近日，安天CERT（CCTGA勒索软件防范应对工作组成员）监测到针对国内的Coffee勒索软件持续活跃。该勒索软件最早出现于2022年1月，主要通过钓鱼邮件、QQ群文件等方式进行传播。

Coffee勒索软件的攻击者使用中文编写钓鱼邮件、勒索信，并提供在国内购买加密货币支付赎金的详细中文教程，对国内用户具有很强的针对性。该勒索软件使用“白加黑”方式加载恶意模块，并且采用“DDR”(Dead Drop Resolvers)技术，利用合法Web服务下载后续恶意功能载荷，规避安全产品检测。该勒索软件还会对桌面快捷方式进行劫持，并利用受害者的QQ聊天工具进一步传播。

安天智甲终端防御系统（简称IEP）可实现对该勒索软件的有效查杀和对用户终端的切实防护，安天现已发布该勒索软件解密工具。

Coffee勒索软件解密工具下载链接：

https://www.antiy.com/tools.html

特别致谢：

哈尔滨工业大学网络安全应急小组

CCTGA勒索软件防范应对工作组

该起攻击行动样本技术特点分布图如下：

图 2‑1事件对应的ATT&CK映射图谱

本次事件中，攻击者使用的技术点如下表所示：

表 2‑1事件对应ATT&CK技术行为描述表

攻击者投放压缩包格式的钓鱼邮件附件或QQ群文件，诱导受害者解压并执行压缩包中的快捷方式。快捷方式目标使用Unicode编码，隐藏实际指向的恶意程序csrts.exe。恶意程序运行后，会利用“白加黑”方式，使用白文件csrts.exe加载恶意模块Myou.dll，然后从托管平台等途径下载后续恶意功能载荷并加载，执行文件加密、快捷方式劫持、利用受害者QQ传播等恶意行为。

图 3‑1攻击流程图

针对该勒索软件，安天建议采取如下防护措施：

4.1.企业防护

（1）安装终端防护：安装反病毒软件。

（2）接收QQ群文件要确认发送来源是否可靠。建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行；

（3）部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。

（4）灾备预案：建立安全灾备预案，确保备份业务系统可以快速启用；

4.2.邮件传播防护

（1）接收邮件时要确认发送来源是否可靠，避免打开可疑邮件中的附件；

（2）建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行。

表 5‑1勒索软件概览

6.1 样本标签

表 6‑1样本标签

6.2 采用“DDR”(Dead Drop Resolvers)技术下载恶意功能载荷

压缩包中使用快捷方式作为诱饵，快捷方式中使用Unicode编码，隐藏实际指向的目标文件路径csrts.exe。双击该快捷方式后，会调用该程序运行。

图 6‑1执行恶意程序的快捷方式

利用“白加黑”方式，使用带有数字签名的白文件csrts.exe加载恶意模块Myou.dll。

图 6‑2 csrts.exe的数字签名

将自身及Myou.dll复制到%Appdata%目录下并执行。

图 6‑3复制自身到%Appdata%目录

采用“DDR”(Dead Drop Resolvers)技术，从Gitee（架设在国内的基于Git的代码托管平台）、IPFS（去中心化的文件存储系统）等途径下载RTLib.dll并加载，该文件为后续的恶意功能载荷。

图 6‑4下载并加载模块

图 6‑5 攻击者在Gitee平台存放的恶意载荷

样本会访问https://visitor-badge.laobi.icu/badge?page_id=dayXXX.nobody.com，用于统计受害者数量。根据网站数据显示，2022年2月18日感染数量激增。

图 6‑6 2022.1.1至2022.2.21期间受害者数量统计

6.3 使用R**算法进行数据加密

若%Appdata%目录下，存在“*-RSA.txt”文件，则读取文件内容初始字符串，否则生成随机的小写GUID字符串保存至“<生成另一个大写GUID>-RSA.txt”，并依此生成8个字符长度的加密密钥。其中，密钥前四个字符会参与组成加密后文件的文件名。

图 6‑7生成加密密钥

若满足如下条件之一，样本会执行文件加密操作：

①  存在某安全软件进程；

②  收到攻击者的加密指令；

③  当前时间距离%Appdata%\*-RSA.txt文件创建时间大于等于4天。

图 6‑8文件加密前提条件

使用R**对称加密算法对文件进行加密，样本只加密文件前2,097,152字节（2MB）的数据，加密后的文件末尾会添加0x24、0x21两个字节的标志位。

图 6‑9加密文件

加密功能只针对指定后缀名的文件，如下表所示。

表 6‑2 加密文件后缀名

加密后的文件名格式为：原文件名.coffee.密钥前四个字符.原文件后缀名。例如，“发言稿.docx”某次被加密后的文件名为“发言稿.coffee.UV2v.docx”。

图 6‑10生成加密后的文件名

从XML字符串中获取RSA公钥，加密R**密钥作为勒索信中的解密密码。

图 6‑11 RSA公钥

在被加密文件的路径下生成名为“请阅读我.RSA.txt”的勒索信，勒索信内容包括操作指南、解密所需的解密密码等内容。

图 6‑12 勒索信

Coffee勒索软件向受害者索要价值500 USDT（泰达币，一种将加密货币与法定货币美元挂钩的虚拟货币）的ZEC币，并提供了详细的中文支付指南，指导受害者如何进行安装数字钱包、购买虚拟货币、支付赎金等操作。

图 6‑13 勒索信中提供的操作指南

6.4 通过劫持桌面快捷方式实现持久化

样本将自身复制到桌面正常快捷方式指向的程序目录下，文件名为正常程序名后接不可见字符“\u200e”，并修改正常快捷方式指向该文件。用户从桌面快捷方式执行程序时，实际执行的为恶意程序。（分析过程中该功能未启用）

图 6‑14修改快捷方式

劫持快捷方式的程序列表如下。

表 6‑3 感染程序列表

6.5 通过发送QQ文件及消息扩大传播范围

样本会尝试将QQ窗口置于前台，模拟QQ文件及消息发送操作，利用受害者系统中的QQ软件进一步传播。

图 6‑15模拟发送QQ消息

发送的QQ文件、消息如下。

图 6‑16发送的QQ文件、消息

国家互联网应急中心（CNCERT/CC）联合国内头部安全企业成立“中国互联网网络安全威胁治理联盟勒索软件防范应对专业工作组”（简称“CCTGA勒索软件防范应对工作组”），从勒索软件信息通报、情报共享、日常防范、应急响应等方面开展勒索软件防范应对工作，并定期发布勒索软件动态至官方网站（https://www.cert.org.cn/publish/main/44/index.html）或微信公众号（国家互联网应急中心CNCERT）

本文作者：AntiyLab

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/173849.html