360安全智脑:国内知名品牌NAS系统遭LvtLocker勒索软件攻击

阅读量119730

发布时间 : 2024-02-22 10:49:29

情况概述

阖家团聚的春节假期刚过,在大家正纷纷整理假期心情以饱满的精神迎接复工的日子里,360安全智脑也检测和接收到一批春节期间受到勒索攻击的集中反馈。经分析,春节期间的这波勒索攻击大多为一款名为LvtLocker的勒索软件所为,而该勒索软件的攻击目标主要是国内某知名的NAS设备系统。

 

入侵方式

通过对360的大数据分析研判,发现此次勒索软件入侵事件主要是通过两种途径进入到受害用户的NAS设备中:

  1. 利用该NAS设备系统中存在的一些RCE漏洞,比如下面一些漏洞,允许未经身份验证的用户获取root权限:
  • CVE-2020-28188
  • CVE-2022-24989
  • CVE-2022-24990
  1. 直接通过弱口令暴力破解,之后登录投毒。

 

样本分析

LvtLocker勒索软件本体

LvtLocker属于Babuk勒索软件的变种。与目前主流的其它勒索软件家族类似,LvtLocker勒索软件同样是在代码中,内置了一套用于加密数据的RSA公钥(与之对应用于解密的私钥则在作者手中)。在软件开始运行后,会在受害者机器中利用ECC算法生成一对密钥,并利用这套内置的RSA公钥对本地生成的ECC私钥进行加密。

在完成密钥的初始化操作后,软件会判断当前的运行权限是否为root账户。若是则将其实加密路径视之为系统根目录。

不过勒索软件还是对一些系统关键目录进行了规避,如:/proc、/boot、/sys、/run、/dev等目录。

而在核心的文件加密部分,勒索软件会首先生成一个ChaCha20的流密钥。

随后,自然也是调用ChaCha20对称加密算法对文件进行加密,用对称加密算法来对文件实施加密属于目前主流勒索软件的“惯例”,这样做主要是为了保证加密的效率。

在加密操作执行完成后,勒索软件会在被加密的文件后附加.lvt的扩展名用于标记其已被加密。

此外,勒索软件会释放勒索信文件README_lvt.txt与受害者识别id文件README_lvt_PersonalKey.txt。这两个文件的内容完全一致。

根据捕获到的勒索软件样本看,当前版本的LvtLocker索要的赎金金额为0.01个比特币(当前价格约为3700元人民币)。

 

SSH Agent工具

在捕获到的样本中,除了勒索软件主体程序外,还有一个SSH代理工具。该样本本身并不会执行加密操作,但会在运行后搜集当前设备的基本信息并以HTTP请求的形式发送至远端服务器用于记录。接收用户信息的URL如下:

hxxp://80.92.205.181/jquery.js

目前该URL处于404状态

 

安全建议

本轮攻击主要针对NAS类设备,也提醒大家,在使用各类网络设备时,不可掉以轻心,同样应该做好网络防护,以防设备被黑客攻击,造成数据泄露和数据丢失。

我们给出如下几点建议:

  1. 及时更新NAS系统的安全补丁。
  2. 为NAS设备设置强度较高的登录口令(长口令+大小写字母+数字+符号)。
  3. 定期更换NAS登录口令。
  4. 若系统允许,应禁用root账户(或admin等系统默认管理员账户)登录。
  5. 善用系统内置的防火墙功能,对频繁尝试登录失败的IP执行自动封禁。
  6. 减少并停用非必要的对外服务,关闭相应的端口。

 

IOC

MD5

349dd0a75d5cebe1d3ffd620bca4ff7f

e30a5d6336f7180479270369472d653e

IP & URL (Network)

80.92.205.181

download.linuxenc.top

本文由安全客原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/293361

安全客 - 有思想的安全新媒体

分享到:微信
+14赞
收藏
安全客
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66