这个ip地址登录了服务器,该ip为一个内网的IP地址,经与管理员沟通后得知,172.168.1.101为跳板机,用来登录内网服务器,确认在10月5日客户与开发商都未登录过172.168.1.101这台服务器,由此可以推测是黑客登录了172.168.1.101跳板机,之后利用跳板机登录了内网服务器,植入了勒索病毒),截图取证。
根据文件被加密的时间,排查文件被加密的时间前后的安全日志,看是否有异常ip地址远程登录了服务器,如果发现公网ip登录服务器(如下图某次应急事件中我们发现195.22.127.114这个ip远程登录了服务器)对于公网ip,可以结合威胁情报去确认该ip是否为异常ip(通过微步在线查询ip地址195.22.127.114,发现该ip地址来自波兰,瓦尔米亚-马祖里省,奥尔什丁,该地址被微步识别为僵尸网络,很明显这个地址不会是管理员用来登录服务器的ip地址),截图取证。
(9)告知管理员服务器3389登录密码被黑客获取,黑客远程登录服务器,植入勒索病毒,导致被勒索,
2、病毒处置
(1)打补丁
请到微软官网下载MS17-010补丁,并安装;
下载地址:
MSRC - Microsoft Security Response Center
注意:该步骤必须要做,如果主机不打补丁,即使病毒通过杀软清理之后,仍会被二次感染。
(2)隔离感染主机
已中毒计算机尽快隔离,关闭所有网络连接,禁用网卡。
(3)切断感染源
关闭文件共享:控制面板>启动“Windows防火墙”>“高级选项”>“入站规则”>关闭SMB应用端口(135、137、139、445)。
(4)病毒查杀
推荐使用深信服EDR工具进行分析并查杀:http://edr.sangfor.com.cn/tool/SfabAntiBot.zip
3、日常预防建议
(1)SMB服务器尽量设置较为复杂的密码,建议密码设置为字符串+特殊字符+数字;
(2)不要随意下载并安装来源不明的软件;
(3)经常及时为系统打补丁,防止被黑客漏洞利用;
(4)下载软件后,先进行查杀,再打开;
(5)不随意打开来历不明的邮件和可疑网站;