死灰复燃!新型REvil勒索软件在野攻击活动分析
2022-4-22 17:58:7 Author: mp.weixin.qq.com(查看原文) 阅读量:8 收藏

概述

奇安信威胁情报中心从2019年起就一直在跟踪REvil/Sodinokibi勒索软件及其背后的运营商,处理了多起与其相关的勒索事件。直到2021年十月份,据相关媒体报道美国FBI联合其他部门控制了REvil的部分基础设施,并在11月份指控了两名投递REvil勒索软件的人员。2022年1月俄罗斯FSB称在美国提供的相关信息后他们彻底毁灭了REvil并抓捕了几名人员[1]

美国司法部也在2022年三月对指控人员正式进行审理。

似乎一切都在掌控之中,REvil会如GandCrab一样慢慢的淡出人们的视线,但事实出乎了我们的预料。

事件概述

我们观察到一股未知团伙正在利用受Log4j影响的Vmware漏洞在内网中进行漫游,使用GO Simple Tunnel工具建立隧道,使用Psexec尝试投递SystemBC 轻量级后门。

SystemBC最早被发现于2019年,被用于各类犯罪团伙,目前与Ryuk、Egregor、DarkSide等勒索软件的投递有关,SystemBC除了正常的TCP连接外,还能通过Tor网络进行连接,考虑到网络等因素本次发现的SystemBC Tor配置信息为空,取而代之是两个用于TCP连接的C2:

46.30.188.222:4210

185.228.83.69:4210

后门的功能也非常简单,主要功能为下载功能、命令执行。

对于VBS、bat、CMD等命令会为其创建一个计划任务,而powershell则会拼接一下命令并创建计划任务

执行的BAT内容主要为关闭杀软,将勒索软件复制到指定目录并运行,这也是我们首次发现SystemBC参与投递Revil勒索家族,loader代码如下:

代码段与REvil 2.03版本一致

但是释放的勒索信与以往的Revil勒索信完全不同,并公布了一个新的暗网地址

联系方式如下:

ybcx7fnm********************************.onion

*******[email protected]

溯源分析

通过仔细对比我们发现,唯一改动的地方就是本次攻击者将Revil源码中原本用于嘲讽受害者的代码进行了删除

在2021年6月份时Secureworks在其博客中[3]提到LV勒索软件与REvil具有相同的代码结构,仅有配置文件有细小的改变,据此推测运营REvil的GOLD SOUTHFIELD犯罪团伙将Revil勒索软件的源代码进行了出售或者共享

我们认为新勒索信和新活动的发现更加印证了友商的判断,REvil并没有完全被毁灭,其源代码仍然在各个犯罪团伙中传递,未来也将会出现新版本的迭代。反勒索的道路仍然任重道远。

总结

目前,基于奇安信威胁情报中心的威胁情报数据的全线产品,包括奇安信威胁情报平台(TIP)、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等,都已经支持对此类攻击的精确检测。

IOC

SystemBC

fa32fe9cf951fc0c9e15b84cdc8f1e8a

ce4f5903bb3109933416b7aa6e6531fb

ac1791ef68b958549da57a51ec7f1811

1224e7cc00eaf62391399cefdd22884b

43c63bf03cff27a4696d80b290eddd19

df8fd5e415ba533bd468e132dda4e0a6

80f563f3992e9e7d87086f3f4966969f

73654c88ec4c3d3e30153e93a5b18dcb

8975fec2a8036303acd074cb7aacdf31

065508fb4e0db0d6101f3be670dbe39a

a3eb2f3b7e15f64a6fd7d5aaba1a84c0

b54a0b8ea3c6ab313ce7ee4dc1128fd9

af1a1fa898e3e42bea3e05809be20882

a830969d630c15b26ecf4d3f65c1ba11

70.34.251.143:4224

46.30.188.222:4210

185.228.83.69:4210

88.80.188.245:4170

93.115.29.50:443

192.53.123.202:443

192.53.123.202:4127

5.101.78.2:4127

212.114.52.115:4208

195.2.73.44:4001

62.113.255.11:4210

193.29.56.71:4210

173.255.208.126:4170

192.169.6.197:4210

5.183.95.197:4210

162.33.179.20:4001

192.53.123.202:4001

46.166.161.93:443

参考链接

[1] https://www.bbc.com/news/technology-59998925

[2] https://www.justice.gov/opa/pr/sodinokibirevil-ransomware-defendant-extradited-united-states-and-arraigned-texas

[3] https://www.secureworks.com/research/lv-ransomware

点击阅读原文ALPHA 5.0

即刻助力威胁研判


文章来源: http://mp.weixin.qq.com/s?__biz=MzI2MDc2MDA4OA==&mid=2247500578&idx=1&sn=e413849cf8569345a65e6fbc7fe63fa7&chksm=ea663455dd11bd437abaaeb5ec23c08ce6e2e1c4111e76deda08a49ce748a066187e0ef91a0c#rd
如有侵权请联系:admin#unsafe.sh