Mega密码重置阻止Black Kingdom勒索软件

日期: 2021-03-28 作者:Alexander Culafi翻译:邹铮 来源:TechTarget中国 英文

在最近针对Microsoft Exchange服务器的ProxyLogon攻击中,研究人员发现Black Kingdom勒索软件,该勒索软件目前通过简单的密码重置被阻止,至少暂时是这样。

Emsisoft公司威胁分析师Brett Callow告诉SearchSecurity,Black Kingdom被设计为生成加密密钥,并将其上传到云存储服务Mega。但是,他补充说,如果勒索软件无法访问Mega,则默认为静态本地密钥。在最近的攻击中的某些时候,Black Kingdom似乎无法加密目标系统,并且在某些情况下默认为静态密钥。

Callow说:“有人将密码更改为Mega帐户,这意味着勒索软件无法访问该密码,并恢复为使用硬编码密钥,这意味着我们可以帮助人们恢复其数据,因为我们拥有硬编码密钥。”

尽管目前尚不清楚密码何时被更改,但Callow在周一早上将有关消息告知SearchSecurity(SearchSecurity同意不立即发布信息,以避免让Black Kingdom威胁者知道其勒索软件已被破坏)。

Sophos公司下一代技术工程总监Mark Loman在博客文章中,谈到该勒索软件与Mega的内在联系。Loman告诉SearchSecurity,因为存在静态密钥加密器,所以也可以用该静态密钥解密。他还确认该勒索软件无法连接到Mega。

“目前,该勒索软件无法连接到Mega,因为我尝试过用户名和密码。因此,这意味着,如果目前有Black Kingdom勒索软件攻击受害者,他们可能受到另一种新版本的攻击,或者使用其他用户名或凭据,你可以使用静态密钥解密,但仍然需要解密器。”

Callow在电子邮件中解释说,目前情况仍然如此,并且当前版本的Black Kingdom仍是恐吓软件;威胁研究人员对Black Kingdom的早期报道称,该勒索软件实际上并未对系统进行加密,尽管Loman在博客中指出,至少有一名受害者已经支付赎金。

Callow说,这可能意味着攻击者已经放弃将Black Kingdom变成直接的勒索软件活动。“攻击者可能遇到技术或其他问题,因此他们决定将其转换为恐吓软件,希望仍然能够赚到一些钱。”

Loman说,这是他第一次看到Mega用于存储加密密钥,并且,通常勒索软件会使用公共/私有RSA方案。他补充说,大型勒索软件组通常在数据渗透过程中使用Mega和Dropbox等文件存储服务,因为这些服务通常不会被防火墙阻止。

Mega是由Megaupload的创始人Kim Dotcom于2013年创立,在前一年,Megaupload因涉嫌盗版和侵犯版权的指控而被美国司法部查封;Dotcom在2015年与Mega断绝关系。

Loman表示,Black Kingdom密钥存储并不能说明Mega存在道德问题,因为该站点无法可行地立即进行检测。

Mega执行主席Stephen Hall在电子邮件中告诉SearchSecurity:“我们不会记录特定的勒索软件可能导致上传到Mega。我们只是立即关闭上传者的帐户,以防止受影响数据的进一步传播。”

Black Kingdom是针对易受攻击的Microsoft Exchange服务器的最新威胁,随着本月初披露的四个零日漏洞的影响继续扩展。在上周二,威胁情报供应商Kryptos Logic在其ProxyLogon扫描期间报告100,000个活跃的Web Shell。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

翻译

邹铮
邹铮

相关推荐