勒索软件 Ranzy:ThunderX 升级加密的变体

译文声明

本文是翻译文章,文章原作者sentinelone,文章来源:labs.sentinelone.C++om

原文地址:https://labs.sentinelone.com/ranzy-ransomware-better-encryption-among-new-features-of-thunderx-derivative/

译文仅供参考,具体内容表达以及含义原文为准

t0110c2ef46991daa9b

 

背景

Ranzy勒索软件出现在今年9月/10月,似乎是ThunderX和Ako勒索软件的变体。Ranzy有一些关键的更新,包括加密的调整,过滤的方法,以及使用公开的“leak blog”为那些不遵守赎金要求的人发布受害者数据。

t01ff036c7aa79c1769

 

Ranzy勒索软件的演变

Ranzy的核心是提供RaaS。有效负载通常是通过电子邮件(网络钓鱼)分发的,也有一些报告说是通过网络分发(通过驱动下载)的。从ThunderX到Ranzy的“rebrand”发生在ThunderX的免费解密程序出现之后。今年9月,在NoMoreRansom项目上发布了一个针对ThunderX的免费解密工具。

这种“rebrand”将攻击者与ThunderX拉开距离,并改进了加密机制,降低了未来免费解密工具的可行性。ThunderX在2020年8月左右出现,值得注意的是,一些早期的Ako样本是在2020年1月左右观察到的。

正如我们在Ako和ThunderX中观察到的那样,攻击者主要的发送方法是带有恶意有效负载的电子邮件(phish)。当前示例(Ranzy Locker 1.1)将.Ranzy扩展名附加到加密文件(早期版本仅使用.RNZ)。值得注意的是,目前Ranzy Locker有效负载往往包括与其ThunderX祖先相同的PDB补丁:

C:\Users\Gh0St\Desktop\ThunderX\Release\LockerStub.pdb

t01be6b971d4095b528

 

改进的加密程序

Ranzy使用一种加密算法组合来影响目标数据。勒索软件的有效负载中内置了一个RSA-2048密钥,而Salsa20用于特定的文件/数据加密。Ranzy包含定位和加密其他本地驱动器(GetLogicalDrives)的功能,以及邻近的(可访问的)网络驱动器(NetShareEnum)的功能。

像ThunderX和Ako一样,Ranzy将尝试通过扩展名加密多种文件类型,同时排除基于字符串的特定扩展名and/or 路径。不包含.dll、.exe、.ini、.lnk、.key、.rdp的文件是关键。该勒索软件还将排除带有特定字符串的关键路径,这些字符串包括AppData、boot、PerfLogs、PerfBoot、Intel、Microsoft、 Windows和Tor Browser。

t012a1e64df46192238

一旦启动,Ranzy有效负载将采取许多措施,以确保最大的影响(加密)以及在可能的情况下抑制标准恢复选项。特定的命令和语法可能因Windows版本和风格而异。这包括使用标准系统工具来操作VSS和时间恢复选项。

执行后,勒索软件会快速调用WMIC.EXE,语法如下:

wmic.exe SHADOWCOPY / nointeractive

然后发出以下WBADMIN、BCDEDIT和VSSADMIN命令,以将受害主机切换到所需的受损状态:

wbadmin DELETE SYSTEMSTATEBACKUP
wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
bcdedit.exe /set {default} recoveryenabled No
bcdedit.exe /set {default} bootstatuspolicy ignoreallfAIlures
vssadmin.exe Delete Shadows /All /Quiet

Ranzy Locker利用Windows的Restart ManagerAPI来协助终止任何有问题的进程,阻止加密或进一步操纵目标系统。一旦Ranzy的进程开始,explorer.exe或其他正在运行的进程迅速退出并重新启动的情况并不少见。

t01a4a190605feeff3c

分析的两个Ranzy版本似乎都保留了最初在ThunderX中出现的相同的多线程功能。负载将首先通过GetSystemInfo()标识可用处理器的数量。接下来,勒索软件将利用IoCompletionPort生成一个要加密的文件队列。然后,勒索软件能够分配一定数量的线程(相当于识别的处理器数量的2倍)。与Maze或NetWalker相比,这种加密速度具有相当大的竞争力(因此非常危险)。

t01a1b1da7e9536b3f2

 

加密

Ranzy的赎金记录存放在每个包含受影响文件/数据的文件夹中。在分析的所有版本中,这些文件始终使用名称readme.txt标识。不同版本的勒索软件的赎金注释有细微的变化。尽管如此,ThunderX、Ranzy和Ranzy1.1的基本结构和内容都非常相似。

Ranzy和Ranzy 1.1 ransom勒索示例如下:

t01154d0f3d4db5752b

t01a98fc8c3126141bd

赎金记录之间最大的区别可能是使用Ranzy 1.1,受害者被指示访问基于TOR的门户以进行支付、进一步的指示和“support”(实时聊天)。以前只是指示受害者通过电子邮件与他们联系以获取进一步的指示。

t01168767d90ce81e14

目前,不合规的受害者正在该组织的博客上分类,名为“ Ranzy Leak”。截至撰写本文时,该站点上列出了3位受害者,分别代表电气工程,安全和调查以及政府管理行业。

 

结论

Ranzy,ThunderX和Ako家族是攻击者快速发展的又一个例子。只需少量资金支持,任何恶意攻击者都可以访问和管理Ranzy这样的勒索软件,并可能造成巨大的财务损失。众所周知,这种损害不仅限于直接支付赎金,还包括与数据泄露,公开发布私人数据,GDPR /合规性影响等相关的处罚。

攻击者非常关注防御措施,例如,发布解密工具时,它们会快速更新代码,并开始分发更好、更强大的有效负载,从而使任何解决方案都失效。

 

IOC

SHA256

c4f72b292750e9332b1f1b9761d5aefc07301bc15edf31adeaf2e608000ec1c9393fd0768b24cd76ca653af3eba9bff93c6740a2669b30cf59f8a064c46437a290691a36d1556ba7a77d0216f730d6cd9a9063e71626489094313c0afe85a939bbf122cce1176b041648c4e772b230ec49ed11396270f54ad2c5956113caf7b7ade5d0fe2679fb8af652e14c40e099e0c1aaea950c25165cebb1550e33579a79

SHA1

43ccf398999f70b613e1353cfb6845ee09b393ca35a663c2ce68e48f1a6bcb71dc92a86b36d4c49738b86dacb1568af968365663c548bd9556fe084920102532dfc58bc8256f507da4a177850f349f7a9a77e2f8bf0da35f7d84897c187e3aff322f024d

MITRE ATT&CK

Indicator Removal on Host: File Deletion T1070.004Modify Registry T1112Query Registry T1012System Information Discovery T1082Peripheral Device Discovery T1120Inhibit System Recovery T1490Create or Modify System Process: Windows Service T1031ExfiltRATion TA0010

Paper 本文由 Seebug Paper 发布,如需转载请注明来源。本文地址:https://paper.seebug.org/1403/

本文翻译自 labs.sentinelone.com, 原文链接 。如若转载请注明出处。

标签