瞄准各行企业及政府组织，LockBit勒索入侵加密无得解

瞄准各行企业及政府组织，LockBit勒索入侵加密无得解
2021-07-23 15:21:50 Author: www.secpulse.com(查看原文) 阅读量:86 收藏

背景概述

Lockbit勒索病毒最初于2019年9月被发现，当时称之为“ABCD病毒”，该别名是参考了当时被加密文件的后缀。利用此勒索病毒进行攻击的黑客团伙以针对企业及政府组织而出名，主要目标为中国，印度，印度尼西亚，乌克兰；对英国，法国，德国等欧洲国家也有过数次攻击。

Lockbit勒索病毒主要会将终端文件进行加密并将后缀修改为.lockbit，生成Restore-My-Files.txt的勒索信息，并修改桌面背景，这个勒索病毒家族目前没有公开的解密工具，用户一旦中招只能提交大量的赎金才可以解密。

图片1.png

主要特征

Lockbit的特征主要是以下几点：

1、独特的解密记号：在LockBit的勒索信中Tor URL的16字节分别对应了每个加密文件后的字节以及公共注册表项的前8个字节，从而可以让该团伙在解密的过程中，更容易定位及匹配密钥信息。

图片20.png

图片21.png

2、存在不加害对象列表：LockBit似乎对部分国家存在“善心”，病毒文件会获取本机系统语言信息，遇到以下列表的国家或系统语言则不会进行勒索加密。

图片2.png

排除国家和语言列表

微信截图_20210608110952.png

3、独有的桌面壁纸：LockBit除了和其他勒索病毒家族一样留下勒索信之外，还会修改当前的桌面背景，它将独有的桌面背景图片储存在路径Appdata\Local\Temp下，修改注册表wallpaper项将其设置为桌面背景。

图片18.png

图片19.png

样本分析

LockBit勒索病毒大量使用了英特尔的SSE指令集和特定于体系结构的功能，以提高其性能，并将这些字符串变量通过异或进行解密；

解密前：

图片3.png

解密后：

图片4.png

LockBit使用互斥信号量来防止多个勒索病毒在该系统上运行；

图片5.png

修改注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run让恶意的软件随着开机启动；

图片6.png

LockBit含有包含多个防病毒软件的服务列表，一旦检测到相关的防病毒软件服务则进行干预并停止防病毒软件，以避免自身被查杀；

图片7.png

相关的防病毒软件服务列表为：wrapper, DefWatch, ccEvtMgr, ccSetMgr, SavRoam, Sqlservr, sqlagent, sqladhlp, Culserver, RTVscan, sqlbrowser, SQLADHLP, QBIDService, Intuit.QuickBooks.FCS, QBCFMonitorService, sqlwriter, msmdsrv, tomcat6, zhudongfangyu, vmware-usbarbitator64, vmware-converter, dbsrv12, dbeng8, MSSQL$MICROSOFT##WID, MSSQL$VEEAMSQL2012, SQLAgent$VEEAMSQL2012, SQLBrowser, SQLWriter, FishbowlMySQL, MySQL57, MSSQL$KAVCSADMINKIT, MSSQLServerADHelper100, SQLAgent$KAVCSADMINKIT, msftesql-Exchange, MSSQL$MICROSOFT##SSEE, MSSQL$SBSMONITORING, MSSQL$SHAREPOINT, MSSQLFDLauncher$SBSMONITORING, MSSQLFDLauncher$SHAREPOINT, SQLAgent$SBSMONITORING, SQLAgent$SHAREPOINT, QBFCService, QBVSS, YooBackup, YooIT, vss, sql, svc$, MSSQL, MSSQL$, memtas, mepocs, sophos, veeam, backup, bedbg, PDVF$Service, BackupExecVSSProvider, BackupExecAgentAccelerator, BackupExecAgentBrowser, BackupExecDiveciMediaService, BackupExecJobEngine, BackupExecManagementService, BackupExecRPCService, MVArmor, MVarmor64, stcrawagent, VSNAPVSS, VeeamTransportSvc, VeeamDeploymentService, VeeamNFSSvc, AcronisAgent, ARSM, AcrSch2Svc, CASAD2DWebSvc, WSBExchange, MSExchange

在确保“自身安全”后，LockBit将会获取主机中的文件后缀进行比对并加密；

图片8.png

加密文件后缀列表：

.386, .cmd, .exe, .ani, .adv, .theme, .msi, .msp, .com, .diagpkg, .nls, .diagcab, .lock, .ocx, .mpa, .cpl, .mod, .hta, .icns, .prf, .rtp, .diagcfg, .msstyles, .bin, .hlp, .shs, .drv, .wpx, .bat, .rom, .msc, .spl, .ps1, .msu, .ics, .key, .mp3, .reg, .dll, .ini, .idx, .sys, .ico, .Lnk, .rdp

为了防止加密某些系统文件导致操作系统异常，LockBit“很贴心”地将一些特定的系统文件排除到加密范围，使得用户可以正常打开系统；

图片9.png

不加密文件列表：$windows.~bt, intel, msocache, $recycle.bin, $windows.~ws, tor browser, boot, system volume information, perflogs, google, appliction data, windows, windows.old, appdata