公共云越来越受欢迎，2018年报告的云基础设施总开支增长了45.6%。亚马逊AWS保持领先地位，在云服务提供商市场占有31.3%的份额，其次是微软Azure和谷歌云平台。云服务提供商（CSP）提供各种“服务”模型，使企业能够灵活地扩展操作，而不必担心基础设施。但是，一个不安全的配置可能会使整个基础设施处于危险之中。

概述

研究人员专注于从公开的主机评估公共云，收集信息包括公开的服务、服务版本和服务漏洞，以确定每个主机的安全状态。研究人员还调查了公共云中恶意IP与已知漏洞之间的相关性。分析显示：

1、Azure上47%的ssh服务器易受到过暴力攻击

2、公网中32%的公共云主机打开了ssh服务器

3、公网中24%的公共云主机具有已知的漏洞

4、公网中50%公共云漏洞已被发现至少两年

5、公网中61%的公共云主机仍然使用TLSV1.1或更旧版本（分别在2008年和2018年发布了v1.2和v1.3）

有证据表明，攻击者正在利用公共云作为网络攻击的跳板。根据NIST国家漏洞数据库（NVD），AWS、Azure和GCP各自在2018年的CVE少于20个，而Windows或Linux每年发现数千个漏洞。但在所有的CSP中，云安全事件经常出现，例如泄露投票机密码、泄露印度公民记录和泄露用户工作档案等。Redlock、Netskope和McAfee之前的研究表明，大多数云安全事件都是由云客户的错误配置造成的，而不是由CSP造成的。虽然一些安全责任已经从用户逐渐转移到了CSP，但是用户仍要负责一些安全设计和决策。

公共云简介

CSP提供各种服务，允许用户将基础设施、操作系统、软件平台甚至功能委托给云。下图显示了用户和云服务提供商之间的共享责任。将基础设施委托给云（基础设施或iaas）可以让用户在将功能委托给云（即服务功能，或faas）的同时拥有最高的管理控制权，让用户在运行程序时无需担心平台资源。这项研究表明，当更多的责任转移到云提供商时，用户犯的安全错误会更少。

由于aws、azure和gcp共同占据了超过60%的云市场份额，本研究仅关注这三个csp。根据对每个CSP发布的IP范围的研究，目前，AWS、Azure和GCP各自拥有4180万、1400万和700万个IPv4地址。这些地址分布在多个云服务中，如图所示：

公共云中的公开服务

当应用程序服务暴露在互联网上时，无论服务有多安全总会存在风险。有些服务（如http、pop3和vpn）为对互联网开放，以便用户可以方便访问它们。但许多应用程序服务不需要对互联网开放。例如，一个数据库通常只能由几个来自特定网络的应用服务器访问，SMB服务器设计用于在同一局域网内共享文件。若将这些应用程序服务暴露在互联网中就会很容易遭受攻击。

为了找到公共云上公开的主机和服务，我们查询了Shodan和Censys，查询了AWS、Azure和GCP所拥有的IP段。我们发现了930万台AWS主机、150万台Azure主机和250万台GCP主机。我们的搜索集中在八个不安全的服务，下图显示了这些搜索的结果。公共云中32%的公开主机都开放了ssh服务。虽然ssh是最安全的协议之一，但是将这项服务公开给整个互联网仍然是非常危险的。任何错误配置或泄漏凭证都可导致主机被攻击。随后我们扫描了公共云中托管的280万个位于美国的ssh服务器。
为了增强安全性，ssh服务应该只使用公钥/私钥进行身份验证，而不是基于密码的身份验证，因为密码验证方式容易受到暴力攻击。但是在Azure上，几乎50%的ssh服务启用了密码登录，而在AWS和GCP上启用密码登录的比例不到5%。深入研究了Azure云如何创建ssh服务后，很快找到了解释：Azure虚拟机上的大多数ssh服务都是在虚拟机创建过程中配置的。下显示了Azure上ssh配置的屏幕截图。

Azure为用户提供了两个选项：密码认证或公钥认证。一半的用户会选择密码认证可能是因为不知道公钥认证是如何工作的，也不知道如何创建密钥。在AWS或GCP配置中没有出现相同的情况，它们都没有提供密码登录作为配置选项。

公共云中的漏洞

在公共云中暴露的服务中，在AWS中发现了2900万个漏洞、Azure中170万个和GCP中400万个。平均而言，每个易受攻击的主机都有11个漏洞。三个CSP中的前10个漏洞基本相同，漏洞列表中仅有openssh和http两个服务，如下图所示：

在分析云服务的漏洞时，AWS中99.8%的漏洞来自EC2，Azure中99.8%的漏洞来自Azure虚拟机。AWS EC2和Azure虚拟机都是IaaS，允许用户部署和管理整个操作系统。但大多数用户不优先考虑安全性，并且不知道系统中存在的漏洞。

下图显示了公共云中不同数量漏洞的主机数量。横轴是漏洞数量，纵轴是主机数量。其中有25%的AWS主机、8%的Azure主机和27%的GCP主机易受攻击。

下图显示了公共云中基于CVE发布年份和严重性评级的漏洞数量。横轴是CVE年份，纵轴是漏洞数量，颜色表示CVSS v2的严重性。

如图所示，70%的漏洞被评为中等严重性，17%被评为高严重性。AWS中18%的漏洞、Azure中21%的漏洞和GCP中12%的漏洞超过5年。

SSL和TLS是Web应用程序安全的基础，它们为计算机网络提供通信隐私和数据完整性。在早期版本协议中发现了许多漏洞，一些严重的漏洞允许中间人攻击。在检查了配置了ssl/tls的所有公开主机之后，发现超过61%的主机仍在使用早于tls v1.2的协议，如图所示：

公有云成为攻击跳板

公共云不仅简化了开发人员及其工作，也为黑客提供了一个平台来发起攻击。从攻击者的角度来看，攻击公共云实例与攻击本地服务器没有太大的区别。然而，攻击者基于云服务可以更好地对漏洞进行武器化利用。

研究人员发现攻击者正在开发针对公共云基础设施的恶意软件。研究人员分析了Facebook Threat Exchange2018年的恶意IP。在16764个恶意IP中，985个来自AWS，109个来自Azure，34个来自GCP。报告的IP中有7%来自三个CSP中的一个。目前尚不清楚这些恶意IP是受攻击者攻击还是由攻击者创建的主机。

我们检查了恶意IP在其活动期间的漏洞情况。下图显示了恶意公共云IP的漏洞统计信息。左图是具有已知漏洞的IP的百分比。右图是每个IP上发现的平均漏洞数。

在1128个恶意公共云IP中，60%存在已知漏洞，每个主机平均有28个漏洞。

这些数字与以下事实相比具有统计意义：只有24%的公网公共云主机发现漏洞，每个主机平均有11个漏洞。

根据这些数据，这些云服务很有可能已被攻陷并用于恶意活动。最后，我们寻找与大量短期域名相关联的恶意IP，短期域名是恶意主机的常见特征。我们发现20%的恶意公共云IP在12个月内与55多个域名关联。以上表明，公共云正在成为攻击者发起攻击的跳板。

总结

在公共云中，安全性是CSP和用户之间的共同责任。由于公共云中有许多云服务，大多数用户可能不知道他们的安全责任。CSP不仅应该保护他们的云服务，还应该设置防护措施来防止和检测不安全的用户行为。本研究的结果重申了“默认安全”的重要性。如果没有不安全的选项，用户就不可能做出不安全的决定。如果CSP主动监控用户行为并向用户发出可操作的补救警报，那么就不会有这么多公开的服务以及错误的配置漏洞。

*参考来源：unit42，由Kriston编译，转载请注明来自FreeBuf.COM

“天下熙熙皆为利来,天下攘攘皆为利往”，即PC端“永恒之蓝”勒索蠕虫病毒爆发后，这些年移动互联网也层出不穷出现各种家族勒索软件。近期，暗影移动安全实验室截获一批全新的勒索家族病毒，影响42个国家，该批勒索软件与以往的勒索软件有所不同，它没有采用常规的悬浮窗全屏置顶，Activity劫持、屏蔽虚拟按键、强制PIN码等技术，而是首先采用类似于“XX神器”式的蠕虫式传播，然后利用高强度对称和非对称算法进行加密受害者设备上的大多数文件，最后要求受害者支付比特币赎金进行解锁，期间该软件还利用色情游戏进行色诱，以及危言耸言语恐吓，真可谓“全面发力，多点开花”，手段极其疯狂。

其中，该勒索软件的典型行为如下所示：

（1）该软件会启动一个性模拟网络游戏，诱导用户安装运行，然而，它的主要目的是与服务器进行C&C通信、恶意消息的传播，以及加密/解密的实现；

（2）为了提高中招率，攻击者构造一条具有诱惑性短信，并且短信是以受害者的姓名为开头，短信中包含一个APP的下载链接，形式如：“张三，他们怎么能把你的照片放在这个APP里，我想我需要告诉你，http://xxxx.com/xxx.apk”，然后将带有传播地址的短信群发送给受害者通讯录列表中的所有人；

（3）该软件支持42种语言版本的消息模板，它会根据受害者设备语言设置，选择适当的语言消息模板发送短信（试图全球勒索）;

（4）采用RSA和AES多重加密算法加密文件，每加密一个文件将生成一个新的AES密钥，然后使用RSA公钥对该AES密钥进行再次加密，并将其追加到每个加密文件中，文件扩展名为XXX.seven，加密的模式如：(AES密钥)public_key+(文件)AES。

（5）攻击者使用免费的Pastebin服务动态更改C&C通信地址和比特币地址，以便清除任何交易记录。

一、样本信息

MD5：73D0F5DB820E8B491365E3FAA9B55498

程序名称：Seven

程序包名：net.south.seven

恶意行为：

该勒索软件主要通过群发短信进行传播，危害性极大，加密用户各类文件，破坏手机，从而勒索比特币；同时有获取用户通讯的详细信息的风险。

二、病毒整体流程

2.1病毒运行流程

病毒最开始通过C&C通信加载一个色情网页作为主页，在加密被害者文件，获取联系人信息并发送带有恶意url的短信之后，生成索要比特币作为赎金的页面，与典型的Android勒索软件不同，Seven不会通过锁定屏幕来阻止设备的使用。被害者需要支付比特币后，才能获得解密密钥。

图2-1 病毒运行流程图

2.2加解密流程

勒索软件使用非对称加密算法和对称加密算法。首先生成RSA密钥对：公钥Ke、私钥Kd。使用硬编码在程序中的RSA公钥Kpu加密私钥Kd并上传至服务器。然后随机生成AES对称密钥K用于加密文件，使用公钥Ke加密密钥K并写入被加密的文件中。作者拥有公钥Kpu对应的私钥Kpr。当支付完成，作者使用Kpr解密获得私钥Kd，将私钥Kd发送给受害者，受害者输入Kd就能解密文件中被公钥Ke加密的密钥K，即可解密文件。

图2-2文件加解密流程图

三、病毒技术原理分析

3.1病毒远控行为

程序启动后，访问服务器，从服务器获取加载地址并自动打开一个色情内容网站。服务器地址：https://***/LQwGQ0RQ。

图3-1加载色情网站

获取服务器下发的相关配置信息：

图3-2配置信息

下发内容Base64解码及其相关功能说明：

图3-3 解码链接

3.2 全球勒索企图

该勒索软件有这极大的企图，试图进行全球大范围的传播和勒索，勒索软件集成了42种语言版本的消息模板。

图3-4语言版本

在进行群发送短信之前，它会选择适合受害者设备语言，自动选择合适的语言版本进行传播。

图3-5 获取设备语言版本

3.3文件加密

首先，程序生成一个密钥对：公钥Ke、私钥Kd。使用硬编码在程序中的RSA公钥Kpu加密私钥Kd。

图3-6 RSA加密私钥

Kpu是攻击者提前生成，硬编码在代码中。

图3-7 加密公钥

将加密的私钥通过BASE64算法加密生成uid。将uid和用户所在的国家，手机型号，系统版本等信息发送至服务器,攻击者可以通过uid解密获得私钥Kd。

图3-8 上传用户信息

勒索软件为每个将要加密的文件生成一个新的随机的AES密钥K。

图3-9 生成加密文件的密钥

使用公钥Ke加密密钥K并将加密后的K写入被加密文件。

图3-10 公钥加密密钥

获取需要遍历的文件路径，遍历文件。

图3-11 遍历文件

加密的文件后缀:

图3-12 文件后缀

排除后缀为cache、tmp、temp、zip、rar、jpeg、jpg、png的文件和文件大小超过51,200 KB、小于150KB的文件。

图3-13 不加密的文件类型

使用AES密钥K加密文件。文件的内容：公钥Ke加密后的K+加密文件。被加密的文件以.seven作为后缀。

图3-14 加密文件

3.4恶意传播

获取联系人信息,根据mimetype的值获取相应类型的数据。

图3-15 获取联系人信息

根据获取的联系人信息，发送带有恶意链接SMS短信。为了增加潜在受害者的兴趣并个性化这些信息，该短信以联系人姓名+”他们怎么可以把你的照片放在这个APP里，我认为我需要告诉你”+链接的形式发送，链接为恶意程序的下载地址。

3.5 比特币勒索

勒索页面以及色情网站页面，勒索文中显示的文件在72小时后被删除，源码里并未得到验证。

图3-16 勒索页面

勒索比特币的数量是以硬编码的形式写入代码中:0.05+uid,比特币钱包地址：16KQjht4ePZxxGPr3es24VQyMYgR9UEkFy。

图3-17 比特币数量

硬编码的解密链接已失效（http://rich7.xyz/decrypt.php），会使用服务器下发的其他链接（http://wevx.xyz/decrypt.php），用户支付比特币，获取解密密钥。

图3-18 解密页面

3.6文件解密

攻击者拥有公钥Kpu对应的私钥Kpr，被害者支付完成。即可获得攻击者使用Kpr解密完的私钥Kd，通过私钥Kd解密写入文件中的用公钥Ke加密的密钥即可获得解密文件的密钥K。目前还没有不需要支付比特币就能解密文件的方法，因为我们无法得到私钥Kpr，只有作者才拥有私钥。

图3-19 解密文件

四、关联样本

通过http://wevx.xyz链接我们发现了其它样本Camera.apk,FakeCallSas.apk,sexSimulator.apk。

图4-1 网页链接

这些样本MD5值不同，文件结构、包名、应用名基本相同，但是传播的恶意程序Camera.apk,FakeCallSas.apk,sexSimulator.apk有窃取隐私的行为，获取联系人信息并上传至服务器。

图4-2 样本对比

五、安全建议

1、让你的设备保持最新，最好将它们设置为自动补丁和更新，这样即使你不是最熟悉安全的用户，你也能得到保护。

2、坚持去正规应用商店下载软件，避免从论坛等下载软件，可以有效的减少该类病毒的侵害。

3、安装好杀毒软件，能有效的识别已知的病毒。

4、用户发现感染手机病毒软件之后，可以向“12321网络不良与垃圾信息举报受理中心”或“中国反网络病毒联盟”进行举报，使病毒软件能够第一时间被查杀和拦截。

*本文作者：暗影安全实验室，转载请注明来自FreeBuf.COM

即使再复杂的职业也无法跟上IT安全的变化速度。据统计，相关从业人员每年平均会遇到5000至7000个新型软件漏洞。去年的数据甚至达到了16555，让人为之惊叹。这意味着，在个人安全防御中每天都会产生13-45个漏洞。日复一日，年复一年。其危害和成千上万个独特的恶意软件程序相比更甚。这种威胁，持续不断，泛滥如潮，带来的后果就是影响公司信誉，被曝光在恶意媒体之下，造成公司财产损失。

然而，这并不是不可防范的，以下是每个计算机专业人员为打赢这场保卫战应该知道的12件事。

一、了解对手动机

知己知彼，尚能百战百胜。首先要先了解对手是谁以及他们攻击的原因。所有攻击者都有他们自己的攻击缘由和目标，这两点是驱使他们做这件事以及怎么做的根源。

当今大多数攻击者的动机可以分为一下几类：

金融

国家支持的/网络战争

黑客行动主义者

资源窃取

在多人游戏中作弊

尽管如此，如今的攻击者也不尽相同。了解其动机至关重要。只有如此，才可以选择当前网络最佳的目标类型开展防御，击败对手。

二、恶意软件种类

如今有三种恶意软件：电脑病毒、特洛伊木马、蠕虫。任何的恶意程序都是一种或者多种软件的混合使用。

计算机病毒是一种恶意软件程序，它依附于其他程序、文件和数字存储中得以复制。特洛伊木马是一种恶意软件程序，其声称是一种合法的东西，可诱骗人们去运行它。特洛伊木马不会自我复制，它依赖于人类的好奇心来帮助它传播。蠕虫是一种自我复制的程序，它使用代码来传播自己。它不需要依赖其他主机程序或文件。

了解这些恶意软件的基本分类十分重要。当找到一种恶意程序的时候，能够解析其进入电脑的最有可能的一种情况，这有助于人们理解恶意软件的来源以及它们要传向何处。

三、漏洞利用根源

IT安全专业人员每年面临成百上千的新型软件漏洞和独特的恶意软件程序，然而只有十二种不同的漏洞利用根源允许他们进入个人的安全防御。阻止这些漏洞利用根源就可以组织黑客入侵和恶意软件。以下是漏洞利用的十种根源：

编程bug

社会工程学

认证攻击

人为错误

配置错误

窃听/中间人（MitM）

数据/网络流量异常

内线攻击

第三方依赖问题

物理攻击

这些都是人们常见的根源，但是并不意味它们解决起来就是容易的。

四、密码学和数据保护

数字加密技术是一门保护信息以防止未经授权的访问和修改的技术。每个IT安全专业人员都应该学习加密的基础知识，包括非对称加密、对称加密、散列以及密钥分发和保护。

数据保护需要大量的加密。完整的数据保护还要求合法收集和使用数据，保护其隐私，阻止未经授权的访问，并确保安全备份以防止恶意修改并确保可用性。（Geek Stuff有一本关于密码学基础知识的优秀教程。）

学完以上基础知识时候，要确保跟上量子计算机的进展，学习破解现代公钥加密的能力。在接下来的10年或更短的时间内，所有公共密钥加密（例如RSA，Diffie-Hellman等）将用于称为后量子密码的密码技术。全世界都在为此举做准备，包括美国国家标准与技术研究院。

五、网络和网络数据包分析

优秀的IT安全专业人员了解数据包级别网络，他们易于使用网络基础知识，例如协议，端口号、网络地址、OSI模型的层、路由器和交换机之间的区别，并且能够读取和理解网络数据包的各个字段用于什么。

了解网络数据包分析是为了真正了解网络和执行它们的计算机。 Geeksforgeeks有一个关于网络基础知识的快速教程，Vice有一个关于网络数据包分析的快速入门课程。

六、基本共同防御

几乎每个计算机都有共同的基本防御，优秀的IT专业人员会考量并应用它们。以下是计算机安全的标准：

补丁管理

最终用户培训

防火墙

杀毒软件

安全配置

加密/密码

认证

入侵检测

记录

每个IT安全专业人员都必须了解和使用基本的常见IT安全防御措施。但仅了解是不够的，也要知道他们擅长防御什么以及他们不能防御什么。

七、身份认证基础知识

最好的安全专业人员知道身份认证不仅是输入有效密码或满足双因素ID测试的过程。它比这更重要。身份认证从为任何命名空间提供唯一有效身份标签的过程开始，例如电子邮件地址、用户主体名称或登录名。

身份认证是提供仅由有效身份持有者及其认证数据库/服务所知的一个或多个“秘密”（密码）的过程。当有效身份证持有者键入正确的身份认证因素时，这证明经过身份认证的用户是身份的有效所有者。然后，在任何成功的身份认证之后，受试者尝试访问受保护资源将由称为授权的安全管理器进程检查。应将所有登录和访问尝试记录到日志文件中。

与安全方面的其他所有内容一样，身份认证是其中一个较新的概念，也就是最有可能保留的概念之一是持续用户身份验证，其中登录用户执行的所有操作都会根据已建立的模式不断进行重新评估。

八、可移动的威胁

世界上移动设备的数量远比人类数量要来得多，而人们获取大多数信息只通过一部移动设备。因为人类的移动能力只可能会增加，所以IT安全专业人员需要严肃对待移动设备、可移动威胁和移动安全等问题。以下是主要的移动威胁：

移动恶意软件

隐私入侵/盗窃

勒索软件

网络钓鱼攻击

间谍软件

数据或凭证被盗

图片盗窃

不安全的无线网络

可移动威胁和计算机威胁之间没有太多的不同，但是也稍有差别。这是一个优秀的IT专业人员应该要知道的。

九、云安全

相比于传统安全来说，让云安全更复杂的四个因素是什么？每个IT专业人员都应该能够回答得出来。

缺乏控制

只能在互联网上使用

多租户（共享服务/服务器）

虚拟化/集装箱/微服务

传统的企业管理员不再控制用于存储敏感数据和服务用户的服务器、服务和基础架构。 人们必须相信云供应商的安全团队真的可以提供安全服务。 云基础架构几乎总是多租户架构。在这个架构中，通过虚拟化以及最近集装箱化和微服务开发，将不同客户的数据分开可能会变得复杂。 有些人认为这是一种更容易营造安全环境的方法，可是每次开发通常会使基础架构变得更加复杂。复杂性和安全性通常不是齐头并进的。

十、事件记录

研究表明，最常丢失的安全事件一直存在于日志文件中，等待被发现。一个好的事件日志系统非常重要。一位优秀的IT专业人员知道如何设置以及何时进行咨询。以下是事件记录的基本步骤，每个IT安全专业人员都应该知道：

政策

组态

事件日志集合

正常化

索引

存储

关联

基线

警报

报告

十一、事件响应

事实上，每个IT环境防御都会被突破。黑客或他们的恶意软件不知以何种方式通过防御。一个优秀的IT专业人员应为此做好准备，制定事件响应计划，该计划可立即付诸实施。 良好的事件响应至关重要。 事件响应的基础包括：

及时有效地回应

限制损失

进行取证分析

识别威胁

通讯

限制潜在损失

承认经验教训

十二、安全培训和沟通

大多数威胁都是众所周知并反复出现的。 从最终用户到高级管理层和董事会的每个利益相关者都需要了解当前针对贵公司的最大威胁以及为阻止威胁所采取的措施。有些威胁，比如社会工程，只能通过公司员工教育来防范。 因此，优秀的沟通能力通常是将优秀的IT专业人员与平庸的人员分开的标准。

因此，培训计划应涵盖以下项目：

对组织最可能、最重要的威胁和风险

可接受的用途

安全政策

如何进行认证以及要避免什么

数据保护

社会工程意识

如何以及何时报告可疑的安全事件

*参考来源：csoonline，Sandra1432编译，转载请注明来自FreeBuf.COM

这个九月，微步在线邀请您一同领略威胁情报的“道”与“术 ”。

此前，我们成功地组织了一场百人参与的闭门技术培训会，会后统计结果显示，对此次技术培训会的满意程度高达97%。因此，我们决定继续沿用闭门形式，将高质量的议题从遥远的北方带到上海，赠您行业技术干货，也免您舟车劳顿。

微步在线 · 用户交流会

2019.09.06        上海

时间：2019.09.06      13:00 – 17:30

地点：上海（报名成功后由短信发送地址）

会议内容

网络安全走向云化

我是微步在线创始人、CEO薛锋。

企业的边界在哪里，企业的安全隐患就会追到哪里。在当今时代，业务上云已经成为各行业发展的必然趋势，越来越多的企业认识到，仅靠一台硬件，已不足以与黑客和黑产进行对抗。网络安全也应当随着企业走向云化。

在本次分享中，我将分享网络安全正在发生的一些变化，目前阶段企业网络安全基础能力的薄弱点，以及微步在线对网络安全云化的探索历程。

重保活动安全防护工作最佳实践

我是微步在线联合创始人，任政。

我将为您分享微步在线从重保活动中得到的实战经验和案例。在重保中，企业往往会因为盲区被发现或防御体系被绕过，最终被攻破失分。那么，企业安全人员需要如何梳理自身的资产？企业的网络安全监控又该如何建设？我将为您解答。

基于Sysmon的企业级威胁检测与响应闭环

我是微步在线分析团队负责人，樊兴华。

应急响应是一件很让安全人员头疼的事情，他们需要在海量的日志中，寻找到完整证据链，并进行处置、修复。微步在线作为国内较早推广使用微软官方开发的轻量级EDR工具Sysmon的安全厂商，经过多年实践，积累了丰富经验。我将为您介绍Sysmon在威胁检测、定位、取证及处置等应急响应场景下的使用场景、技术架构和最终效果，分享如何使用微软官方免费的Sysmon工具建立企业级的终端威胁检测与响应能力。

重大安全事件应急响应案例分析

我是微步在线高级分析师，鲁玮克。

我将为您分享几个重大安全事件中的具体案例，包括Windows远控木马攻击、Linux挖矿木马攻击、APT攻击等。此外，我还将公开一个APT团伙的画像。如果您对这些案例有兴趣，那我的分享不容错过。

黑客线索追踪溯源案例

我是微步在线威胁追踪团队负责人，崔寅。

我将带来对一个黑产团伙的完整追踪溯源过程，对攻击情报、线索分析、受害者拓线、IP地址相关域名进行分析，从而还原出攻击者TTP，并对该黑产团伙资产信息和画像进行披露。如果你喜欢看“爆料”，就来听我的分享吧。

以上就是本次华东用户交流会全部介绍。凡参会人员均可得微步在线最新出品《威胁情报手册》一本。

报名请点扫描下方图片二维码。由于坐席有限，我们将对报名信息进行筛选。

2019年9月中旬，微步在线还将在深圳举办用户交流会，敬请期待！

一、概述

腾讯安全御见威胁情报中心通过蜜罐系统监测到Ouroboros勒索病毒在国内有部分传播，监测数据表明，已有湖北、山东等地的医疗、电力系统的电脑遭遇该勒索病毒攻击。经分析发现，该病毒的破坏仅在部分有限的情况可解密恢复，但在病毒按预期运行，基础设施完善情况下，暂无法解密。Ouroboros勒索病毒首次出现于2019年8月中旬，目前发现其主要通过垃圾邮件渠道传播，由于其PDB路径中包含Ouroboros故因此得名，该病毒加密文件后会添加.Lazarus扩展后缀。

腾讯安全提醒各政企机构提高警惕，避免打开来历不明的邮件。

Ouroboros勒索病毒受害者的求助贴

Ouroboros勒索病毒的主要特点：

1.病毒会删除硬盘卷影副本；

2.部分样本会禁用任务管理器；

3.病毒加密文件时避开Windows,eScan等文件夹；

4.个别情况下，该病毒的加密可以解密。在病毒按预期运行，基础设施完善情况下，暂无法解密；

5.攻击者弹出勒索消息，要求受害者通过电子邮件联系后完成交易。

二、分析

Ouroboros勒索病毒通常使用外壳程序来进行伪装，通过内存可Dump出勒索payload

查看勒索payload可知其PDB，根据PDB文件名，将该病毒命名为Ouroboros勒索病毒。

病毒运行后首先使用PowerShell命令行删除卷影

部分样本还会同时禁用任务管理器

首先获取本机的IP，磁盘信息，随机生成的文件加密Key信息，使用的邮箱信息进行上报

获取本机IP服务接口：hxxp://www.sfml-dev.org/ip-provider.php

病毒接收请求服务器IP：176.31.68.30

随后对服务器返回结果进行判断是否正常，当服务接口失活情况则拷贝一个硬编码密钥NC1uv734hfl8948hflgGcMaKLyWTx9H进行备用

加密前结束数据库相关进程列表：

· sqlserver.exe

· msftesql.exe

· sqlagent.exe

· sqlbrowser.exe

· sqlwriter.exe

· mysqld.exe

· mysqld-nt.exe

· mysqld-opt.exe

加密时避开以下关键词目录和文件：

· Windows

· eScan

· !Qhlogs

· Info.txt

硬编码的加密IV:1096644664328666

使用硬编码密钥KEY:NC1uv734hfl8948hflgGcMaKLyWTx9H进行AES文件加密

加密后如果为大文件则向后移动文件指针0xDBBA0处继续加密0x15F90字节大小内容

文件被加密为原始文件名.[ID=random][Mail=勒索邮箱号].Lazarus

例如如下图中“安装说明.txt”文件被加密为

“安装说明.txt.[ID=40BjcX1Eb2][[email protected]].Lazarus”，

由于当前分析病毒版本接口未返回有效信息，病毒使用离线密钥进行加密，所以可以尝试对文件进行解密，编写测试demo可将上述“安装说明.txt”成功解密出原始内容。但由于在该病毒基础设施完善情况下，病毒攻击过程中使密钥获取困难，故该病毒的整体解密方案得手后，解密不容乐观。

病毒同时会留下名为Read-Me-Now.txt的勒索说明文档，要求联系指定邮箱购买解密工具

同时在ProgramData目录释放执行uiapp.exe弹出勒索说明窗口进一步提示勒索信息

三、安全建议

企业用户：

针对该病毒的重点防御方案：

针对该勒索病毒主要通过电子邮件传播的特点，建议企业对员工加强安全意识教育，避免点击下载邮件附件。使用MS Office的用户，应尽量避免启用宏功能，除非该文档来源可靠可信。

通用的安全措施：

1.企业内网可以关闭不必要的网络端口，降低黑客在内网攻击传播的成功率。如：445、135，139等，对3389，5900等端口可进行白名单配置，只允许白名单内的IP连接登陆。

2、尽量关闭不必要的文件共享，如有需要，请使用ACL和强密码保护来限制访问权限，禁用对共享文件夹的匿名访问。

3、采用高强度的密码，避免使用弱口令密码，并定期更换密码。建议服务器密码使用高强度且无规律密码，并且强制要求每个服务器使用不同密码管理。

4、对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。

5、对重要文件和数据（数据库等数据）进行定期非本地备份。

6、在终端/服务器部署专业安全防护软件。

7、建议全网安装御点终端安全管理系统

个人用户：

1、启用腾讯电脑管家，勿随意打开陌生邮件，关闭Office执行宏代码。

2、打开电脑管家的文档守护者功能，利用磁盘冗余空间自动备份数据文档，即使发生意外，数据也可有备无患。

IOCs

MD5:

87283fcc4ac3fce09faccb75e945364c

e17c681354771b875301fa30396b0835

感染信息上报IP：

176.31.68.30

勒索邮箱：

[email protected]

[email protected]

[email protected]

[email protected]

离线情况AES密钥：

KEY:NC1uv734hfl8948hflgGcMaKLyWTx9H

IV:1096644664328666

自2017年一场全球性互联网灾难——Wannaycry爆发，勒索病毒正式进入人们的视野，如同打开了潘多拉的盒子。近年来，勒索病毒无论是传播方式，还是代码结构，都一直在“进化”。

但今天，我们不谈技术，单单从经济角度，谈一谈勒索病毒在交易过程中的演变。交易过程即支付赎金的过程，从另外一个角度探索，勒索病毒为何会如此“繁荣”？

为了更好回答这个问题，我们不急于直入主题，先来谈谈历史背景。

Tor洋葱网络（暗网）

1995年，美国海军实验室开始研发一种匿名通信机制，可以避免人们的行迹在Internet上被追溯到。他们把这个技术叫做Onion Router，即“洋葱路由”，其形成的网络也叫Tor。2004年底，Tor正式对普通用户发布，美国海军砍掉了大部分Tor的资金支持并且把Tor开源，从此民间开始介入Tor建设和维护。可以看到，到2015年，国内安全技术爱好者已经开始广泛了解和使用Tor网络（也就是大家所讲的暗网），国外技术爱好者就更不用说了。

下图显示，Freebuf开始出现如何使用Tor网络的教程：

Tor网络能如此流行和易于推广，正是因为它满足了人性的一大需求——保护隐私，让使用该网络的人不被监控和追踪。当然，这同样适用于违法犯罪行为。简言之，Tor网络提供了一个匿名的信息交互平台。任何人都可以和其他人进行匿名通信，这也就说明，可以通过这个平台，快速召集到一批“志同道合”的人，并且彼此之间不暴露真实身份信息。平台是有了，接下来的问题却是Tor网络不能解决的，即交易的支付问题，使用银行账号？现金交易？如果使用银行账号，就有被金融机构监控的风险；如果使用现金交易，交易双方得见面，不仅麻烦、暴露身份，且人身安全也是一个问题。但这个问题，被接下来的另一项革命性技术解决了。

加密数字货币（以比特币为例）

比特币（Bitcoin）的概念最初由中本聪在2008年11月1日提出，并于2009年1月3日正式诞生。比特币的技术讲起来蛮复杂，简化的说，区别于传统中心化的法定货币交易系统，这是分布式加密数字货币系统，不可人为操纵，所有交易都匿名且真实有效，不可能被伪造。而且比特币的数量是固定的，不会发生膨胀，财富不会被稀释，类比于法定货币，有抗通胀作用。归根结底，加密数字货币（以比特币为首）与法定货币在根源属性上是一致的，都是一种信用而已，人们相信它，愿意使用它，它就有了交易属性，可以作为衡量资产和财富的一种标准。

作为一种新兴的货币，刚开始，人们肯定不会那么待见的。在比特币诞生的第二年，2010年5月21日，美国程序员拉丝勒用1万枚比特币换取了两款披萨饼，折合市场价30美元，也就是说，比特币的初始价值差不多是0.003美元。

起初，比特币价格都是缓慢增长的，而2017年是比特币发展史中十分重要的一年，全年涨幅高达1700%，这一年到底发生了什么事?

勒索病毒（Tor网络与加密数字货币的一种应用）

2017年，微软在4月14号发出安全公告《Microsoft 安全公告 MS17-010 – 严重》，该漏洞几乎影响所有微软系统，黑客可直接利用该漏洞执行任意命令。同年，5月12日WannaCry勒索病毒在全球爆发，WannaCry利用MS17-010永恒之蓝漏洞进行传播感染。短时间内感染全球30w+用户，包括学校、医疗、政府等各个领域。

其实在WannaCry勒索病毒爆发之前，勒索病毒就一直有，只是这一次像是“一战成名”一样，人尽皆知，因为其确实影响到了普通大众的生活。当然，“一战成名”不仅仅会引起普通民众的广泛关注，同样也“唤醒”了广大黑产团队，包括潜在的可能往这个方向发展的技术爱好者。就是说，勒索病毒这一种新的“商业模式”，被越来越多从事黑产的人士所喜爱。

勒索病毒之于黑产人士，有哪些优点?

1、门槛低

2、投入少

3、周期短

4、变现快

5、收益高

门槛低和投入少，主要还是得益于Tor网络。就是这样一个平台，可以快速完成人力召集，并且保障了彼此身份的保密性，也可以快速发布勒索病毒应用，如RaaS（勒索软件即服务），通过购买这些软件，对目标客户进行渗透和攻击，完成勒索动作。

周期短和变现快，主要得益于加密数字货币，正是这一货币体系，保障了攻击者的“支付安全”，随时可以提现，又不用担心暴露身份。当然，这也与勒索病毒本身有关，即勒索病毒会加密数据，很多重要业务急于恢复数据和业务，不得不在短时间内快速完成交易。

而收益高，就是勒索病毒本身的原因，由于数据和业务被破坏和或中止，对大多数人或企业来说，都是灾难性的。在“灾难”面前，愿意为之付高价赎金，自然是情理之中了。

总之，没有Tor网络和加密数字货币，就不会有勒索病毒的发展壮大；而反过来，勒索病毒的发展壮大，又极大促进了Tor网络和加密数字货币体系的健壮性，使支撑者和维护者越来越多。

如何交赎金，为何对勒索病毒的发展如此重要呢？支付方式有哪些演变呢?接下来，切入主题，谈谈交易的艺术。

关于赎金交易方式的梳理

交易可以从两个方面进行分类，一个是支付的货币角度，一个是联系通信方式角度。货币角度，指受害者直接支付给黑客的货币，一种是加密数字货币，一种是法定货币。但通常来讲，以加密数字货币为主流，而加密数字货币的主流则是比特币。

联系通信方式角度，即受害者联系黑客的方式，用以确认赎金金额、赎金地址等问题。经过多年迭代和演变，大致分化出了以下类型：

· Jabber即时通信

· 电子邮件通信

· 网页

· 微信

· 直接支付

下文，一一阐述各个类型。

微信支付：典型代表UNNAMED1989

2018年12月1日，一款叫UNNAMED1989勒索病毒在公众视野出现，据报道有10万主机感染，大量终端被加密。所不同的是，此勒索病毒，首次使用了微信支付赎金的方式，前无古人后无来者，各大媒体冠以“全国首例”使用微信支付赎金的勒索病毒，其实说全球首例也不为过，真的是勒索病毒发展史的一朵奇葩。确实是首例，但现在来看估计也是最后一例，后果是活生生的：

下图左边，是UNNAMED1989勒索病毒运行后的勒索界面，一个硕大的微信支付二维码看的人好尴尬，赎金是110元人民币（大大“拉低”了正常勒索病毒的赎金下限）。

下图右边，就是UNNAMED1989勒索病毒的作者，22岁的罗某某，没几天就被抓了，原因嘛，你懂的。

 

所以，你看，加密数字货币，对勒索病毒而言是几乎不可替代的存在。使用银行账号，微信支付，支付宝等等方式，真的不适合勒索病毒。从攻击成本来讲，特别不划算，为了区区110元，居然铤而走险，暴露自己身份。人性本身，就是趋利避害的，所以感觉就是一个年轻并不专业的黑产人士玩了一次过家家一样。

直接支付：典型代表WannaCry/JCry

既然传统法定货币交易方式（网银/微信/支付宝等）不能用，自然将支付方式调整为加密数字货币了，这其中，主要还是以比特币为主。那比特币又怎么支付呢？对于币圈人士来说，信手拈来，但对普通民众来说，还是有点懵逼的。不过，早期阶段，懵逼的还有勒索病毒的策划者，由于无法考虑到普通民众对黑科技的掌握程度和黑吃黑等复杂因素，把赎金支付流程都设置得过于简单粗暴了：直接支付。

典型代表WannaCry勒索病毒（2017年），其完成所有文件加密后释放说明文档，弹出勒索界面，需支付价值几百美元等值的比特币到指定的比特币钱包地址，三个比特币钱包地址硬编码于程序中。

115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw
13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94

如上图所示，比特币钱包地址直接就放在勒索界面上。给人的感觉就是，账号放在这里了，你爱打不打。这里有很多逻辑问题，分列如下：

1、因为比特币钱包是匿名的，而比特币的转账记录又是公开的，如果直接把比特币转账给了黑客，那么怎么证明那钱是你转过去的，真的挺头疼。对黑客来说也是，这么多人给我打钱，哪一个受害者是真正交了赎金的呢?

2、如果提前联系黑客呢?Check payment和Contact us根本不好用，怎么联系，都很难有答复。

3、此外，还存在“黑吃黑”的现象，“假黑客”通过修改“原版Wannacry”比特币钱包地址，修改后重新进行攻击。这样一来，“假黑客”收了钱，而密钥却在WannaCry原作者手里，这怎么可能解得了密？这对WannaCry原作者也是打击，自己布下的局，居然让其他人来享受“革命果实”，这怎么能忍。

4、赎金不是以比特币为计量单位，而是以美金为计量单位，再观察上图比特币钱包上方的提示语“Send $300 worth bitconis to this address”，翻译过来就是，“请将价值300美元的比特币打入这个比特币地址”。问题是？比特币价格是市场化浮动交易，每时每刻都在变化，有时候波动还特别大。所以价值300美元这个赎金，特别不好操作，等黑客收到的时候，有可能高于300，也有可能低于300，这非常麻烦。

下图，是今天比特币一天的波动价格，有时候这个波动可以夸张到百分之几百的涨跌幅度。

 

邮箱通信：典型代表Globelmposter/CrySiS/Ryuk

做为硬编码比特币支付的一种改进，邮件通信目前已成为勒索病毒主流的联系方式之一，黑客会将自己的邮箱地址嵌入到勒索信息中，或者干脆文件加密后缀也改成了邮箱地址。以著名的Globelmposter勒索病毒“十二主神”变种为例，下图为黑客留在受害者主机上的勒索信息文件，文件名为HOW TO BACK YOUR FILES.txt，下图可以看到，黑客留下了邮箱地址[email protected]，还有受害者的个人ID，用于唯一标识“客户”。这里完全没有黑客的比特币钱包地址，没有硬编码到勒索程序中，避免了上述情景下的尴尬状况。

而且也考虑到了“用户”体验问题，怎么交赎金，比特币地址多少，交多少比特币，被加密的数据能恢复吗，我是小白，我该怎么操作等等……一系列疑问，黑客会在邮箱里面“全方位耐心解答”。总之，你要交钱，他肯定比你还积极的（巴不得把毕生技术功力传授给你，就怕你不懂比特币交易）。

Jabber即时通信：典型代表Phobos/GandCrab3.0

除了邮箱通信，Jabber也被当作一种勒索病毒的联系方式，有些勒索家族会将这种通信方式作为备用方式，典型的代表是Phobos勒索病毒和GandCrab3.0勒索变种。

Jabber 是著名的Linux即时通讯服务服务器，它是一个自由开源软件，能让用户自己架即时通讯服务器，可以在Internet上应用，也可以在局域网中应用。Jabber最有优势的就是其通信协议，可以和多种即时通讯对接。

不过，缺点也很明显，Jabber的主要受众是技术宅，普通大众是没玩过Linux即时通讯工具的，所以这个受用面还是比较窄的。

存在即合理，作为“备胎”通信，由于Jabber开源，且自己可搭，成本和维护都很经济，很安全。虽然多数人不懂怎么用，不过人急了总会想到办法的。

 

网页在线聊天：典型代表Sodinokibi/GandCrab4.0以后

作为邮件通信的一种改进，网页在线聊天，被主流勒索寡头所喜爱。典型代表是GandCrab4.0以后的勒索变种，以及Sodinokibi勒索病毒。

以Sodinokibi勒索病毒为例，该勒索之所以开始爆发，主要还是得益于其已形成产业化规模，即分布式团伙作案，每个人各司其职，按劳分配，多劳多得。首先，Sodinokibi勒索病毒运行成功后，会在主机上留下如下勒索信息，形成“随机后缀-readme.txt”的文档：

可以看到，此病毒留了两个黑客联系网页，一个是暗网聊天网页，一个是普通聊天网页，受害企业可以根据自身情况任意联系（访问）其中一个网页。访问该网页后，可以看到，这是一个可以聊天的网页，设计十分专业，可以用于黑客与受害企业就赎金问题进行协商。

 

不过，实际上，这是一个产业化的团队，黑客并没有直接与受害企业沟通，而是雇佣了一批线上客服，7*24小时在线，负责与受害者沟通，并协商价格。这个工作相当技术难度不大，但需要人力较多，在线时间较长，所以外包给客服再合适不过了。当然，线上客服没有最终定价权，最终赎金价格由上级老板拍板，即Sodinokibi勒索病毒的组织运营者。

Sodinokibi勒索病毒的要价普遍偏高，多数是在3到6个比特币，所以其主要攻击对象是企业，并且是中大型企业，其攻击目的是瘫痪企业核心业务网络，因此很多受害企业迫于无奈交了不少赎金。正常情况下，受害企业所交赎金不会低于20万人民币。

由于其为产业化运作，故此每个参与者都有相应的分成。我们通过大量数据研究发现，当受害企业向黑客钱包转入比特币的时候，此钱包会分批次转入其它成员。

如下图所示，某次攻击成功后，将赎金分2批转给了4个钱包，分别是勒索病毒作者钱包、集成平台提供商钱包、线上客服钱包、统筹钱包。

勒索病毒作者、集成平台提供商属于薄利多销型，每一笔交易都有提成，所以单次提成比例虽低，但总数是非常客观的；线上客服按劳分配，说服一个客户，就有一小笔提成，当然大头不在他们，因为他们可替代性比较强，技术难度也不大。

每次攻击所得的赎金，大头由统筹钱包分配给了攻击者和组织运营者，攻击者是实际从事攻击企业的个人或者渗透团队，所以单次成功后的贡献比较大，而任何个人和团队都能参与到不同客户的攻击活动中来，类似销售团队，每成一单，提成都比较可观。最后的大头，当然给了组织运营者，其负责拉通了各个环节和资源，保障平台和团伙的正常运作。

我们大致抽象出其交易流程如下：

基于上述追踪，Sodinokibi勒索病毒的产业化运作模式形如：

 

讲这么多，其实就是想告诉大家，勒索病毒已经不再是单纯的个人行为，演变至今，必须以集体力量对抗集体力量。

如果攻击者已经产业化运作，防护者更不应该只是单纯的安装某个软件，就指望着解决所有问题，这是很困难的，防勒索，还得系统化思考，深层次多角度进行产业化对抗。

 

好了，今天先谈到这里，下次我们将深入探讨下，中了勒索病毒该怎么办的问题。