微軟Exchange服務(wù)器上出現(xiàn)Black Kingdom勒索軟件

作者：Change 2021-03-29 10:38:36

3月18日以來，研究人員發(fā)現(xiàn)有黑客團(tuán)伙開始使用Black KingDom勒索軟件來針對易受攻擊的Exchange服務(wù)器，這款勒索軟件并不復(fù)雜，其組成甚至顯得有些初級和業(yè)余，但仍可能造成很大的損害。

021年3月，微軟Exchange漏洞利用事件被公布報道，Exchange Server中的四個0day漏洞被超過10個APT黑客組織盯上，同時安全廠商發(fā)現(xiàn)了近7,000個經(jīng)由Exchange漏洞植入的webshell，用于攻擊者的后續(xù)惡意操作，這其中就包括DearCry勒索軟件。雖然Microsoft Defender 已經(jīng)自動更新定義檔，可在偵測到DearCry時加以封鎖，但只要Microsoft還沒修補(bǔ)好本月初披露的ProxyLogon漏洞，就還會有其他勒索軟件上門。

[[390195]]

3月18日以來，研究人員發(fā)現(xiàn)有黑客團(tuán)伙開始使用Black KingDom勒索軟件來針對易受攻擊的Exchange服務(wù)器，這款勒索軟件并不復(fù)雜，其組成甚至顯得有些初級和業(yè)余，但仍可能造成很大的損害。它可能與去年運(yùn)行于易受攻擊的Pulse Secure VPN集中器軟件的同名勒索軟件有關(guān)。

Web Shell交付

Black KingDom的交付是通過遠(yuǎn)程服務(wù)器進(jìn)行編排的，該遠(yuǎn)程服務(wù)器的IP地址定位到德國的185.220.101.204，而攻擊者的運(yùn)行地址是185.220.101.216，由于兩個IP地址都屬于Tor出口節(jié)點(diǎn)，因此無法知道攻擊者的實際位置。

攻擊者利用的是Microsoft Exchange Server本地部署版本的遠(yuǎn)程代碼執(zhí)行(RCE)漏洞，也稱為ProxyLogon(CVE-2021-27065)。

成功突破Exchange服務(wù)器后，攻擊者通過webshell對服務(wù)器的遠(yuǎn)程訪問，進(jìn)而執(zhí)行任意命令。

Webshell ChackLogsPL.aspx植入位置：

我們觀察到的其他Webshell文件名還有ckPassPL.aspx和hackIdIO.aspx。

Webshell是由w3wp.exe寫入磁盤的，w3wp.exe是承載Exchange管理中心(EAC)的Internet信息服務(wù)器(IIS)輔助進(jìn)程，Microsoft將其內(nèi)部名稱命名為ECP(Exchange控制面板)：

勒索軟件的執(zhí)行和行為

部署完Webshell之后，攻擊者通過發(fā)出PowerShell命令來發(fā)起攻擊(由于大小限制，此處未完整顯示)：

解碼為以下腳本(已修改以提高可讀性)：

腳本從此處下載勒索軟件有效負(fù)載：hxxp://yuuuuu44[.]com/vpn-service/$(f1)/crunchyroll-vpn

$(f1)部分由函數(shù)f1生成，該函數(shù)生成一個由15個字母字符組成的隨機(jī)字符串，因此實際網(wǎng)址看起來像這樣：hxxp://yuuuuu44[.]com/vpn-service/ ojkgrctxslnbazd /crunchyroll-vpn

(截止本文發(fā)表，yuuuu44域會將訪問者重定向到NASA.GOV)

攻擊者將勒索軟件有效負(fù)載存儲在 \\[ComputerName]\c$\Windows\system32\ 文件夾中，有效負(fù)載文件名同樣由f1函數(shù)隨機(jī)生成，例如：C:\Windows\System32\ojkgrctxslnbazd.exe

腳本通過WMI(Windows管理界面)調(diào)用Win32_Process來執(zhí)行勒索軟件，腳本還有將勒索軟件上載到網(wǎng)絡(luò)上的其他計算機(jī)并執(zhí)行的功能。

影響

勒索軟件二進(jìn)制文件基于Python腳本，通過PyInstaller編譯為可執(zhí)行文件。我們將二進(jìn)制文件反編譯回其原始源代碼，創(chuàng)建者將源代碼命名為0xfff.py，其中的“ fff”代表十進(jìn)制數(shù)4095的十六進(jìn)制值，所代表的意義未知。

勒索軟件具有一個內(nèi)置的文件夾名稱列表，內(nèi)容沒有被加密：