TACERT台灣學術網路危機處理中心

[技術]SpriteCoin：新的加密貨幣… 或許不是!

發佈日期：2018-01-22

參考位址： https://blog.fortinet.com/2018/01/22/spritecoin-another-new-cryptocurrency-or-not

消息內容：

SpriteCoin：新的加密貨幣… 或許不是!

新聞來源：Fortinet

Fortinet FortiGuard Labs發現一款只接受門羅幣(2014年所開發的開放原始碼加密貨幣)來支付贖金，這代表在勒索軟體界中逐漸從廣泛接受的比特幣開始轉移到其他加密貨幣當中。勒索軟體作者意識到現在趨勢以及事件，似乎是利用目前在加密貨幣中的炒作與狂熱。

這最新的勒索軟體不只會要求利用門羅幣來支付贖款，並偽裝成加密貨幣相關的密碼儲存。該惡意程式會偽造成「spritecoin」錢包，要求使用者創建他們喜好的密碼，但事實上並沒有下載任何區塊鏈，而是偷偷加密受害者資料。然後他會向使用者勒索門羅幣以解鎖加密檔案。該檔案(spritecoind[.]exe)利用UPX打包來規避簡單的偵測。該程式會顯示標準勒索訊息「你的檔案都被加密了」，然後要求0.3門羅幣，本文撰寫時約市值105美金。

在分析過程中，我們觀察到樣本似乎有嵌入式SQLite引擎。這讓我們相信惡意程式利用SQLite儲存大量帳戶資訊。該勒索軟體似乎是竊取Chrome的帳戶資訊，如果找不到任何資訊會試圖存取Firefox的儲存位置。之後會對特定檔案進行加密。檔案被加密後會加上.encrypted的附檔名。

更糟糕的是，解密過程中會再植入其他惡意程式，該惡意程式能夠竊取憑證、圖像截取以及視訊相機控制等功能。

感染流程分析：
下列是SpriteCoin勒索軟體感染流程分析
傳遞：我們從未確認報告中聽到並相信該攻擊是源自於論壇垃圾訊息，目標鎖定在對加密貨幣有興趣的使用者。在追蹤SpriteCoin當中，我們似乎找到其首頁pagebin[.]com/xxqZ8VES：

勒索軟體通常是透過社交軟體技術進行傳遞，但也可以利用漏洞而不用使用者互動來傳遞。這些通常是(包含但不限於)透過電子郵件、駭客工具、惡意的Excel/Word/PDF巨集或是JavaScript下載器。攻擊者通常會利用社交工程以及特製惡意電子郵件來誘使使用者執行該執行檔。這些檔案通常有吸引人的檔名來引誘使用者開啟檔案。通常勒索軟體需要使用者互動才能運行受在受害者機器。

在這案例中，威脅是透過偽裝成SpriteCoin加密貨幣的數位貨幣來傳遞(spritecoind[.]exe。透過Google搜尋並沒有任何SpriteCoin的文件，這顯示SpriteCoin並不是真的數位貨幣，而是特定攻擊所產生出來的產物。

入侵：攻擊通常是利用社交工程來誘使使用者點擊惡意程式。透過加密貨幣的高投資報酬率為誘餌足以吸引使用者在未經考慮下投向該錢包。

安裝：一旦惡意程式執行，它會跳出一個使用者通知「請輸入你錢包的密碼」

一旦上述步驟都完成了，惡意程式會宣稱正在下載區塊鏈，然而實際上是偷偷執行加密檔案。

在分析過程中，觀察到惡意程式在未安裝特定修補程式下是無法執行的。測試環境是Windows XP SP3，由於缺少msvcrt.dll中的_snprintf_s功能導致惡意程式無法執行。但是當安裝完該更新檔之後就會正常執行。

在初始化階段，惡意程式會將自己複製到%APPDATA%\MoneroPayAgent.exe當中，然後開啟新版本。惡意程式也會修登入檔
“HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run MoneroPay %APPDATA%\MoneroPayAgent.exe”
在Windows XP SP3機器中，appdata位於\documents and settings\user\application data\

命令與控制：該門羅幣勒索軟體並沒有像傳統惡意程式一樣連線到命令與控制伺服器，然而該惡意程式則是透過洋蔥Proxy連線到TOR網站(http://jmqapf3nflatei35[.]onion.link/*)。該proxy允許受害者與攻擊者網站連線過程中不用TOR瀏覽器。這可以確定兩件事，第一、攻擊者想要保持TOR網域的匿名性。第二、這讓使用者與攻擊者溝通成功率提升(使用者可能不知道或是不想用TOR)。

目標行動：預料之中，勒索軟體將會將密下列檔案：c .txt .py .doc .rtf .cpp .cc .go .tcl .html .ppt .docx .xls .xlsx .pptx .key .pem .psd .mkv .mp4 .ogv .zip .jpg .jpeg .work .pyw .h .hpp .cgi .pl .rar .lua .img .iso .webm .jar .java .class .one .htm .js .css .vbs .7z .eps .psf .png .apk .ps1 .gz .wallet.dat .id_rsa
並在檔名後面附加 .encrypted為副檔名

此外，使用者的Chrome以及Firefox的個人帳戶也會透過POST轉送到遠端網站(http://jmqapf3nflatei35[.]onion[.]link/*)
一旦使用者資料被加密(或是當使用者嘗試存取加密檔案)，勒索訊息就會在瀏覽視窗中顯示出來並提供解密方法來勒索贖金。

殘忍的是，如果受害者嘗試付款並獲取解密程式時，攻擊者就混傳送新的惡意程式執行檔【80685e4eb850f8c5387d1682b618927105673fe3a2692b5c1ca9c66fb62b386b】，被偵測為W32/Generic!tr。雖然尚未對該惡意程式payload進行完整分析，但確定他有控制視訊鏡頭、分析憑證及金鑰的能力，使受害者電腦更容易被攻擊。

FortiGuard防禦：
下列是門羅幣勒索軟體的防毒特徵值：
•W32/Ransom.F3F6!tr (Ransomware)
•W32/Agent.DDFA!tr (secondary payload of Monero)
•W32/Generic!tr (Backdoor)
•W32/MoneroPay.F3F6!tr.ransom
所有網路IoC也已經被網路過濾資料庫列入黑名單。

除了上述的特徵值，我們強烈建議組織透過備份以及復原機制來抵禦勒索軟體。不要僅僅依賴影子副本備份，因為一些勒索軟體會去刪除他們。惡意程式的作者已經對此有研究以確保高成功率。惡意程式作者知道一般使用者不會時常備份系統，但是有些人會執行影子副本備份以及一些相似的備份，作者也透過惡意軟體來解決。此外，簡易的離線備份重要檔案能夠減少大量時間以及挫折。最佳防禦方法是時常進行備份檔案並定期更新。然後將備份檔離線儲存在不同裝置中，甚至是異地備援。

因為惡意程式需要透過使用者互動才能啟動，所以建立正是安全訓練課程並派遣至少四分之一的人進行訓練是十分重要的。該訓練需要讓受訓者提高警戒，包含新的關鍵課程以及資安事件，並鼓勵受訓者回饋跟參與。透過獎勵來促使員工更積極參與安全課程，請參考這篇貼文10 Steps to Protecting Yourself From Ransomware。

回最新消息列表頁