2022年7月勒索病毒态势分析-安全客

0x01 简述

勒索病毒传播至今，360反勒索服务已累计接收到上万勒索病毒感染求助。随着新型勒索病毒的快速蔓延，企业数据泄露风险不断上升，勒索金额在数百万到近亿美元的勒索案件不断出现。勒索病毒给政府机关、企业和个人带来的影响越来越广，危害性也越来越大。360安全大脑针对勒索病毒进行了全方位的监测与防御，为需要帮助的用户提供了360反勒索服务。

2022年7月，全球新增的活跃勒索病毒家族有:Stop247、RoBaj、RedAlert、Checkmate、Lilith、Luna、BianLian、0mega等家族，其中RedAlert、Lilith、BianLian、0mega均为双重勒索家族；Checkmate为针对NAS设备发起攻击的勒索病毒；yanluowang勒索病毒虽不是本月新增，但该勒索病毒家族在本月开始公开发布受害者数据。

以下是本月最值得关注热点：

1. 新型勒索病毒Checckmate针对NAS设备发起攻击。

1. 万代南梦宫在受到AlphV勒索病毒攻击后数据遭泄露。

1. LockBit勒索病毒通过虚假的版权侵权邮件传播。

1. 通过外挂程序进行传播的SafeSound勒索病毒已被破解。

基于对360反勒索数据的分析研判，360政企安全集团高级威胁研究分析中心(CCTGA勒索软件防范应对工作组成员）发布本报告。

0x02 感染数据分析

针对本月勒索病毒受害者所中勒索病毒家族进行统计，phobos家族占比20.45%居首位，其次是占比13.10%的TargetCompany(Mallox)，BeijingCrypt家族以11.50%位居第三。

进入TOP10的几个家族中，Rook勒索病毒再次变种，修改文件后缀为.lock，勒索提示信息内容也不再使用中文；Magniber勒索病毒不再通过伪装成msi文件进行传播，而是伪装成杀毒的更新程序进行传播，同时主要传播目标也改为中国香港和中国台湾两地区；RoBaj勒索病毒是本月新增的一款勒索病毒，目前发现该家族主要通过暴力破解远程桌面密码后手动投毒。

对本月受害者所使用的操作系统进行统计，位居前三的是：Windows 10 、Windows 7、以及Windows Server 2008。

2022年7月被感染的系统中桌面系统和服务器系统占比显示，受攻击的系统类型仍以桌面系统为主。与上个月相比，无较大波动。

0x03 勒索病毒疫情分析

新型勒索病毒Checkmate针对NAS进行攻击

NAS设备供应商QNAP警告用户称：要警惕Checkmate勒索病毒对QNAP的NAS设备发动攻击。这些攻击主要集中在启用了SMB服务且暴露在互联网中的设备上，且主要是一些登录口令较弱的帐户——这些帐户很容易在弱口令暴力破解的攻击中沦陷。

Checkmate是最近新发现的勒索病毒。其首次出现在5月28日左右的攻击中，该病毒会将被加密的文件添加扩展名.checkmate并放置一个名为“！CHECKMATE_DECRYPTION_README”的勒索文件。向受害者索要价值15000美元的比特币来解密。

继6月披露威联通连续遭遇eCh0raix和DeadBolt两款勒索病毒后，国内被勒索病毒感染的NAS设备量有所上涨，同时这已是第五款针对NAS设备发起攻击的流行勒索病毒。

万代南梦宫在受到AlphV勒索病毒攻击后数据遭泄露

本月初，BlackCat勒索病毒（又名AlphV）声称在一起攻击事件中攻陷了万代南梦宫的服务器并窃取了该公司的数据，并破坏了除日本以外的亚洲地区办事处的内部系统。

虽然万代南梦宫没有提供有关网络攻击的任何技术细节，但根据BlackCat数据泄漏网站所公布的数据条目及相关声明来看，万代南梦宫极有可能就是遭到了BlackCat的攻击。从公开显示的数据来看，万代南梦宫被窃取了13.5GB数据，但尚未被公开发布。

虽在7月的被公开数据中尚未有出现国内受害者，但360安全大脑监控到该家族在本月已成功攻击两个公司/组织。

LockBit勒索病毒通过虚假的版权侵权邮件传播

目前分析人员捕获到的电子邮件内容中，并没有具体指出是哪些文件发生了侵权行为，而只是告诉收件人下载并打开附件以查看侵权内容。附件是一个受密码保护的ZIP存档，其中包含一个压缩文件，而该文件又是一个伪装成PDF文档的可执行文件（NSIS安装程序）。

这种层层压缩和密码保护的手法主要是为了逃避电子邮件安全工具的检测。而一旦受害者打开所谓的“PDF”以了解具体的“侵权原因”，恶意软件便会释放LockBit 2.0勒索病毒对设备进行加密。

SafeSound勒索病毒已被破解

本月一款国产勒索病毒通过“穿越火线”、“绝地求生”等外挂进行传播，被加密文件后缀会被修改为.SafeSound,并弹出勒索提示信息，需要受害者扫描微信二维码向黑客支付100元人民币作为赎金。

由于该勒索病毒制作存在缺陷，经过360政企安全集团高级威胁研究分析中心分析确认，可以进行技术破解。目前360解密大师已支持对该勒索病毒的解密。

0x04 黑客信息披露

以下是本月收集到的黑客邮箱信息：

StephenJoffe@tutanota.com	StephenJoffe@protonmail.com	15010050@tutamail.com
17042102@tutamail.com	17042102@tutamail.com	43rgwe723E94@tutanota.com
LoryEstside@protonmail.com	henderson@cock.li	agares_helpdesk@tutanota.com
technopc@tuta.io	Angelbkup@protonmail.com	wixawm@gmail.com
helpshadow@india.com	helprecovery@gnu.gr	cyborgyarraq@protonmail.cn
webroothooks@tutanota.com	kardon@firemail.cc	henderson@cock.li
Trebaler@goat.si	Forbitlog@privatemail.com	ferguson@cock.li
sacipaws@tutanota.com	st3v3njansen@onionmail.org	justdoit@onionmail.org
okyd.dtt@mailfence.com	okyddd@protonmail.com	gtimph@protonmail.com
cupermate@elude.in	cupermate@protonmail.com	blefbeef@elude.in
vinilblind@protonmail.com	imperial755@protonmail.com	imperial@mailfence.com
jj.greemsy@mailfence.com	greemsy.jj@protonmail.ch	johny3@mailfence.com
johny2recoveryusa@protonmail.com	finbdodscokpd@privatemail.com	jorge.smith@mailfence.com
mally@mailfence.com	mallyrecovery@protonmail.ch	recoverfiles@ctemplar.com
recoverfilesquickly@ctemplar.com	primethetime@protonmail.com	ssdfsdfsdf@protonmail.com
ssdfsdfsdf@mailinfence.com	rickowens@onionmail.org	rickowens@mailfence.com
john.blues3i7456@protonmail.com	mario.jolly@mailfence.com	niss.brook@onionmail.org
niss.brandon@mailfence.com	Juli1992@mailfence.com	Juli1990@mailfence.com
stephenjoffe@privatemail.com	henderson@cock.li	helprecovery@gnu.gr
energyhack@cock.li	Trebaler@goat.si	recoverlokidata@gmail.com
yourecoverdatda@proton.me	yourecoverdata@proton.me	energyhack@cock.li
metro777@cock.li	arenotto@tutanota.com	henderson@cock.li
stop@onionmail.com	microd3c@tuta.io	dataappip@tutanota.com
mkpdec@hotmail.com	BluemanTeam@my.com	goodbooom@tutanota.com
gotocompute@tutanota.com	AntiLock@keemail.me	AntiLock@cock.li
rdecrypt@mailfence.com	Rdecrypt@yandex.com	Kardon@firemail.cc
NormanBaker1929@gmx.com	world2022decoding@jabb.im	world2022decoding@onionmail.com
yourecoverdata@proton.me	yourecoverdata@proton.me	alco2022decoding@onionmal.com
kat6.l6st6r@tutanota	lordcracker@protonmail.com	CoronaCrypt[u.contact@aol.com
support@bestyourmail.ch	henderson@cock.li	nooli492@gmail.com
dqsupport@protonmail.com	sacipaws@tutanota.com	ferguson@cock.li
Juli1990@mailfence.com	energyhack@cock.li	selivrecovery@mail.ee
Forbitlog@privatemail.com	dagsdruyt@onionmail.org	dagsdruyt@cumallover.me
irishman@tutanota.de	irishman@onionmail.com	Nordteam@mail.ee
Nordtalk@tutanota.com	KingMail7@cock.li	LordCracker2@aol.com
top65hun@tuta.io	microd3c@xmpp.jp	microd3c@proton.me

表格1. 黑客邮箱

当前，通过双重勒索或多重勒索模式获利的勒索病毒家族越来越多，勒索病毒所带来的数据泄露的风险也越来越大。以下是本月通过数据泄露获利的勒索病毒家族占比，该数据仅为未能第一时间缴纳赎金或拒缴纳赎金部分（已经支付赎金的企业或个人，可能不会出现在这个清单中）。

以下是本月被双重勒索病毒家族攻击的企业或个人。若未发现被数据存在泄露风险的企业或个人也请第一时间自查，做好数据已被泄露准备，采取补救措施。

本月总共有246个组织/企业遭遇勒索攻击，其中包含中国7个组织/企业在本月遭遇了双重勒索/多重勒索。

BAFNAGROUP.COM	get.es	AI Supercomputer
TLSBZ	Babylou	Destinigo
FPT Education	DISTRICT MUNICIPALITY OF HUACHAC	vytelle.com
emunworks.com	Creos Luxembourg	autoliv.com
Hong Kong Special Care Dentistry Association Limited	fruca.es	armassist.ie
tnq.co.in	herc.com.br	correounir.com.ar
Gage Brothers	coarc.org	JOHN A. BODZIAK ARCHITECT AIA
Fandeli	CIMEX	groupe-helios.com
Weidmueller	CUCA FRESCA	WAYAN NATURAL WEAR
Artistic Stairs & Railings	Baltholding OÜ	studioteruzzi.com
cheungwoh.com.sg	ymaunivers.com	sieam.fr
Empress EMS	APPLEXUS.COM	ginko.com.tw
eclipse-print.com	OptiProERP	agenziaentrate.gov.it
legacy-hospitality.com	SRM Technologies	riken.co.jp
daytonsuperior.com	KKJM Lawfirm	roedeanschool.co.za
Hometrust Mortgage Company	thep**.com	sppc.com.sa
WARTSILA.COM	Yong Mao Environmental Tech. Co.,Ltd	laneprint.com.au
Baliwag Maritime Academy	osde.com.ar	taylorstafford.com
lanormandise.fr	townofstmarys.com	bizebra.com
Fairfax	Crum & Forster	CHDE POLSKA
HANDLER Bau GmbH	CREMO	a2-pas.fr
Site-technology	ocrex.com	mwd.digital
Chen Moore and Associates	Edenfield	lexingtonnational.com
mec.com	Tom Barrow	LaVan & Neidenberg
COS2000	MAI	The Minka Group
SPINNEYS.COM	competencia.com.ec	addconsult.nl
coastalmedps.com	XQUADRAT GmbH	San Luis Coastal Unified School District
GENSCO Inc.	An Insurance Company	hcp***.com
keystonelegal.co.uk	cpicfiber.com	madcoenergi.com
rovagnati.it	clestra.com	crbrandsinc.com
christianaspinecenter.com	columbiagrain.com	fedefarma.com
Turnberry Associates	Delon Hampton & Associates, Chartered	Autohaus
Broshuis \| Driving innovation	Fedfina	FederalBank
bizframe.co.za	integrate.ch	aresfoods.ca
An British Financial Company	Eka(Business/Productivity Software)	sig.id
Oklahoma Ordnance Works Authority	ryanhanley.ie	ISGEC Heavy Engineering
VERITAS Solicitors	Conway Electrics	M
Carrolls Irish Gifts	Metropolitan Associates	C2CORP
KNAUF	ttdwest	WALLWORKINC
augustacoop	paradise	Montmorency College
Rain the Growth Agency	Unisuper S.A.	Behavioral Health System
FMT	RALLYE-DOM	CITY-FURNITURE
frederickco.gov	ZEUS Scientific	etgworld.com
RTVCM	Exela Technologies	APETITO
Epec.PL	AdaptIT	Van Ausdall & Farrar, inc
Biothane usa	Gresco	GROUP4 AUSTRALIA
Authentic Brands Group	SANDO	Waskaganish
dudafresh.com	duda.com	viera.com
vierabuilders.com	Podhurst Orseck	iis.ac.uk
Mackenzie Medical	Anderson Insurance Associates	High Power Technical Services
Mooresville Schools	American International Industries	Makeready
Shanghai Hanbell Precise Machinery Co Ltd	Summit Care	Uppco
PSA	vlp.nl	Maxey Moverley
The Royal Commission for Riyadh City (RCRC)	Bandai Namco	Hydraelectric
Pontal Engineering	Meritus	vahanen.com
An International Shipping Company	Trade-Mark Industrial Inc.	lapostemobile.fr
Rewash	John Moore Services	Stm.com.tw
carnbrea.com.au	The Wiener Zeitung media group	LOKALTOG
RENZEL	Wagstaff Piling	Wipro HealthPlan Services
Sierra Pacific Industries	Jinny Beauty Supply	LOSSEWERK
BOERNER-GRUPPE	Jakob Becker	RBBUSA
SCHMIDT Gruppe Service GmbH	WENZEL + WENZEL	TMI
DEKIMO	BAUER	Young & Pratt
Gatewayrehab	LYDECKERLAW	OLYMPIATILE
Dusit D2 Kenz Hotel Dubai	Lamoille Health	Assura Group
DPP	alpachem.com	cabbageinc.com
idex.fr	Sinclair Wilson	syredis.fr
Solví Group	Adler Display	Pontal Engineering Constructions and Developments
V-Soft Consulting	Wis-Pak, Inc	Vectalia group
Goodwill industries	The Green Factory	The Janesville Gazette
A Lord Brasil é	DIRECTFERRIES	Hamlyns Limited
Sappi	Holland CPA	NETWORK4CARS
WWSTEELE	CAN.COM	AUM
KDE	Yurtiçi Kargo	Massy Distribution Limited
MHIRE	Montrose Environmental Group, Inc	CAPSONIC
V2 Logistics Corp	OLDPALMGOLFCLUB	plravocats.fr
slpcolombus.com	axelcium.com	faacgroup.com
lesbureauxdelepargne.com	bosco-avocats.com	expeditors.com
inces.com	Timios Inc.	boxerproperty
Shorr.com	tmsw.com	havi.com
various organizations	Walmart	Cincinnati bell
HANSA KONTAKT	Amalfitana Gas Srl	Continental Management