除了加密勒索，完整源码泄露的Babuk勒索还有哪些特征？

除了加密勒索，完整源码泄露的Babuk勒索还有哪些特征？
2021-09-26 12:31:12 Author: www.secpulse.com(查看原文) 阅读量:37 收藏

背景介绍

近期Babuk勒索软件的完整源代码被泄露，据泄露源代码的黑客自称是想要改过自新，但是这一公开源代码的举动反而拉低了其他潜在犯罪团伙制作勒索软件的成本，后续是否会因此涌现更多的勒索软件不得而知。

Babuk勒索最早曝光于2021年初，让他们“一跃成名”的是在今年的4月份攻击了华盛顿大都会警察局，威胁不提交赎金将公开警方线人和其他敏感数据，并持续瞄准FBI、CSA等部门。但他们也并不是只针对执法机构，此前已攻击了多家大型企业和组织，如包括西班牙连锁手机零售商PhoneHouse和NBA休斯顿火箭队，一度成为2021年最活跃的勒索家族之一。

下载.jpg

/图源于网络：Babuk公开的华盛顿大都会警察局被窃取的数据文件/

Babuk勒索软件特点

深信服终端安全团队长期跟踪全球范围内的高级威胁，在海外攻击场景中捕获最新的Babuk勒索样本，在对该勒索软件进一步分析后，发现Babuk勒索软件除了会跟其他勒索家族一样加密文件外，还会窃取被攻击目标的数据，以威胁受害者支付赎金。

相比于其他勒索团伙，Babuk的使用了更加多样的攻击手法，包括：

1、利用APT攻击中常见的“白加黑”手段绕过静态检测；

2、使用自动化安装脚本批量投放，替代手动投放执行勒索；

3、运维不同平台的勒索病毒代码，具有针对Linux系统的勒索功能。

同时，该团伙的攻击过程非常有耐心，潜伏时间相当长，可能达到两个月以上，因此在实施最后的攻击后往往会对受害者造成相当大的影响，目前深信服终端检测平台EDR已支持该勒索病毒的防护查杀。

入侵手法：

C2连接工具

C2连接工具由三个文件构成：

图片1.png

其中GoogleUpdate.exe是带有Google数字签名的可执行程序，GoogleUpdate运行过程会加载goopdate.dll文件；

图片2.png

而goopdate.dll则是被劫持的shellcode加载器，读取thumb.db中的shellcode并解码运行；

图片3.png

安全专家对通过调试发现C2服务器地址为 103.79.77.242/Inform/registration/Q0FNEMDCNR9 ，但该地址目前已无法连接。

图片4.png

图片5.png

GoogleUpdate.exe+goopdate.dll属于利用白文件加载恶意程序以躲避杀毒软件检测的操作，可以从网上搜索到诸多案例。（注：海莲花APT也用过同样的手法）

勒索批量安装脚本

安全专家还发现一组勒索软件批量安装脚本，有下面三个文件：

图片6.png

e.txt中储存的是被勒索的主机IP地址

图片7.png

e.bat调用了e.vbs实现批量远程执行命令：

图片8.png

e.vbs的功能列表如下：

图片9.png

e.vbs的脚本内容比较简单，首先使用net use 连接目标主机；

图片10.png

然后远程执行命令；

图片11.png

值得注意的是，该脚本还会将受害主机中的 C:/Windows/Temp 目录共享出去，方便传输文件等操作。

图片12.png

图片13.png

样本分析

Windows:

程序首先执行勒索加密前准备，包括：

1、停止相关服务

2、结束相关进程

3、删除卷影副本

4、清空回收站

图片14.png

Babuk勒索软件首先停止如下服务以保障加密顺利进行：

vss、sql、svc$、memtas、mepocs、sophos、veeam、backup、GxVss、GxBlr、GxFWD、GxCVD、GxCIMgr、DefWatch、ccEvtMgr、ccSetMgr、SavRoam、RTVscan、QBFCService、QBIDPService、Intuit、QuickBooks、FCS、QBCFMonitorService、YooBackup、YooIT、zhudongfangyu、sophos、stc_raw_agent、VSNAPVSS、VeeamTransportSvc、VeeamDeploymentService、VeeamNFSSvc、veeam、PDVFSService、BackupExecVSSProvider、BackupExecAgentAccelerator、BackupExecAgentBrowser、BackupExecDiveciMediaService、BackupExecJobEngine、BackupExecManagementService、BackupExecRPCService、AcrSch2Svc、AcronisAgent、CASAD2DWebSvc、CAARCUpdateSvc

图片15.png

结束如下进程，避免数据文件被占用而无法加密：

sql.exe、oracle.exe、ocssd.exe、dbsnmp.exe、synctime.exe、agntsvc.exe、isqlplussvc.exe、xfssvccon.exe、mydesktopservice.exe、ocautoupds.exe、encsvc.exe、firefox.exe、tbirdconfig.exe、mydesktopqos.exe、ocomm.exe、dbeng50.exe、sqbcoreservice.exe、excel.exe、infopath.exe、msaccess.exe、mspub.exe、onenote.exe、outlook.exe、powerpnt.exe、steam.exe、thebat.exe、thunderbird.exe、visio.exe、winword.exe、wordpad.exe、notepad.exe

图片16.png

删除卷影副本：

图片17.png

获取系统信息，然后根据处理器数量创建对应数量的加密线程：

图片18.png

跳过如下文件及文件夹：

AppData、Boot、Windows、Windows.old、Tor Browser、Internet Explorer、Google、Opera、Opera Software、Mozilla、Mozilla Firefox、$Recycle.Bin、ProgramData、All Users、autorun.inf、boot.ini、bootfont.bin、bootsect.bak、bootmgr、bootmgr.efi、bootmgfw.efi、desktop.ini、iconcache.db、ntldr、ntuser.dat、ntuser.dat.log、ntuser.ini、thumbs.db、Program Files、Program Files (x86)、#recycle、..、.

图片19.png

跳过".exe"、".dll"、".babyk"后缀的文件：

图片20.png

将文件加上“.babyk”后缀后对其进行加密，加密算法采用了ECDH+HC-128：

图片21.png

为了避免文件因被进程占用而无法加密，除了结束特定进程及服务外，Babuk还使用了Windows Restart Manager。Windows Restart Manager允许除关键系统服务外的所有程序或服务关闭和重启，从而可以减少或避免程序安装或者更新过程中需要重启的次数，Babuk利用其使文件可以被顺利加密。

图片22.png