表 1‑1 Sophos勒索软件概览
|
家族名称 |
Sophos |
|
出现时间 |
2023年7月 |
|
典型传播方式 |
猜测当前处于测试阶段，暂未发现传播方式 |
|
典型加密后缀 |
.sophos（原始文件名+8位受害者设备ID+联系邮箱+.sophos） |
|
加密算法 |
AES+RSA |
|
解密工具 |
猜测当前处于测试阶段，暂未发现解密工具 |
|
加密系统 |
Windows、Linux |
|
是否双重勒索 |
猜测当前处于测试阶段，暂未发现用于数据泄露的站点 |
|
勒索信 |
 |
|
家族名称 |
Cylance |
|
出现时间 |
2023年3月 |
|
典型传播方式 |
网络钓鱼 |
|
典型加密后缀 |
.Cylance |
|
加密算法 |
Salsa20或ChaCha+Curve25519 |
|
解密工具 |
暂未发现公开的解密工具 |
|
加密系统 |
Windows、Linux |
|
是否双重勒索 |
否（暂未发现用于数据泄露的站点） |
|
勒索信 |
|
应对勒索软件攻击，安天建议个人及企业采取如下防护措施：
2.1 个人防护
2.2 企业防护
9. 安天服务：若遭受勒索软件攻击，建议及时断网，并保护现场等待安全工程师对计算机进行排查。安天7*24小时服务热线：400-840-9234。
经验证，安天智甲终端防御系统（简称IEP）、安天智甲云主机安全监测系统、安天智甲容器安全检测系统均可实现对Sophos和Cylance勒索软件的有效查杀。
图 2‑1 安天智甲可实现对Sophos勒索软件的有效查杀
图 2‑2 安天智甲可实现对Cylance勒索软件的有效查杀
当机器感染勒索软件后，不要惊慌，可立即开展以下应急工作，降低勒索软件产生的危害：隔离网络、分类处置、及时报告、排查加固、专业服务。
1. 首先要将感染勒索软件的机器断网，防止勒索软件进行横向传播继续感染局域网中的其他机器。
2. 不要重启机器，个别勒索软件的编写存在逻辑问题，在不重启的情况下有找回部分被加密文件的可能。
3. 不要急于重做系统、格式化硬盘等破坏加密文档行为。先备份加密后的文档，被加密后带后缀的文件不具有传染性，可复制到任意计算机上做备份保存，但是恢复的可能性极小。可以根据情况考虑是否等待解密方案，有小部分勒索软件的解密工具会由于各种原因被放出。
4.1 Sophos勒索软件
Sophos勒索软件载荷执行时可以发现如下图所示的内容，包括载荷版本、受害者设备ID、联系方式和加密方式等内容，攻击者可以自定义邮箱地址、Jabber通讯地址和用于加密的密钥，图中所示当前为0.0.9版本。
图 4‑1 载荷自定义执行界面
文件属性中可以看到与勒索软件载荷相关的描述信息。
图 4‑2 载荷文件属性
分析时发现两个版本的样本库文件路径中均带有Dubinin字样。
图 4‑3 库文件路径
联网下载硬编码地址中的图片文件。
图 4‑4 联网下载图片
联网下载成功后，图片用于修改桌面背景。
图 4‑5 修改桌面背景
通过关联分析发现Tor站点，访问后发现并非是数据泄露站点，猜测为攻击组织成员登录的管理界面。
图 4‑6 Tor站点信息
执行加密操作前，会终止特定进程，避免干扰加密流程执行，具体进程名如下表所示：
|
Sql.exe |
Xfssvccon.exe |
Ocomm.exe |
Onenote.exe |
Visio.exe |
|
Oracle.exe |
Mydesktopservice.exe |
Dbeng50.exe |
Outlook.exe |
Winword.exe |
|
Ocssd.exe |
Ocautoupds.exe |
Sqbcoreservice.exe |
Powerpnt.exe |
Wordpad.exe |
|
Dbsnmp.exe |
Encsvc.exe |
Excel.exe |
Steam.exe |
Notepad.exe |
|
Synctime.exe |
Firefox.exe |
Infopath.exe |
Thebat.exe |
Utweb.exe |
|
Agntsvc.exe |
Tbirdconfig.exe |
Msaccess.exe |
Thunderbird.exe |
Ut.exe |
|
Isqlplussvc.exe |
Mydesktopqos.exe |
Mspub.exe |
执行加密操作时，会绕过特定文件夹，具体文件夹名如下表所示：
|
Windows |
$Recycle.Bin |
$WINDOWS.~WS |
Thumbs.db |
|
Boot |
$RECYCLE.BIN |
Thumbs |
Windows.old |
|
FRST |
MSOCache |
Pagefile |
windows.old |
|
KVRT_Data |
Documents and Settings |
Hyberfil |
Windows.old.000 |
|
KVRT2020_Data |
Recovery |
$WinREAgent |
windows.old.000 |
|
PerfLogs |
System Volume Information |
Program Files |
AppData |
|
AdwCleaner |
SYSTEM.SAV |
Program Files (x86) |
dev |
|
ProgramData |
$Windows.~WS |
$WINDOWS.~BT |
执行加密操作时，会绕过特定扩展名文件，具体扩展名如下表所示：
|
sys |
inf |
cpl |
log |
mpa |
msu |
spl |
|
regtrans-ms |
ico |
cur |
hlp |
msc |
nls |
themepack |
|
tmp |
bat |
rom |
icl |
msp |
msstyles |
key |
|
exe |
cmd |
deskthemepack |
icns |
theme |
nomedia |
hta |
|
ps1 |
lnk |
diagcab |
ics |
wpx |
prf |
faust |
|
joker |
com |
diagcfg |
idx |
lock |
rtp |
Devos |
|
ini |
ani |
diagpkg |
ldf |
mkp |
scr |
sophos |
|
dll |
adv |
drv |
mod |
ocx |
shs |
4.2 Cylance勒索软件
表 4‑4 绕过特定文件名
|
ntldr |
autorun.inf |
boot.ini |
BOOTNXT |
bootmgr |
|
ntuser.dat |
thumbs.db |
desktop.ini |
CYLANCE_README.txt |
LLKFTP.bmp |
|
bootsect.bak |
iconcache.db |
ntuser.ini |
LPW5.tmp |
bootfont.bin |
|
ntuser.dat.log |
执行加密操作时，会绕过特定文件扩展名，具体扩展名如下表所示：
|
dll |
exe |
sys |
drv |
|
efi |
msi |
lnk |
Cylance |
执行加密操作时，会绕过特定文件夹，具体文件夹名称如下表所示：
|
Windows |
$Windows.~bt |
$Windows.~WS |
Windows.old |
Windows NT |
|
All Users |
Public |
Boot |
Intel |
PerfLogs |
|
System Volume Information |
MSOCache |
$RECYCLE.BIN |
Default |
Config.Msi |
|
tor browser |
microsoft |
google |
yandex |
|
mdf |
ndf |
edb |
mdb |
accdb |
db |
db2 |
|
db3 |
sql |
sqlite |
sqlite3 |
sqlitedb |
database |
zip |
|
rar |
7z |
tar |
whim |
gz |
xld |
xls |
|
xlsx |
csv |
bak |
back |
backup |
生成名为CYLANCE_README.txt的勒索信，勒索信内容如下所示：
图 4‑13 生成勒索信
在被加密文件结尾添加.Cylance后缀，例如：test.doc.Cylance
图 4‑14 被加密文件后缀
|
IoCs |
|
C4E82318D5F902C6DDA61E2B00C4CAC8 |
|
948AEEE0FFBBDEFA431714C5001EB960 |
|
179.43.154.137 |
|
hxxps://i.postimg.cc/JzpfvBFf/wallapaper.jpg |
|
31ED39E13AE9DA7FA610F85B56838DDE |
|
521666A43AEB19E91E7DF9A3F9FE76BA |
|
1BCC1640FA355CD1AB330C88D4D7F4CB |
|
3CFCCBF5A5138B51D569A487C1D558EA |
|
4601076B807ED013844AC7E8A394EB33 |
|
139.99.233.175 |
参考资料
[1] Sophos Discovers Ransomware Abusing “Sophos” Name
https://news.sophos.com/en-us/2023/07/18/sophos-discovers-ransomware-abusing-sophos-name/
https://www.antiy.cn/research/notice&report/research_report/20191016.html
https://www.antiy.cn/research/notice&report/research_report/20190628.html
[4] Sodinokibi/REvil勒索组织近期活动梳理与最新样本分析
https://www.antiy.cn/research/notice&report/research_report/20210918.html
原文始发于微信公众号（安天集团）：警惕借名网络安全公司的Sophos和Cylance勒索软件
