另辟蹊径,Memento 勒索软件的帮凶竟是WinRAR?

2021-11-23 14:52:55 Author: www.freebuf.com 阅读量: 17 收藏

加密过程被安全公司拦截之后,新型Memento 勒索软件“另辟新径”,将文件锁定在受密码保护的WinRAR档案中。

今年10月,Sophos 研究人员发现了Memento 勒索软件,它采用了一种新方法来阻止受害者访问文件。即使用可以重命名的WinRAR免费版本来压缩文件,在对文件进行加密的同时删除受害者系统中的原始文件。

如果受害者需要恢复文件,Memento 团伙则勒索其支付100万美元,或者是以0.099 BTC(5036,21 欧元)的价格来恢复单个文件。

与其他勒索团伙一样,如果受害者拒绝支付赎金,Memento 团伙就以数据泄漏为由来威胁受害者。

Pyton 勒索软件是使用PyInstaller编译的,一旦文件访问受阻,系统就会自动发出赎金通知,提示受害者联系勒索软件团伙。Sophos观察到,攻击者在多台机器上部署了一个基于Python的开源键盘记录器,并随后使用远程桌面协议以及使用RDP over SSH在网络内横向移动。

该团伙之所以能访问受害者网络,是因为他们利用了VMware vCenter Server 中的CVE-2021-21972漏洞。

vCenter Server是VMware的集中管理工具,用于集中管理单个位置的虚拟机、多个ESXi主机和所有附属组件。

该漏洞允许任何人在vCenter Server上远程访问TCP/IP端口 443,并以管理员的权限在底层操作系统上执行命令。

“vSphere Client (HTML5) 在 vCenter Server 插件中包含远程代码执行漏洞。VMware 已评估此问题的严重性等级为严重 ,最高 CVSSv3 基本分数为 9.8。” 研究显示。

该漏洞涉及到所有默认安装 vROP 的 vCenter Server 插件,虽然VMware已经在今年2月发布补丁,但是数以千计的安装程序仍然没有打补丁,这让Memento团伙有了可趁之机。

Memento团伙使用的攻击链

一旦建立访问权限,入侵者首先试图使用RDP来扩大他们的影响范围,然后在几周后使用WinRAR压缩文档进行渗透。在使用 Jetico 的 BCWipe 数据擦除实用程序删除任何文件之前,将文档转移到他们可以通过RDP访问的共享驱动器目录上。

“为避免加密活动被检测到,勒索软件改变了加密方式,不再对文件进行加密,而是使用WinRAR副本将文件压缩进文件扩展名为.vaultz的文档,每个文件在被压缩时都会生成一个密码,这样使得密码本身被加密。”Sophos 研究分析称,“勒索软件攻击者以这种方式,在首次尝试的几小时内便成功建立多个文档,并使用RDP和窃取的凭证进行手动传播。”

不过还好,受害者并未支付赎金,因为他们通过备份恢复了文件。

参考来源:https://securityaffairs.co/wordpress/124873/cyber-crime/memento-ransomware-winrar.html




觉得文章还不错?,点我收藏



本站内容均来自网络,若有侵权,请与我们联系:buaq.net[#]pm.me