【新闻转载】“假冒 LockBit”来袭:勒索软件借助 AWS S3 偷窃数据,威胁升级

关键要点

  • Trend团队发现了一些利用 Amazon S3(简单存储服务)传输加速功能的 Golang 勒索软件样本,用于窃取受害者的文件并上传至攻击者控制的 S3 存储桶。

  • 这些样本中硬编码的 Amazon Web Services (AWS) 凭证被用于追踪与恶意活动关联的 AWS 账户 ID,从而提供了有价值的威胁指示(IOCs)。

  • 攻击者试图将 Golang 勒索软件伪装成臭名昭著的 LockBit 勒索软件,显然是想借助其恶名来进一步施压受害者。

  • Trend团队已将相关发现共享给 AWS 安全团队。需要注意的是,他们的发现并不涉及 AWS 服务的漏洞。经与 AWS 核实,确认该行为违反了 AWS 可接受使用政策。报告的 AWS 访问密钥和账户现已被暂停。

引言

从信息窃取工具的开发到数据窃取,云服务提供商正越来越多地被威胁行为者利用于恶意活动。在本次案例中,Trend团队分析的勒索软件样本包含硬编码的 AWS 凭证,但这是特定于此单一威胁行为者的情况。通常,勒索软件开发者会利用其他在线服务来实现其战术。为此,他们研究了一些使用 Go 语言(Golang)编写的勒索软件样本,目标为 Windows 和 MacOS 环境。大部分样本包含硬编码的 AWS 凭证,被窃数据上传至攻击者控制的 Amazon S3 存储桶。

在攻击的尾声,受害设备的桌面壁纸会被更换为提到 LockBit 的图片。这可能会让受害者误以为此次事件是由 LockBit 引起的,尤其是因为该勒索软件家族近年来活跃,且在今年上半年文件检测率最高。然而,实际情况并非如此,攻击者只是利用 LockBit 的恶名来进一步施压受害者。

他们推测该勒索软件的作者使用了自己的 AWS 账户或是一个被攻陷的账户。在分析中,Trend团队发现了可能出自同一作者的三十多个样本,表明该勒索软件在 AWS 暂停访问密钥和账户之前已在积极开发和测试。此外,通过样本中的硬编码 AWS 访问密钥 ID,他们可以定位到相关联的 AWS 账户 ID。这一发现提供了一个新的视角,即在跨账户活动中将恶意或被攻陷的 AWS 账户 ID 视作潜在的 IOC(威胁指示)。

本文将描述这些样本的功能特性以及它们如何在攻击中利用 Amazon S3 的功能。

技术分析

Golang 为开发人员提供了一个可以编译为多平台二进制文件的单一代码库,无需额外依赖项,从而实现跨平台兼容且无依赖的特性。威胁行为者利用这些优势,通过 Golang 创建恶意文件,例如 Agenda 勒索软件以及 Earth Lusca 使用的最新发现的 KTLVdoor 后门。

在Trend团队分析的勒索软件样本中,大多数样本都包含硬编码的 AWS 访问密钥 ID 和密钥。在深入研究这些样本的工作机制时,他们发现其利用了 AWS S3 的一个功能,即 S3 Transfer Acceleration (S3TA)。

他们的分析主要基于以下几个样本:

  1. 14fe0071e76b23673569115042a961136ef057848ad44cf35d9f2ca86bd90d31

  2. 0c54e79e8317e73714f6e88df01bda2c569ec84893a7a33bb6e8e4cf96980430

当勒索软件在受感染的机器上执行时,首先会通过以下步骤进行初始化:

  1. 获取主机的通用唯一识别码(UUID)

  2. 导入硬编码的公钥

公钥使用隐私增强邮件(PEM)格式进行编码。

解码公钥的值后,揭示出其使用的是RSA加密算法,并且模数大小为2048位。

        3. 生成一个随机主密钥,并使用先前导入的RSA公钥对其进行加密。(这意味着只有拥有私钥的攻击者才能解密该主密钥。)

        4. 将加密后的主密钥写入到说明文件(README.txt)中。

        5. 使用AWS SDK for Go v2库的StaticCredentialsProvider来加载静态凭证。这些静态凭证包括硬编码的AccessKeyID、SecretAccessKey和AWS_REGION。

初始化完成后,勒索软件通过调用 filepath.Walk 函数开始枚举在 /(macOS 版本的根目录)中的所有文件。对于每个被枚举的文件,都会检查其是否位于排除文件夹中。如果文件在排除文件夹中,则该文件不会被加密。

勒索软件包含一份文件扩展名列表(通常是文档、照片和数据文件),这些文件将会被加密。

README.txt 文件名被排除在加密范围之外。

数据泄露

基于获取的主机UUID,勒索软件样本使用硬编码的凭证对在攻击者控制的AWS账户上创建一个Amazon S3存储桶。

一旦存储桶被创建,勒索软件通过修改配置启用 S3TA(Amazon S3 Transfer Acceleration)功能。

最后的步骤是对文件从头到尾进行加密。加密算法采用 AES-CTR 模式,密码为文件名的 MD5 哈希值与主密钥拼接的结果。

例如,勒索软件生成一个随机的16字节主密钥:20 60 A3 EA 54 84 C9 27 57 76 1E CC 1F FC 12。加密后的文件名为 text.txt。

因此,拼接后的字节序列为:74 65 78 74 2E 74 78 74 63 20 60 A3 EA 54 84 C9 27 57 76 1E CC 1F FC 12。其 MD5 哈希值为 23 a3 ec c5 58 2d 97 41 07 3c 3b dc 31 7d 49 30。

文件随后从受害者的机器上传到由攻击者控制的 AWS 账户。

S3TA(Amazon S3 Transfer Acceleration)功能使用户能够在长距离内实现更快的数据传输速度。它利用了 Amazon CloudFront 全球分布的边缘位置。要使用此功能,必须在存储桶上启用。存储桶名称应符合域名系统(DNS)的规范,且不能包含句号。启用 S3TA 的 S3 存储桶可以通过以下端点访问,具体取决于 AWS 环境的类型:

  • bucketname[.]s3-accelerate.amazonaws.com

  • bucketname[.]s3-accelerate.dualstack.amazonaws.com

每个通过先前文件扩展名检查且小于 100 MiB(Mebibyte)的文件都会通过调用 Uploader.Upload 函数上传到 AWS。这是因为上传大文件会增加攻击者的存储成本,因此他们选择上传较小的文件以节省 AWS 空间和资金。

最后一步是对文件进行端到端的加密。加密算法采用 AES-CTR,密码是文件名与主密钥(master key)拼接后生成的 MD5 哈希值。

勒索软件生成一个随机的 16 字节主密钥(例如:63 20 60 A3 EA 54 84 C9 27 57 76 1E CC 1F FC 12),加密文件的名称为 text.txt。

相应地,拼接的字节序列为 74 65 78 74 2E 74 78 74 63 20 60 A3 EA 54 84 C9 27 57 76 1E CC 1F FC 12,其 MD5 哈希值为 23 a3 ec c5 58 2d 97 41 07 3c 3b dc 31 7d 49 30。这如图所示(通过 CyberChef 生成,此处仅用于可视化目的)。

生成的哈希值作为 crypto.AES.NewCipher 函数的 AES 密钥参数。初始化向量(IV)是一个随机生成的 16 字节值,并传递给 crypto.cipher.NewCTR 函数。

加密完成后,文件将被重命名为以下格式:<原文件名>.<初始化向量>.abcd。例如,文件 text.txt 被重命名为 text.txt.e5c331611dd7462f42a5e9776d2281d3.abcd

他们在调试器中运行了勒索软件样本并转储了主密钥。随后,他们验证了在选择合适的加密算法并传入正确参数的情况下,可以正确解密之前加密的文件,如下图所示(通过 CyberChef 生成,仅用于可视化展示)。

README.txt 文件包含经过 Base64 编码的内容。解码后可以看到,文件内容包含使用硬编码的公钥作为参数,并通过 crypto.rsa.EncryptPKCS1v15 加密的主密钥,随后再次进行 Base64 编码。在此编码数据之后,是主机名、操作系统版本以及感染机器的唯一标识符。要解密该主密钥,则需要勒索软件开发者的私钥,但他们并不掌握该私钥。

在处理完所有文件后,勒索软件会更改设备的壁纸。他们观察到使用了两种不同的壁纸,这些壁纸要么是从 LockBit 攻击中窃取的,要么是从某安全博客中提到的勒索软件家族中复制的。然而,需要注意的是,2.0 并不是 LockBit 的最新版本。此外,今年早些时候,勒索软件操作的关键人物已被逮捕。

在 macOS 系统上,勒索软件使用 osascript 命令更改壁纸,具体命令如下:

tell application "System Events" to tell every desktop to set picture to "%s"

在 Windows 系统上,勒索软件调用 SystemParametersInfoW 函数,将 uiAction 参数设置为 SPI_SETDESKWALLPAPER 来更改壁纸。

在某些 Windows 样本中,还可以找到用于删除备份(影子副本)的代码。有趣的是,勒索软件开发者可能在未理解的情况下,从一个勒索软件模拟项目中直接复制了 shadowcopy.go 文件,并且将参数 /for 保持不变。

结论

攻击者越来越多地利用云服务及其功能来推进恶意活动。在本文中,Trend团队分析了一个利用Amazon S3的传输加速功能的Golang勒索软件,该功能被用来将受害者的文件高效上传至攻击者控制的S3存储桶。这种高级功能使攻击者能够高效地提取数据并利用云服务提供商的优势来隐藏恶意行为。

此外,像AWS账号ID这样与恶意活动相关的云账户标识符可以作为重要的入侵指示器(IOC)。通过跟踪这些标识符,防御方可以更好地识别和缓解云环境中的威胁,强调了对云资源进行严密监控的必要性。

攻击者也可能会将他们的勒索软件伪装成其他更为知名的勒索软件变种。这种伪装意图明显:高知名度勒索软件带来的恐惧心理更容易促使受害者遵循攻击者的要求。

为进一步提升安全性,组织还可以采用如Vision One这样的安全解决方案,能够在系统的各个层面上及早检测和阻止威胁。

AWS 安全反馈

Trend团队就此次事件联系了 AWS,并收到以下回复:

AWS 可以确认其服务按预期运行。识别出的活动违反了 AWS 可接受使用政策,相关的 AWS 访问密钥和账户已被暂停。

勒索软件并不特定于任何特定的计算环境。然而,AWS 为客户提供了增强的可见性和控制能力,以帮助客户管理与恶意软件相关的安全状况。

Trend团队建议怀疑或发现 AWS 资源被用于可疑活动的客户填写滥用报告表或联系 trustandsafety@support.aws.com。

Trend团队感谢 Trend Micro 与 AWS 安全团队的合作。

消息来源:

https://www.trendmicro.com/en_us/research/24/j/fake-lockbit-real-damage-ransomware-samples-abuse-aws-s3-to-stea.html

https://www.trendmicro.com/en_us/research/24/j/fake-lockbit-real-damage-ransomware-samples-abuse-aws-s3-to-stea.html

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.xdnf.cn/news/1425.html

如若内容造成侵权/违法违规/事实不符,请联系一条长河网进行投诉反馈,一经查实,立即删除!

相关文章

python之数据结构与算法(数据结构篇)-- 栈

一、栈的概念 这里我们不去了解教科书上面的“教条概念”&#xff0c;其实“栈”的概念和古代的时候的“客栈”是有异曲同工之妙的。 在这里我们把客栈看成“栈”&#xff0c;旅客看作“栈元素” 1.当旅客进来住店时&#xff0c;叫做“入栈”&#xff1b; 2.当旅客退房时&#…

【银河麒麟高级服务器操作系统】虚拟机lvm分区丢失现象分析及解决建议

了解更多银河麒麟操作系统全新产品&#xff0c;请点击访问 麒麟软件产品专区&#xff1a;https://product.kylinos.cn 开发者专区&#xff1a;https://developer.kylinos.cn 文档中心&#xff1a;https://documentkylinos.cn 环境描述 系统环境 物理机/虚拟机/云/容器 虚拟…

论文速读:完全测试时域适应(Test-time Adaptation)目标检测(CVPR2024)

原文标题&#xff1a;Fully Test-time Adaptation for Object Detection 中文标题&#xff1a;完全测试时间适应目标检测 通过百度网盘分享的文件&#xff1a;Fully_Test-time_Adaptation_for_Obje... 链接&#xff1a; 百度网盘 请输入提取码 提取码&#xff1a;yrvz 代码地址…

蔚来汽车 AI产品经理面经

问的问题都比较深入&#xff0c;要求有项目基础&#xff0c;祝好&#x1f970; 1、自我介绍 2、你的产品上线后有没有关注用户反馈&#xff1f; 3、给客户交付时&#xff0c;如果产品能力还没ready&#xff0c;你会怎么办&#xff1f; 4、你们团队需求一般来源于哪里&#…

国内短剧源码短剧系统搭建小程序部署H5、APP打造短剧平台

​在当今的互联网时代&#xff0c;短剧作为一种新兴的娱乐形式&#xff0c;受到了越来越多用户的喜爱。为了提供更好的用户体验和满足用户需求&#xff0c;一个好的短剧系统需要具备多元化的功能和优质的界面设计。 本文将介绍国内短剧源码短剧系统搭建小程序部署H5、APP所需的…

深入浅出了解AI教育发展与落地应用情况

2023年,是生成式AI能力涌现的一年,通用大模型是其中的主旋律。经过一年的发展,通用大模型格局已初步形成,生成式AI也从能力展示走向应用落地。进入2024年,对生成式AI的讨论和实践也都转向如何赋能产业。相比于通用大模型,进入产业内的大模型需要的是对行业的Know-How,以…

‘随机失活’:人工智能真的在模仿人脑吗?

序言&#xff1a;过拟合是人工智能训练中的一个常见问题&#xff0c;类似于一位“读死书”的学生&#xff0c;他只能机械地背诵书本内容&#xff0c;缺乏灵活性&#xff0c;一旦题目稍有变化便无法理解。为了解决这一问题&#xff0c;科学家们从人脑的学习方式中获得启发&#…

【机器学习】揭秘XGboost:高效梯度提升算法的实践与应用

目录 &#x1f354; XGBoost 原理 1.1 目标函数确定和树的复杂度介绍 1.2 XGBoost目标函数的推导 1.3 泰勒公式展开 1.4 化简目标函数 1.5 问题再次转换 1.6 对叶子结点求导 1.7 XGBoost的回归树构建方法 &#x1f354; XGBoost API 2.1 通用参数 2.2 Booster 参数 …

Transformer的Pytorch实现【1】

使用Pytorch手把手搭建一个Transformer网络结构并完成一个小型翻译任务。 首先&#xff0c;对Transformer结构进行拆解&#xff0c;Transformer由编码器和解码器&#xff08;Encoder-Decoder&#xff09;组成&#xff0c;编码器由Multi-Head Attention Feed-Forward Network组…

【MySQL】存储引擎

MySQL采用的是可插拔的存储引擎架构&#xff0c;也就是说在运行期间可以动态的加载或卸载存储引擎&#xff1b;查看当前服务器存储引擎的方法show engines&#xff0c;其中重点关注两个字段即可&#xff0c;其一是Support-表示当前服务器是否支持&#xff0c;其二是它的数值yes…

构建校园社团信息管理平台:Spring Boot技术的核心要点

6系统测试 6.1概念和意义 测试的定义&#xff1a;程序测试是为了发现错误而执行程序的过程。测试(Testing)的任务与目的可以描述为&#xff1a; 目的&#xff1a;发现程序的错误&#xff1b; 任务&#xff1a;通过在计算机上执行程序&#xff0c;暴露程序中潜在的错误。 另一个…

RAG工具:FlashRAG用于高效 RAG 研究的 Python 工具包

随着大语言模型的火热&#xff0c;如何提高生成内容的准确性和可靠性&#xff0c;成为各行业关注的重点。检索增强生成&#xff08;RAG&#xff09;正是通过将强大的检索功能与语言模型结合&#xff0c;在生成文本时引入来自外部的实时信息。 今天&#xff0c;我们来了解一款为…

任天堂新款闹钟被玩家破解,竟能运行《毁灭战士》游戏!

任天堂于10月9日推出的Nintendo Sound Clock Alarmo闹钟在市场上引起了强烈反响。这款定价为99.99美元&#xff08;约706元人民币&#xff09;的闹钟&#xff0c;在日本则以12980日元&#xff08;约619元人民币&#xff09;的价格迅速被抢购一空。 近日&#xff0c;首批收到闹钟…

我笑了,居民日均劳动不满3.5小时

鸭鸭是一位现代都市青年&#xff0c;生活节奏规律&#xff0c;时间安排精细&#xff0c;非常符合国家统计局发布的时间利用调查报告中的数据。以下是鸭鸭一天的生活日常&#xff1a; 早上 7:00 - 鸭鸭准时起床&#xff0c;开始一天的生活。他通常会在床上稍微刷刷手机&#xf…

django快速基本配置(2)

知识星球 | 深度连接铁杆粉丝&#xff0c;运营高品质社群&#xff0c;知识变现的工具 目录 配置开发目录 配置MySQL数据库 配置Redis数据库 配置工程日志 用户注册 跨域CORS 注意 配置开发目录 libs 存放第三方的库文件 utils 存放项目自己定义的公共函数或类等 apps 存…

前端技术月刊-2024.11

本月技术月刊聚焦于前端技术的最新发展和业务实践。业界资讯部分&#xff0c;React Native 0.76 版本发布&#xff0c;带来全新架构&#xff1b;Deno 2.0 和 Node.js 23 版本更新&#xff0c;推动 JavaScript 生态进步&#xff1b;Flutter 团队规模缩减&#xff0c;引发社区关注…

Golang的Web应用架构设计

# Golang的Web应用架构设计 介绍 是一种快速、高效、可靠的编程语言&#xff0c;它在Web应用开发中越来越受欢迎。Golang的Web应用架构设计通常包括前端、后端和数据库三个部分。在本篇文章中&#xff0c;我们将详细介绍Golang的Web应用架构设计及其组成部分。 前端 在Golang的…

element-plus按需引入报错AutoImport is not a function

官网文档&#xff1a;快速开始 | Element Plus webpack配置 // webpack.config.js const AutoImport require(unplugin-auto-import/webpack) const Components require(unplugin-vue-components/webpack) const { ElementPlusResolver } require(unplugin-vue-components…

【51单片机】串口通信原理 + 使用

学习使用的开发板&#xff1a;STC89C52RC/LE52RC 编程软件&#xff1a;Keil5 烧录软件&#xff1a;stc-isp 开发板实图&#xff1a; 文章目录 串口硬件电路UART串口相关寄存器 编码单片机通过串口发送数据电脑通过串口发送数据控制LED灯 串口 串口是一种应用十分广泛的通讯接…

操作系统——计算机系统概述——1.4操作系统结构

目录 操作系统的体系结构 大内核&#xff08;宏内核/单内核&#xff09;&#xff1a; 微内核&#xff1a; 分层法 模块化 操作系统的体系结构 大内核&#xff08;宏内核/单内核&#xff09;&#xff1a; 将操作系统的主要功能模块都作为系统内核&#xff0c;运行在核心态。…