近日，腾讯御见威胁情报中心接到某公司反馈，该公司数台Windows服务器中了勒索病毒，电脑除了C盘，其他磁盘分区都被整个加密，造成公司业务停摆。此外，该勒索病毒索要的赎金高达9.5个比特币（约40万人民币）。在实际攻击场景中，一次勒索如此高的金额尚属少见。

桌面上被加密的文档

威胁等级（高危）
危害评估：★★★★★
     多台服务器中的数据文件被加密，影响公司日常业务运转。

影响评估：★★★★☆
     先入侵公司对外Web服务器，后进行内网渗透，利用弱口令等漏洞攻陷内网其余服务器。

技术评估：★★★☆☆
     虽然中招机器较多，但是只要做好相关的防御措施即可有效防御该类攻击。
 
影响面
公司内网所有Windows服务器

事件分析
1、通过对该公司内网各个服务器分析，发现服务器多用了弱口令，且多台服务器使用了相同的密码，很容易被爆破攻击。
各服务器上的日志显示，黑客先入侵了该公司官网的Web服务器，而该公司的Web服务器与公司内网相通，进而使得黑客可以通过Web服务器进行内网渗透，内网各个服务器均受到攻击。

黑客入侵路径示意图

此外，在被攻击的服务器上，发现黑客入侵后遗留的工具软件PCHunter，疑似是黑客用该工具结束服务器上安装的安全软件运行。

 
在被攻击的Web服务器上发现黑客使用过的内网渗透工具包。其中包括：ms16-032hh.exe（本地提权工具）、demo.exe（远控木马），m32.exe（密码抓取工具mimikatz），Hscan（内网扫描器）等。


其中demo.exe实际上为一个自解压包，包含以下3部分，iusb3mon.exe为白利用程序，携带了正规白签名，iusb3mon.dll为一个劫持DLL，iusb3mon.hlp为一个外部加密文件。 

 
该攻击模块其实为PlugX Rat家族木马。PlugX 通常也被称为是 KORPLUG，SOGU，DestroyRAT，被不同的织用于有针对性的攻击，是一个模块化的后门程序，它被设计为依靠执行签名合法的可执行文件来加载恶意代码，本次木马攻击流程如下图。


通常，PlugX 有三个主要组件，一个 DLL，一个加密的二进制代码文件和一个合法且经过签名的可执行文件。本次攻击主模块iusb3mon.exe最终在ProgramData目录下创建WS文件夹，并把木马相关模块释放到该目录设置为系统隐藏属性运行后自删除。 

 
木马通过读取外部加密文件iusb3mon.hlp到内存，并使用自定义算法分别与0x63执行相减，异或，相加后解密出恶意代码执行。


解密后的恶意代码最后创建僵尸进程“svchost.exe”使用Process Hollowing方法来将自身注入到系统进程中运行，这样做也更加隐蔽了木马的行踪。

 
被注入恶意代码的svchost.exe系统进程最终会通过C&C地址：sunshine5.3-a.net连接黑客，通过该后门，黑客也能实现长久的潜伏控制入侵服务器。 

 
2、对加密进行分析，发现该次勒索攻击不同于常规的传播运行勒索病毒，而是使用了正规的磁盘加密保护软件BestCrypt Volume Encryption。
BestCrypt Volume Encryption是一款专业加密软件厂商开发的磁盘保护软件，能将整个分区加密，加密后除非有加密时候设置的口令，否则难以通过第三方去恢复解密。而在此次攻击中，黑客则利用了这款BestCrypt加密软件对服务器上的磁盘进行了加密。 


使用BestCrypt来加密，能降低黑客自己的开发成本，此外，部分勒索病毒存在漏洞为解密文件提供了可能。而利用成熟的商业软件来加密使得解密难度变得更大；此外利用正规软件也更方便逃避安全软件查杀。
 
3、黑客在服务器桌面上留下多份勒索信息，查看后发现勒索的赎金达9.5个比特币（约人民币40万元），一般勒索病毒破坏后索要的赎金多数是1-2个比特币，在实际攻击场景中一次勒索如此高额赎金的还尚属少见。
 该黑客公然在留言中对受害企业进行敲诈勒索，用词极为嚣张。比如

“我们并不是自动传播的勒索病毒，而是专门针对企业定向攻击的专业黑客组织。”
“2-3天内未回复我们将采取攻击破坏手段，破坏比加密容易的多……”
还举例自己干过更嚣张的破坏行动：
“某企业被加密后3天没有回复，我们（指黑客组织）删除了该企业虚拟机宿主机服务器中近100台虚拟服务器，公司陷入瘫痪损失巨大……”
等等……


查看该黑客收款的比特币钱包，发现暂未收到任何赎金。
 

 
此外，该黑客为了证明自己是个“良心”商人，在勒索信息中花了大量篇幅证明支付赎金之后可以成功解密，并且还会提供调试数据库和代码错误的附加服务。



安全建议
从整个攻击过程可以看到，黑客首先入侵Web服务器，进而进行内网渗透，利用弱口令漏洞逐个攻陷内网多台服务器，在系统存在严重案例漏洞的情况下，即使服务器上已安装安全软件也会被黑客轻易关闭。

针对该类勒索攻击，腾讯御见威胁情报中心给出如下安全建议：

1、关闭服务器不必要的端口
2、切勿使用弱密码，并且各服务器不要使用相同的密码
3、将内外网隔离，对外服务器尽量与内网隔离，防止对外服务器被入侵后，黑客能进一步渗透内网
4、重要数据、系统、机器只允许授权的ip地址访问
5、及时修复高危漏洞
6、定期备份重要数据
7、部署腾讯云网站管家WAF，专业为网站服务的一站式智能防护平台
未来趋势
近期勒索攻击频发，黑客为了更多的获益，已越来越多的将攻击目标转向政企机构。该类机构一旦服务器数据被加密，业务将无法正常运转，会更倾向于交付赎金。因此接下来服务器依然会是黑客的重点攻击目标。
 
由于数据一旦被勒索病毒加密将很难恢复，因此对于勒索攻击重在防御，养成良好的安全习惯、意识则能有效防御该类攻击。
 
据了解，截止目前，受攻击企业并未向入侵者支付赎金，已使用早期备份还原系统。
 IOCs
C2：
          sunshine5.3-a.net
          1.199.31.208
          91.247.38.61
 
MD5：
          9e076d918a023160180523c634300b1f
          d1b7f4594003556d620dfb536549dc92
          05fad2e77c6c03b2ca2597af9ee63dd4
          05fad2e77c6c03b2ca2597af9ee63dd4
          717214f646d30da16d7c07eaf11c101d
 
参考资料
《Windows 服务器安全加固方案》https://s.tencent.com/research/report/435.html
《Windows个人机器加固方案》https://s.tencent.com/research/report/433.html
 
文章出处:  腾讯御见威胁情报中心