YourData勒索软件国内攻击通告
2021-07-29 09:55

报告编号:B6-2021-072901

报告来源:360高级威胁研究分析中心

报告作者:360高级威胁研究分析中心

更新日期:2021-07-29

0x01   事件分析

近日360高级威胁研究分析中心监测发现,YourData勒索病毒国内传播趋势开始异常上涨,360安全大脑数据显示,其开始采用“匿影”僵尸网络进行传播(该僵尸网络还曾传播过WannaRen以及CryptoJoker勒索病毒家族), YourData勒索病毒又被称作Hakbit、Thanos家族,最早出现于2019年11月。但在2021年1月之前,国内极少出现被该病毒或变种攻击案例。2021年1月开始在国内出现该家族的变种,由于早期其后缀虽一直更新,但在国内传播时使用到的邮箱均为yourdata@RecoveryGroup.at,被命名为YourData。

- 2021年1月份开始,该变种开始在国内采用暴力破解远程桌面口令进行传播,但未显示出对企业的针对性。

- 2021年4月份开始,发现该家族开始针对性的进行投放勒索软件,使用带有受害者公司名特征的字符串作为后缀来重命名被加密文件。同样采用暴力破解远程桌面口令进行传播。

- 2021年7月份开始,发现该家族开始通过“匿影”僵尸网络进行传播,开始大范围传播。

在此前发起针对性攻击时,该家族在生成的勒索提示信息中不仅给出了邮箱联系方式,还留下了一个网址,可和黑客进行即时通信。黑客给受害者24小时的时间,若不能在24小时内支付0.7BTC的赎金,解密文件所需费用将提升20%.

此次利用“匿影”僵尸网络投放的勒索病毒生成的勒索提示信息,仅提供邮件地址供受害者联系,之前的通信页面没有提供。

“匿影”僵尸网络在今年6月底进行了一次更新。此次更新后,“匿影”通过已经驻留在受害机器中的后门植入文件名为“msf.ps1”的恶意powershell脚本,该脚本读取存放于basemsf.txt和powershell.txt中的powershell代码,解码后执行,其中basemsf.txt是负责投递各类木马病毒、内网横向移动工具的主要功能模块,powershell.txt负责将恶意代码反射注入到powershell进程中。“匿影”僵尸网络攻击流程如下图所示。

当basemsf.txt进入机器后,会根据实际情况从远程服务器下载挖矿木马、后门程序和勒索病毒,并植入到机器中。

经过6月底的更新后,“匿影”僵尸网路攻击趋势出现一定幅度的增长,每天有近百台计算机遭到匿影僵尸网络的攻击。下图展示了“匿影”僵尸网络近半年的攻击趋势,可以清晰看到6月底的增长。

作为数字经济的守护者,360政企安全集团立足党政军企网络安全刚需,在360安全大脑的极智赋能下,面向政企用户推出360终端安全产品体系。其中360终端安全管理系统是以大数据、云计算等新技术为支撑,以可靠服务为保障,集防病毒与终端安全管控功能于一体的企业级安全产品。360终端安全管理系统可对此类病毒威胁做出有效处理。最后,面对此类勒索病毒威胁,360安全大脑给出如下安全建议:

1、对于广大政企用户,可通过安装360终端安全管理系统,有效拦截木马病毒威胁,保护文件及数据安全,详情可通过400-6693-600咨询了解,抵御木马病毒攻击;

2、对于安全软件报毒的程序,不要轻易添加信任或退出安全软件;

3、安装并确保开启安全软件,保证其对本机的安全防护;

如果有遇到此方面困难的用户,也可以前往https://360.net/或通过400-0309-360联系360安全专家,获取帮助。

0x02   产品侧解决方案

​若想了解更多产品信息或有相关业务需求,可移步至http://360.net。

360AISA全流量威胁分析系统

针对微软本次安全更新,360AISA已基于流量侧提供对应检测能力更新,请AISA用户联系techsupport@360.cn获取更新,尽快升级检测引擎和规则,做好安全防护工作。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段,对该类漏洞的利用进行实时检测和阻断,请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀,其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台,实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测,请及时更新网络神经元(探针)规则和本地安全大脑关联分析规则,做好防护。

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下,以大数据、云计算等新技术为支撑,以可靠服务为保障,集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复,建议用户及时更新漏洞库并安装更新相关补丁。

0x03   时间线

2021-07-29 360CERT发布通告

0x04   特制报告下载链接

一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。

YourData勒索软件国内攻击通告

若有订阅意向与定制需求请发送邮件至 g-cert-report#360.cn ,并附上您的 公司名、姓名、手机号、地区、邮箱地址。