【国际资讯】花式勒索,仅去年12月新增33款勒索软件变种 2017-01-09 14:26:50 来源:tripwire.com 作者:pwn_361
【国际资讯】花式勒索,仅去年12月新增33款勒索软件变种

翻译:pwn_361

预估稿费:300RMB(不服你也来投稿啊!)

投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿


前言

整个2016年,勒索软件呈现出集中的爆发态势。那么,到底爆发到了什么程度?来看一下12月份的统计数据,相当令人震惊:整个12月份,出现了32个新勒索软件样本,并出现了33个勒索软件的新变种。安全专家发布了9款勒索软件的解密工具,他们的工作还是很有成效的,但是,与出现的速度相比,还有很大差距。

下面我们按照时间,来具体说明每天发生的勒索事件、及反勒索事件。


12月1日

Matrix勒索软件首次出现,并使用了GnuPG加密系统

研究人员在实际环境中发现了一款新型勒索木马,叫做“Matrix”,它使用开源的GnuPG加密系统,来加密受害人的个人数据,并禁止受害人访问。同时,会给受害人留下一个勒索信件,名称是“matrix-readme.rtf”,并留下了两个邮箱,分别是“[email protected]”和“[email protected]”,以便受害人联系攻击者。

Avast发布勒索解密工具

Avast的安全分析师针对4款勒索软件家族,分别是CrySiS、Globe、Alcatraz Locker、和NoobCrypt,开发了4款免费的解密工具。任何被上述勒索软件感染的受害者,都可以免费下载并使用。


12月2日

黑客在暗网公开出售Alpha Locker勒索软件

对于那些崇拜敲诈的人,可以通过购买Alpha Locker勒索软件,去释放他们邪恶的力量。该恶意程序采用了C#程序语言。有效载荷只有50KB,整套工具价值65美元。

勒索软件作者给安全专家发了一条秘密信息

NMoreira勒索木马的作者,该作者跟XPan勒索软件也有关系,他使用了一个有趣的策略,给Emsisoft的杰出安全专家Fabian Wosar发了一条信息,Fabian Wosar曾经破解过很多加密威胁。NMoreira的作者在他最新勒索产品的核心代码中添加了一段明文:“希望你能再一次破解这个勒索软件。”Fabian Wosar是以这样的方式评论这件事的:“这次,他们至少算是个有礼貌的笨蛋,尽管如此,他们仍然还是笨蛋。”

Phoenix勒索软件首次出现

尽管仍在开发之中,但是Phoenix 加密恶意软件很有可能成为一个大的安全问题。它会将一系列系统文件加密,并给受害人留下一个解密手删,名称为“Important!.txt”。


12月3日

PadCrypt勒索软件出现更新版

一个新版的PadCrypt浮出水面。除了版本名称变成了3.1.2以外,它的特征几乎没有任何值得注意的变化。


12月4日

一个俄罗斯勒索者被逮捕

这是一个40岁的网络骗子,名为Pornopoker ,俄罗斯警方在莫斯科附近的一个机场逮捕了他。他被指控开发和传播了Ransomlock.P勒索软件,并伪装成不同国家的执法机构对受害人进行诈骗活动。

Emsisoft开发了另一个免费的解密工具

Fabian Wosar,前面提到过的Emsisoft 公司的安全专家,发布了Nemucod勒索软件最新变种的解密工具。

Apocalypse勒索软件出现更新版

一个新版本的Apocalypse 勒索软件出现了,它会将加密后的文件按以下方式命名:[original_filename].ID-*[random_8_chars + country_code][[email protected]].[random_7_chars]。

Globe勒索软件出现新变种

该勒索软件将文件加密后,会添加“.lovewindow”后缀名,并将攻击者的联系方式告诉了受害人([email protected])。


12月5日

Shade勒索软件利用僵尸网络来传播

Shade勒索软件(又名Troldesh)利用Kelihos来传播,Kelihos是一个臭名昭著的僵尸网络。该勒索软件将受害人的文件锁定后,会添加“.no_more_ransom”后缀名。

具有加密特性的Screen locker (屏幕锁定者)

研究人员发现了一个新的Screen locker(屏幕锁定)勒索软件,会对文件实施加密。然而,它的早期版本在功能上并不正确,实际上没有加密过程。受害人的文件将会添加“.encrypted”后缀名。赎金达到0.3比特币。

Locky勒索软件出现更新版

声名狼藉的Locky勒索软件出现了一个小的更新版,它的特点是具有埃及神话主题,加密文件的后缀名是“.osiris”。勒索信件的名称是“OSIRIS-[4_hexadecimal_chars].htm”。

12月6日

GoldenEye勒索软件首次出现

该勒索软件似乎是Petya勒索软件的继承者,Petya在2016年初比较活跃。和原型有点相似,GoldenEye会将计算机的MBR(主引导记录是位于磁盘最前边的一段引导代码。它负责磁盘操作系统对磁盘进行读写时分区合法性的判别、分区引导信息的定位,它是磁盘操作系统在对硬盘进行初始化时产生的)替换掉,并且会将MFT(主文件表,它是NTFS文件系统的核心)进行加密,从而使受害人完全没法进入系统。相对于Petya,GoldenEye在禁止受害人进入系统之前就已经将重要文件加密了。


12月8日

网络犯罪分子想出一个愤世嫉俗的勒索计划

“Popcorn Time”勒索软件的作者给受害人两个选择,用于恢复加密文件,一种选择是支付1比特币的赎金,第二种选择太卑鄙了,要求受害人感染两个新用户,就可以得到免费解密密钥。

Jigsaw勒索软件出现新变种

该勒索软件会在受害人屏幕中间显示“HACKED”单词,并要求受害人在24小时内支付0.25比特币。否则,赎金会涨到0.35比特币。目前好的一点是,安全专家已经发布了该勒索软件的免费解密工具。

SamSam勒索软件首次出现

该勒索软件会加密受害人的文件,并添加“.VforVendetta”扩展名,勒索信件名称为“000-PLEASE-READ-WE-HELP.html”。

“教育型”勒索软件,好心干坏事

安全专家推出了一个有争议的教育计划,叫做“EDA2/Hidden Tear”,并研发了模拟的勒索软件,旨在教育人们远离勒索软件的危害。但是,他们却公开了源代码,坏人们以此源代码为核心,开发出了很多真正的勒索软件,同时,更多的骗子们还可以从暗网中购买到这些勒索软件。


12月9日

CryptoWire POC遭到滥用

CryptoWire勒索软件的POC源代码被公开到了GitHub上,这下好了,坏人们利用它开发出了更多真正的勒索软件,比如“Lomix”和“UltraLocker”。

UltraLocker勒索软件的传播策略

上面提到过,UltraLocker勒索软件是从CryptoWire演变过来的,它的传播方法是垃圾邮件,邮件中包含了“booby-trapped .doc”附件文件。

“Cyber SpLiTTer Vbs”勒索软件出现2.0版本

该加密类勒索软件基于“Hidden Tear”,“Hidden Tear”是一个土耳其安全爱好者写的开源勒索软件,“Cyber SpLiTTer Vbs”是它的变种,会向受害人要求0.5比特币的赎金,如果受害人在76小时内没有支付赎金,勒索软件就会删除所有加密文件。

Locked-In勒索软件首次出现

这个新勒索软件使用标准的AES-256对称加密算法去加密受害人的文件,并留下文件名为“RESTORE_CORRUPTED_FILES.html”的勒索信件。并要求受害人15天内支付赎金。


12月10日

有点卡通的CHIP勒索软件新版本

新版本的CHIP勒索软件会给加密文件添加“.DALE”后缀名,给受害人留下名称为“DALE_FILES.txt”的勒索信件,并更新了受害人联系攻击者的邮箱列表,包括以下邮[email protected][email protected][email protected],和[email protected]

Deadly_60 屏幕锁定勒索软件

尽管这个叫做“Deadly_60”的勒索软件锁定受害人屏幕的同时,并不会加密任何个人数据,但是处理时还是有点费劲,因为它会在背景上显示一个令人讨厌的动画。

PadCrypt勒索软件出现新的3.1.5版本

和之前提到的一样,除了版本名称以外,功能上没有什么新变化。

M4N1F3STO屏幕锁定者首次出现

这个新的勒索软件影响较小,它只会锁定屏幕,并不加密文件。它的赎金要求是0.3比特币。目前,安全专家已经计算出了解锁码。


12月12日

Samas勒索软件非法收入被曝光

在分析了Samas勒索软件的行为后,PaloAlto的网络安全专家计算出了该犯罪团伙的收益额。该犯罪团伙在2016年非法收益超过450,000美元。但同时几乎没有对大型组织的攻击。

PayDay勒索软件首次出现

PayDay勒索软件首次出现,不过,它的目标只针对安装了葡萄牙语言包的windows用户。加密文件后缀名为“.sexy”,勒索信件名称为“!!!!! ATENO!!!!!.html”。事实上,这是“Hidden Tear”的另一个变种。

“You Have Been Hacked!!!”勒索软件

该勒索软件给受害人显示一个简短的信息:“You Have Been Hacked!!!”。它会给受损的文件添加“.Locked”扩展名,同时,该勒索软件还会盗取受害人的各种在线账号和密码。它的赎金要求是0.25比特币。

Kraken勒索软件

受害人的文件会被添加“.kraken”后缀名,并用base64加密真实的文件名。勒索信件名称为“_HELP_YOUR_FILES.html”。


12月13日

另一个屏幕锁定勒索软件首次出现

这个讨厌的程序会产生一个吓人的锁屏信息:“你的Windows已经被禁用了”,并声称受害人违反了使用条款。幸运的是,安全专家已经发现了解锁码,解锁码是“nvidiagpuareshit”。

CryptoMix勒索软件出现更新版

这个新版本的CryptoMix勒索软件会给加密文件添加一个长的、复杂的后缀名,格式如下:“.email[[email protected]]id[unique_victim_ID].lesli”。勒索信件的名称是“INSTRUCTION RESTORE FILE.txt”。

Locked-In勒索软件被安全专家破解

前面已经提到过这个勒索软件,13日,安全专家michael gillespie开发了一款免费的解密工具。这个勒索软件使用“.novalid ”后缀名。


12月14日

Cerber采用新的垃圾邮件传播策略

Cerber勒索软件有了新变化,它采用了一个新的社会工程学策略。它通过邮件给受害人发送一个虚假的信用卡报告,这是一个误导性的消息,会告诉收件人,他的信用卡正在发生一笔新的交易,建议打开一个WORD文档去取消交易。其实这个WORD文档是一个恶意文件,包含了恶意宏病毒。

Xorist勒索软件出现更新版

最新版的Xorist勒索软件将文件锁定后,会添加“.antihacker2017”后缀名,用于受害人联系攻击者的邮箱是“[email protected]”。幸运的是,目前安全专家已经开发出了相关免费解密工具。

Globe勒索软件又出现新变种

用于受害人联系攻击者的邮箱发生了变化,变成了“[email protected]”,赎金要求是1.5比特币。

叫做“美国中央情报局特工767”的锁屏勒索软件

实际上,该勒索软件是M4N1F3STO勒索软件的变种,会呈现出一个与众不同的锁定屏幕。最初的赎金要求是价值100美元的比特币,但是在5天之内,会慢慢涨到250美元。

FenixLocker出现更新版

该勒索软件的勒索信件更新为“Help to decrypt.txt”。同时,作为恢复的步骤,受害人被要求向thedon78@mail.com邮箱中发送一封邮箱。

Koolova勒索软件正在开发之中

安全专家获取到一个正在开发中的勒索软件,名叫“Koolova”。勒索软件中的警告信息是用意大利语写的。必须在48小时内支付赎金,否则,赎金将会升高。


12月15日

“没有更多赎金”项目的成就

“没有更多赎金”项目是一个独特的倡议,旨在聚集勒索软件数据、提高分析水平,并给受害人提供免费的解密工具。截至十二月中旬,该项目已经聚集了34个合作伙伴,联合起来对抗勒索瘟疫。

BandarChor勒索软件采用特殊传播方法

这个勒索软件的传播方法比较特殊,通过在成人在线网站、和一个无人机电商平台上添加恶意广告的方法传播。

Chris,又一个勒索犯罪崇拜者

安全专家截获了一个基于“Hidden Tear”源代码开发的新的勒索软件,在代码中多处包含了“Chris”名称。因此这可能是一个新的勒索软件,正在将手伸向在线勒索。

Cryptorium,一个新的勒索软件被释放出来

安全专家正在分析的Cryptorium样本有点古怪,因为它仅仅是对文件进行了重命名,并没有加密文件。Cryptorium会将“.ENC”后缀名添加到受影响的数据后面。


12月16日

表面上像Globe 的勒索软件

这个未命名的样本可能是Globe 的一个复制品。受影响的文件会被添加“.crypt”后缀名,并留下名为“HOW_OPEN_FILES.hta”的勒索信件,及联系邮箱[email protected]

Cerber勒索软件的新变化

Cerber的运维人员为了统计目的,修改了IP的配置。新的IP范围是:37.15.20.0/27, 77.1.12.0/27, 和91.239.24.0/23.

Globe勒索软件又出了新变种

这个新版本的Globe唯一明显的改变是文件的扩展名。后缀改成了“.[email protected]”。


12月18日

Dharma勒索软件出现更新版

这是Dharma 的一个新版本,告诉受害人发送一封邮件到amagnus@india.com邮箱,用于获取详细的数据恢复步骤。

CryptoBlock勒索软件,走出了独具特色的路

研究者发现了一个正在开发中的勒索软件,名叫“CryptoBlock”。很独特,它使用了非对称的RSA2048加密算法,赎金要求是0.3比特币。


12月19日

进化的Android银行恶意软件

事实证明,目前的一些Android银行木马已经具备了锁定设备的功能,有一些样本甚至可以对用户的数据进行加密。

RansomFree,一种反勒索的新方法

这个反勒索软件叫“RansomFree”,由以色列Cybereason安全公司开发,能阻止勒索软件攻击不同版本的windows系统。

Apocalypse勒索软件出现更新版

新版的Apocalypse会给受害人留下一个勒索信件,和一个用于联系攻击者的邮箱。

M4N1F3STO屏幕锁定勒索软件增加了加密功能

前面提到过,该勒索软件只会锁定屏幕,初级版没有加密功能,但是,现在已经将加密作为一个基本功能了。同时,它会将加密文件的过程,伪装成一个老版本的教育型应用程序的更新提示。

MNS CryptoLocker首次出现

这是一个新勒索软件,勒索信件名称为“RESTORE_YOUR_FILES.txt”,联系攻击者的邮箱是“[email protected]”。


12月20日

卡巴斯基更新了CryptXXX的解密工具

卡巴斯基更新了他们的RannohDecryptor工具,该工具可以恢复由CryptXXX勒索软件加密的数据。特别是可以解密带有 “.cryp1”、“.crypt”和“.crypz”扩展名的文件。

Samas勒索软件出现新版本

也被称为SamSam,这个勒索软件将受害人的文件加密后会添加“.theworldisyours”后缀名,勒索信件的名称改成了“CHECK-IT-HELP-FILES.html”。这和之前的版本存在区别。

网络骗子越来越喜欢Go语言

研究专家发现了一个新的勒索软件,使用了GO语言。在加密的文件后面添加了“.braincrypt”后缀名,并留下了一个名为“!!! HOW TO DECRYPT FILES !!!.txt”的勒索信件。联系攻击者的邮箱是“[email protected]”。

EnkripsiPC勒索软件只针对印度尼西亚人

EnkripsiPC,也被称为IDRANSOMv3,该勒索软件的解密密钥和被感染的计算机名称有关系。目前安全专家已经找到了一个解密文件的办法。


12月21日

Manifestus勒索软件首次出现

该勒索软件似乎是M4N1F3STO的变种。会锁定屏幕,并加密文件。并要求0.2比特币的赎金。

ProposalCrypt勒索软件首次出现

该勒索软件会给加密的文件添加“.crypted”后缀名。并要求1比特币的赎金。

Padlock屏幕锁定勒索软件不是很危险

Padlock勒索软件会呈现一个锁定的屏幕信息:“你的文件已经被删除,你的电脑已经被锁定。”,但是这仅仅是吓唬一下,实际上,它并没有删除任何东西,只是把屏幕锁定了,解锁码是“ajVr/G\RJz0R”。

Free-Freedom勒索软件

根据警告窗口的显示信息,这个样本可能是一个13岁的孩子编写的。幸运的是,Free-Freedom实际上没有做任何加密动作,它只是改变了文件的权限。安全分析师已经还原出了解锁码,解锁码是“adam”,这可能是这个孩子的名字。


12月22日

Cerber勒索软件采用了一个新策略

和所有早期的变种不同,最新版的Cerber不再删除加密文件的复本了, 此外,它还有针对性的跳过了一些文件夹,并将锁定Office文档放在了首位。

Winnix Cryptor详细信息被披露

该病毒会给文件添加“.wnx”后缀名,同时创建一个名为“YOUR FILES ARE ENCRYPTED!.txt”的勒索信件。攻击者会远程访问了服务器,并在目标环境中执行一个批处理命令。这个勒索软件会利用GPG密码算法对数据进行加密。

Cerber开始使用新的IP池

为了绕过黑名单限制,获得准确的UDP统计数据,Cerber现在又换了一批新IP:91.239.24.0/23,114.23.16.0/27,和115.22.15.0/27。

可恶的Guster勒索软件

新的Guster样本在加密文件后会添加“.locked”后缀名。并产生一个非常令人讨厌的警告屏幕,具有动画和声音效果。

Free-Freedom勒索软件出现更新版

和12月21日出现的最初版本有所不同,新版的Free-Freedom将锁定密码改成了“Roga.”,并使用“.madebyadam”作为加密文件的后缀名。根据专家的分析,解密密钥是“adamdude9”。


12月23日

Koolova勒索软件变的很有教育意义

这个勒索软件在14日首次被截获,现在变的很有趣,受害人感染了最新版的Koolova勒索软件后,只要看两篇Koolova提供的避免勒索的教育文章,就可以得到免费的解密密钥。

发现了CryptoLocker勒索软件的模仿者

这个犯罪程序伪装成CryptoLocker勒索软件,但实际上,该勒索软件和臭名昭著的CryptoLocker没有什么共同点,只是把加密后的文件后缀写成了“.cryptolocker ”。

Cerber的开发者在盼望圣诞节的到来

根据MalwareHunterTeam安全小组的研究,Cerber勒索软件的操作人员使用了一些新的域名,域名URL中包含了“Christmas”单词。

持久的VenusLocker勒索软件

尽管被叫做VenusLocker 的网络寄生物似乎已经永远灭绝了,但是在一次新的活动中,它再次出现了,该勒索软件要求受害人在72小时内支付1比特币的赎金。

Alphabet勒索软件的细节

Alphabet勒索软件正在开发之中,在功能上,既能锁定屏幕,又能对数据进行加密,至少,它的锁屏警告信息上是这样说的。但是,当前版本中并没有加密文件、和提供解锁码。


12月24日

GlobeImposter的解密工具

GlobeImposter勒索软件是Globe的一个复制品,借用了Globe的勒索信件、文件后缀名、包括基本的外观和感觉。幸运的是,Emsisoft已经开发出了免费的解密工具。

DeriaLock勒索软件登上了报纸的头条

新发现的DeriaLock勒索软件具有一定的独特性,它的作者只需要几个按键,就可以解锁所有受感染的计算机。这是经过分析它的代码得到的结果。锁定受害者的屏幕后,会要求30美元的赎金,并要求受害者通过联系的攻击者的Skype帐号来获得支付细节。

Cerber又更新了

Cerber为了绕过黑名单限制,获得准确的UDP统计数据,又更新IP池了。同时,勒索信件也改变了,现在的名称是“_[random]_README.hta and _[random]_README.jpg”。

12月25日

BadEncript的作者应该努力写好他的拼写

这个新的样本名称是“BadEncript”,被锁定的文件会添加“.bript”后缀名,并在桌面上给受害人留下名为“More.html”的勒索手册。不过,勒索软件名称的拼写质量真是不敢恭维。

Jigsaw使用了新的扩展

Jigsaw在圣诞节的这一天发布了更新,该版本在保持原文件名称完整性的同时,会添加“.hush”后缀名。

探测到最新版的NMoreira勒索软件

该勒索软件会给锁定的文件添加“.maktub”后缀名。目前,大多数经过这个勒索软件加密的文件,都可以用Emsisoft发布的免费解密工具来解密。不过,解密过程花的时间可能较长。


12月27日

ODCODC勒索软件复出了

研究人员发现了ODCODC的新样本,它的勒索信件名称是“HOW_TO_RESTORE_FILES.txt”,加密文件以后会用下面的策略来命名:“C-email-[attacker’s_email_address]-[original_filename].odcodc”。

12月28日

勒索软件感染了智能电视

一个LG智能电视,被发现感染了屏幕锁定勒索软件。它给受害人显示了一个假的FBI的警告,并要求支付500美元的解锁费用。

一个用邮箱地址作为文件后缀名的新样本

又一个加密勒索软件浮出水面,被锁定的文件会添加“[email protected]”后缀,并留下名为“!!!.txt”的勒索信件。


12月29日

killdisk病毒开始表现出勒索行为

KillDisk 恶意软件的新版本已经有了勒索属性,而不是简单的删除受害人的文件,现在,它会加密文件,并要求支付222比特币的赎金。

勒索软件伪装成流行的安全套装

安全分析人员偶然发现了GoldenEye磁盘加密勒索软件,它的有效载荷伪装成了ESET antivirus的安装程序。另一个名称为“Stampado”的样本,伪装成AVG的产品,在电脑中被发现了。

Dharma勒索软件使用HTA格式的勒索信件

作为最近更新的一部分,Dharma的作者采用了新的与被害人互动的方法,它的勒索信件使用了HTA格式,现在的名称是“Info.hta”。


12月30日

Samas勒索软件出现更新版

最新版的Samas勒索软件(也被称为SamSam),文件加密后的后缀名变成了“.whereisyourfiles ”,勒索信件的名称改为了“WHERE-YOUR-FILES.html”。

开放源码的勒索问题剖析

在MalwareTech上发表了一篇文章,解释了勒索软件代码开源的原因,并强调网络犯罪份子与安全研究人员相比,网络犯罪份子从中受益更多。


总结

主流的观点仍然是相同的:用户和组织面对勒索攻击时,最好有一个B计划,而不是仅仅在被攻击后去处理它。应该围绕在线安全实践和可靠的数据备份来制定相关对策。我们相信,2017年,在安全行业的共同努力下,情况肯定会有所好转。


【国际资讯】花式勒索,仅去年12月新增33款勒索软件变种
【国际资讯】花式勒索,仅去年12月新增33款勒索软件变种 本文由 安全客 翻译,转载请注明“转自安全客”,并附上链接。
原文链接:https://www.tripwire.com/state-of-security/security-data-protection/cyber-security/december-2016-month-ransomware/

本文业界资讯相关术语:网络安全论文 网络安全密钥 网络安全工程师 网络安全技术与应用 网络安全概念股 网络安全知识 网络安全宣传周 网络安全知识竞赛 网络安全事件

分页:12
转载请注明
本文标题:【国际资讯】花式勒索,仅去年12月新增33款勒索软件变种
本站链接:http://www.codesec.net/view/521548.html
分享请点击:


1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责;
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性,不作出任何保证或承若;
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
技术大类 技术大类 | 业界资讯 | 评论(0) | 阅读(24)