专注:网络安全、系统安全、应用安全、数据库安全、运维安全,趋势分析。

安全从业者2000人超级群:187297569 沟通:1255197 技术:75140776 北京:107606822 西安:53210718 渗透:50806427 站长QQ:55984512


面对勒索病毒束手无策?安恒APT轻松应对

2016-10-14 22:05 推荐: 浏览: 51 views 评论 字号:

摘要: 传统勒索病毒特点 根据安恒APT云端监控的数据,从今年年初以来勒索病毒攻击呈现快速上升的趋势,且变种类型非常快,对常规的杀毒软件都具有免疫性。攻击的样本以js、wsf、vbe等类型为主,隐蔽性极强,对常规依靠特征检测的安全产品是一个极大...


传统勒索病毒特点
根据安恒APT云端监控的数据,从今年年初以来勒索病毒攻击呈现快速上升的趋势,且变种类型非常快,对常规的杀毒软件都具有免疫性。攻击的样本以js、wsf、vbe等类型为主,隐蔽性极强,对常规依靠特征检测的安全产品是一个极大的挑战。
经过分析,通常该类型病毒的规律如下:
● 该类型病毒的目标性强,主要以邮件为传播方式。
● 勒索病毒文件一旦被用户点击打开,会利用连接至黑客的C&C服务器,进而上传本机信息并下载加密公钥。然后,将加密公钥写入到注册表中,遍历本地所有磁盘中的Office 文档、图片等文件,对这些文件进行格式篡改和加密;加密完成后,还会在桌面等明显位置生成勒索提示文件,指导用户去缴纳赎金。
● 该类型病毒可以导致重要文件无法读取,关键数据被损坏,给用户的正常工作带来了极为严重的影响。
———————————————————————————————————————————————————————–
新型勒索病毒分析
近期,安恒APT云端监控到了一种新型勒索病毒,该类型病毒运行流程复杂,且针对关键数据以加密函数的方式进行隐藏。
6401
以下为APT沙箱分析到样本载体的关键行为:
● 调用加密算法库
● 通过脚本文件进行Http请求
● 通过脚本文件下载文件
● 读取远程服务器文件
● 通过wscript执行文件
● 收集计算机信息
● 遍历文件
640
———————————————————————————————————————————————————————–
样本运行流程详解
根据APT沙箱报告捕获到样本的关键行为,包括进程行为、文件行为、网络行为等信息,可以发现其运行分析流程如下:
61140
该样本主要特点是通过自身的解密函数解密回连服务器地址,通过HTTP GET 请求访问加密数据,保存加密数据到TEMP目录,然后通过解密函数解密出数据保存为DLL,然后再运行DLL (即勒索者主体)。该DLL样本才是导致对数据加密的关键主体,且该主体通过调用系统文件生成秘钥,进而实现对指定类型的文件进行加密,即无需联网下载秘钥即可实现对文件加密。
同时,在沙箱分析过程中发现了该样本大量的反调试行为,用于对抗调试器的分析,增加了调试和分析的难度。
———————————————————————————————————————————————————————–
勒索病毒应对方案
根据勒索病毒的特点和感染流程,可以推断其变种迅速,通常具备较强的对抗能力,且感染成功后无法恢复,常规的依靠特征匹配的防护手段不再适用,给勒索病毒的防护带来了极大的挑战,从而导致大量的用户被勒索病毒感染造成损失。
根据勒索病毒的特点可以判断,其变种通常可以隐藏特征,但却无法隐藏其关键行为,经过总结勒索病毒在运行的过程中的行为主要包含以下几个方面:
● 通过脚本文件进行Http请求
● 通过脚本文件下载文件
● 读取远程服务器文件
● 收集计算机信息
● 遍历文件
● 调用加密算法库
安恒APT产品通过内置沙箱虚拟执行环境,可以对网络中传输的样本模拟运行分析,捕获其动态行为、网络行为、进程行为、文件行为、注册表行为等关键信息,识别其中可疑的勒索病毒特点,快速对网络中传输的勒索病毒样本进行预警,及时通知被攻击方提高安全防范意识,防止出现被感染的情况。
同时,结合安恒APT云端可为用户提供更为深层的威胁分析服务、安全预警服务和情报共享服务,依托于云端的海量数据、高级的机器学习和大数据分析能力,可及时共享最新的安全威胁情报,提供更为精准的威胁分析能力,用户也可直接访问云端,上传、查询和确认样本的分析结果,感知最新的安全情报。
声明:本报告中所有分析截图均来自于安恒APT产品自动生成的沙箱分析报告。
安恒密盾是安恒信息为阿里钉钉量身打造的第三方的安全加密模块,确保信息从通讯链路到钉钉云端的全过程加密,密钥和内容分开存储,双重加密,任何第三方包括钉钉在内都无法解密。在G20期间,钉钉和密盾大显身手,获得赞誉。
扫描二维码注册钉钉企业用户,并开通安恒密盾,根据向导申请企业认证。
杭州安恒信息技术有限公司
杭州安恒信息技术有限公司(DBAPPSecurity)是由国家千人计划专家范渊先生于2007年创办,是中国领先的信息安全产品和服务解决方案提供商,阿里巴巴使命级战略合作伙伴。作为云安全、应用安全、大数据安全和智慧城市安全等前沿领域的领导品牌,多次入选全球网络安全500强。曾先后为北京奥运会、国庆60周年庆典、上海世博会、广州亚运会、抗战七十周年、连续两届世界互联网大会和G20峰会等重大活动提供全方位网络信息安全保障。公司主营业务涵盖云计算安全,大数据安全以及应用安全、数据库安全、移动互联网安全、智慧城市安全等,包括安全态势感知、威胁情报分析、攻防实战培训、顶层设计、标准制定、课题和安全技术研究、产品研发、产品及服务综合解决方案提供等。安恒信息通过“云监测、云防护、云审计、云应用”四大产品线构建全生命周期的一站式“安恒云”平台,为用户提供全方位、立体式的安全托管服务,帮助用户更快速、更安全、更放心的拥抱云计算和大数据,目前“安恒云”防护模式已在各大云平台成功实践并拥有上千家云客户案例。是政府军工、公检法司、运营商、金融能源、财税审计、教育医疗、互联网+等行业值得信赖的网络安全首选品牌!
微信号:DBAPP2013
长按识别二维码关注我们
640
联系站长租广告位!

中国首席信息安全官


关闭


关闭