對出現(xiàn)的兩個新的勒索軟件變體——AlumniLocker和Humble的分析

作者：xiaohui 2021-03-26 09:12:10

趨勢科技的研究人員最近發(fā)現(xiàn)了兩個新的勒索軟件變體——AlumniLocker和Humble，它們表現(xiàn)出不同的復(fù)雜行為和加密后的勒索技術(shù)。

其中一種勒索手段包括支付異常高昂的贖金，并威脅要公布受害者的關(guān)鍵數(shù)據(jù)。這些新的惡意功能迭代證明，2021年以勒索為目標(biāo)的勒索軟件仍然存在，而且還很盛行占據(jù)網(wǎng)絡(luò)攻擊的主流。

[[389730]]

AlumniLocker勒索軟件分析

研究人員最近發(fā)現(xiàn)了AlumniLocker勒索軟件，，它是Thanos勒索軟件家族的一個變體，它會要求受害者支付10個比特幣的贖金，截至發(fā)稿時10個比特幣的價(jià)格相當(dāng)于457382.60美元。這些勒索軟件的使用者還威脅說，如果他們不在48小時內(nèi)付款，就會在他們的網(wǎng)站上公布受害者的數(shù)據(jù)。

AlumniLocker通過惡意的PDF郵件附件被傳播開來，如下所示根據(jù)研究人員的調(diào)查，那份PDF文件是一張偽造的發(fā)票，催促受害者下載。

惡意PDF文件的截圖

該惡意PDF文件包含一個鏈接(hxxps://femto[.]pw/cyp5)，一旦點(diǎn)擊，將下載一個包含下載器的ZIP文件。

下載器內(nèi)容

ZIP文件還包含一個偽造的JPG文件，該文件實(shí)際上是一個PowerShell腳本，它將通過濫用后臺智能服務(wù)傳輸(BITS)模塊下載和執(zhí)行AlumniLocker有效載荷。

包含濫用BITS模塊的PowerShell腳本的偽造JPG文件

AlumniLocker勒索軟件文件是一個MSIL (Themida-packed Microsoft Intermediate Language)可執(zhí)行文件。它將.alumni附加到加密文件中：

受害者的加密文件的截圖

一旦AlumniLocker對受害者的文件進(jìn)行加密，便會通過記事本顯示一個文本文件，其中詳細(xì)說明了攻擊者所要求的贖金以及如何支付贖金的說明。如果贖金金額未在規(guī)定的期限內(nèi)支付，勒索軟件的使用者就會威脅要在他們的網(wǎng)站上公布受害者的個人文件，而截至發(fā)稿時，該網(wǎng)站是無法訪問的。

AlumniLocker勒索信

Humble勒索軟件變體分析

研究人員在2021年2月發(fā)現(xiàn)了Humble勒索軟件，這個不太典型的勒索軟件家族是用可執(zhí)行的包裝程序(Bat2Exe)編譯的。研究人員現(xiàn)在發(fā)現(xiàn)了兩種Humble勒索軟件變體，兩種變體都具有勒索技術(shù)，可促使受害者迅速支付贖金。一個變體威脅受害者，一旦他們重啟系統(tǒng)，主啟動記錄(MBR)將被重寫;另一種變體也發(fā)出同樣的威脅，如果受害者在五天內(nèi)不支付贖金，MBR將被重寫。

主要可執(zhí)行文件是批處理文件本身，這可能不常見，但不是新文件。該勒索軟件之所以與眾不同，是因?yàn)樗昧送ㄐ牌脚_Discord提供的公共Webhook服務(wù)向其報(bào)告或向受害者傳播感染報(bào)告。

Humble勒索軟件拒絕explorer.exe查看或訪問本地存儲驅(qū)動器。