电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)

近日,火绒安全实验室监测结果显示:Bluesky勒索病毒正在活跃。该病毒在3月份首次出现,在6月末开始爆发,其传播数量趋势如下图所示。火绒安全软件可查杀该病毒。

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(1)

Bluesky传播数量趋势图

黑客主要通过渗透攻击SQL Server数据库进行投毒传播。SQL Server是微软公司推出的关系型数据库系统,在个人和企业PC上应用广泛,一旦黑客攻陷该数据库,即会对用户产生直接的数据安全威胁。

该勒索病毒会对一些重要文件进行全文件加密,如后缀名为:db 、sql、ckp等数据库文件。其他文件只会加密文件前16MB如:txt、pdf、zip等文件,而Bluesky勒索病毒不仅对受害者电脑中的数据进行加密,还会对局域网中其他终端共享的资源进行加密。被加密后的文件后缀名为:.bluesky,并留下勒索信,勒索信的内容,如下所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(2)

勒索信

被勒索后,需要支付0.1比特币(目前大概13325人民币)勒索病毒支付页面如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(3)

勒索病毒支付页面

针对各类勒索病毒,火绒安全软件在病毒入侵的各个维度上都做了针对性的预防。在防止网络渗透攻击维度,有网络入侵拦截、Web服务保护、横向渗透防护、暴破攻击防护等模块进行防护;在防止黑客入侵过程维度,有系统加固和应用加固模块进行防护;在防病毒维度,有文件实时监控和恶意行为监控模块进行防护;在防投毒维度,有邮件监控、Web扫描、恶意网址拦截等模块进行防护。

同时,我们也建议用户从以下方面做好自查防护:

1.定期更换域控、数据库、服务器上的管理员密码;2.定期更新病毒库,定时组织内网进行全盘扫描;3.定期更新补丁,修复漏洞;4.定期检查防火墙及安全软件的防护日志,及时发现异常并解决;5.定期备份重要的数据;6.修改数据库默认端口,防止被扫描器暴破。

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(4)

火绒安全勒索病毒查杀图

详细分析

传播途径分析

通过火绒终端威胁情报系统发现,黑客通过对SQL Server数据库进行渗透攻击的方式投放勒索病毒,攻击成功后,下发各种恶意程序并执行Powershell命令来下载、执行勒索模块,相关流程图,如下所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(5)

Bluesky执行流程图

由于SQL Server数据库权限限制,黑客通过上传CVE-2021-1732漏洞利用程序提权并执行Powershell相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(6)

利用CVE-2021-1732漏洞提权执行powershell命令

C&C服务器还会下发的后门模块,该恶意模块为CobaltStrike反射型注入后门模块beacon,相关模块数据,如下所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(7)

导出表信息

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(8)

beacon后门模块相关字符串

CobaltStrike木马可以通过创建cmd进程来执行C&C服务器下发的Powershell命令,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(9)

cmd进程来执行Powershell命令

加密相关分析

加密算法分析

Bluesky勒索病毒使用chacha20算法(对称加密)来对文件数据进行加密,并将密钥通过curve25519椭圆曲线算法(非对称加密)进行加密,保存在被加密的文件中,在没有获取到相应私钥之前无法对文件进行解密。文件加密相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(10)

文件加密

加密规则

Bluesky勒索病毒会绕开一些系统相关的重要文件避免影响操作系统运行,并会对一些重要文件以及数据库文件进行全文件加密,其他文件只会加密文件前16MB如:txt、pdf、zip等文件,全文件加密的文件名后缀列表,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(11)

全文件加密的文件名后缀

加密线程

该线程通过传入指定目录,将遍历目录中所有要加密的文件路径,并对文件进行加密,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(12)

遍历目录并且加密文件

加密本地磁盘

获取本地磁盘路径传递给加密线程来对磁盘进行加密,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(13)

加密本地磁盘

加密网络驱动器

获取网络驱动器的路径,传递给加密线程来对网络驱动器进行加密,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(14)

加密网络驱动器

加密局域网中其他终端共享的资源

通过扫描局域网中开放445端口的终端,对目标共享的资源进行加密,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(15)

扫描局域网中开放445端口的终端

获取目标终端的共享资源路径,传递给加密线程来对其进行加密,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(16)

对目标共享资源进行加密

混淆手段

CobaltStrike木马通过多种壳进行对抗杀软,相关流程图,如下所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(17)

CobaltStrike混淆流程图

API混淆,所有API都使用动态获取的方式得到,导致无法通过静态分析得到API名称,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(18)

动态获取API函数

字符串混淆,将所有的字符串进行加密,使用时动态解密,相关代码,如下图所示:

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(19)

字符串动态解密

附录

病毒HASH

电脑勒索病毒介绍(Bluesky勒索病毒爆发对SQL)(20)

,

免责声明:本文仅代表文章作者的个人观点,与本站无关。其原创性、真实性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容文字的真实性、完整性和原创性本站不作任何保证或承诺,请读者仅作参考,并自行核实相关内容。文章投诉邮箱:anhduc.ph@yahoo.com

    分享
    投诉
    首页