勒索软件发展现状

如今越来越多的网络犯罪分子开始在网络攻击成功后部署勒索软件，这一普遍的获利趋势随着信息曝光确实会影响并引入一大批“有志于”从事该行业的攻击者逐步进入该领域。以前只有少数勒索家族活跃并出现在公众视线为大众熟知，而几个月前又出现了新的运营模式，据深信服安全团队监测到的诚如Dharma这个老牌的勒索软件运营商已创建了一个黑客工具包，并于黑客论坛发布了公开的帖子，吸引更多参与者分享战果。

这里介绍下这个老牌运营商的发展历史，据公开的信息统计，Dharma勒索软件是当今运营时间最长的勒索软件系列之一，自2016年3月左右起，以CrySiS为名称开始，但其主解密密钥于2016年11月在BleepingComputer论坛上的帖子中泄露。不久之后，勒索软件的新变体被发布，将.dharma扩展名附加到加密文件中。这些变体大概率是由于后续使用者购买源码进而修改分发的，从那时起，这个家族及其不断涌现的新变种就被称为Dharma。与其他针对大型企业的勒索软件即服务（RaaS）运营的勒索软件要求的十万至数百万美元的赎金不同，Dharma的赎金价格普遍较低，平均需求约为9,000美元。

该运营商基于勒索软件即服务（RaaS）提供了新工具包，与许多仅与经验丰富的黑客合作的私有勒索软件勒索软件即服务（RaaS）运营商不同，Dharma运营商提供了这种现成的工具包，该工具包允许任何想要进行非法目的人轻松入侵网络，其较低的价格可能反映出想要降低会员的进入门槛。通过提供工具包和使用方法文档，Dharma可以招募到更多潜在的会员。降低门槛势必会增加群体数量，因此如此庞大的用户群体使他们能够建立一个广泛的攻击网络，以抓住尽可能多的受害者。而受害者支付较小的赎金，随着累计则可能构成更大的金额，影响也会随之加大。

勒索软件市场收益

自2019年下半年以来，勒索软件的运营者正在如火如荼的入侵新的受害者并发布他们创纪录的勒索收益，由于市场规律的推动（巨大的利益回报），根据勒索软件事件响应公司Coveware的调查，部署勒索软件后勒索软件运营者将继续勒索机构，平均每年收入将达到近18万美元。到今年六月，平均收入金额比今年第一季度增加了60％。

这种影响力正在吸引着有着各种经验与技能的新玩家或者新选手，而已经熟练掌握并运用勒索软件生态系统的普通攻击者或者更高级的攻击者早已经尝试使用绑定数字货币的恶意软件和以数据泄露作为威胁的新谋利策略。

勒索软件运营策略

虽然全球新冠疫情的影响依然在持续，导致了一定程度的经济影响。但是对于网络世界里的攻击者而言却丝毫不受限制，反而愈演愈烈。据公开的信息得知，除了只加密文件后等待受害者付款获取解密工具外，Maze 勒索软件的运营者早于去年就已经采用新的方式来勒索受害者，如果原来的方式不足以强制让你付赎金，那就换一种方式进行勒索。由于始终有一部分受害者不会因为文件被加密而向攻击者付款解密文件，随着时间的推移，攻击者发明了新的方法来勒索受害者，他们会保存重要文件的未加密副本或使用某种回滚技术将系统还原到攻击前的状态。勒索软件在部署前会先窃取相关数据，如果受害者不付款，攻击者就会威胁要公开数据。于是在2019 年的最后一个季度，Maze勒索软件的运营者引入了上述这种新的勒索方式。而且自从它引入这种方式以来，许多其他流行勒索软件家族也开始逐步采用这种方式。除了Maze外，还包括Clop、Sodinokibi（REvil）和DoppelPaymer。

随着Maze勒索软件活动逐渐加大，原有的运营模式无法满足于现今的收益情况。俗话说众人拾柴火焰高，为了寻找利益最大化，Maze勒索软件运营者已正在通过共享的数据泄漏平台以及战术和情报交流吸引合作者来共同勒索受害者，以期望获得最大利益。

之前提到为了给受害者施加压力，Maze勒索软件运营者创建了一个自动发布泄露数据的站点。2020年6月份一家国际建筑公司的数据被发布到Maze的数据泄露站点上，但是这些数据非Maze勒索软件窃取并发布，而是来自LockBit勒索软件运营者发布。随后Maze勒索软件运营者公开表示他们正在与LockBit勒索软件运营者合作，允许他们在数据泄露站点发布被窃取的数据，随后RagnarLocker勒索软件运营者表示也加入了Maze主导的这种策略。

近期新出现的SunCrypt勒索软件表示已加入上述成立的Maze联合组织，SunCrypt勒索软件运营者目前已经成为他们的新成员，作为组织的一部分，他们具有“双向通讯渠道”，意味着情报与资源可以共享。据公开的信息得知，SunCrypt勒索软件于2019年10月开始出现，但并不十分活跃。在整个攻击与获利过程中，Maze组织并不是擅长各个方面，为了获取最大的利益同时也为了壮大力量，正好此时的SunCrypt团伙主要专长是勒索软件攻击，两个组织一拍即合，随机展开了双向合作，并一起分享获得的收益。作为大型勒索软件组织的一员，自然也建立了自己的数据泄露站点。目前，据统计SunCrypt数据泄漏站点上已列出了九名受害者以及存在的敏感数据文件。

勒索软件新威胁效果

之前已监测并得到【教育机构已成勒索软件攻击重灾区】这一事件情报结论，主要是近期位于美国犹他州大学的社会与行为科学（CSBS）学院计算服务器经历了勒索软件攻击，其服务器暂时无法访问。该大学已通知了执法机构，该机构的信息安全办公室（ISO）与专门应对勒索软件攻击的外部公司进行了协商，调查并解决了该事件。

犹他大学的管理层公开承认即使使用以前的备份恢复了加密文件（说明可以减少甚至是消除文件加密的影响），但最后还是为了防止攻击者泄露学生数据，迫于无奈不得不向勒索软件团伙支付了457,000美元，显而易见这是一个使用“泄漏站点”和“双重勒索”对受害者施加压力的一个很好的例子。

流行勒索软件攻击情况

深信服安全团队目前监测到的已经采用上述方式二次勒索受害机构的流行勒索软件家族统计数据如下图，其中包括Maze、Sodinokibi、DoppelPaymer、Conti、Netwalker、Pysa、Nefilim、Clop、Ako、Suncrypt、Ragnar_Locker、Sekhmet、Avaddon、DarkSide，可以清晰地发现本文追踪的勒索软件DarkSide也已榜上有名。

DarkSide勒索软件简介

上述介绍了近几年勒索软件的发展历程与一些运营收益情况，主要是为了让一开始接触当前流行勒索软件家族时能有个更清晰的认识与感受，现在是时候出现这次的主角DarkSide了。2020年8月深信服安全团队监测到一个新的流行勒索软件家族出现，且自称为DarkSide，命名来源于攻击者运营的站点名称Darkside，得知该运营团队同样通过定点攻击机构来获利。

DarkSide勒索软件加密方式

深信服安全团队在捕获相关样本后对其进行了深度分析发现暂无缺陷，无法采用非正常方式对其解密。采用RtlRandomEx产生随机数拼接得到0x40大小字节数据作为初始密钥，每个待加密文件都存在唯一的密钥，之后被内置的RSA-1024公钥进行加密，对文件采用Salsa20算法进行加密完成后，后续将0x90大小字节数据（被RSA加密后的密钥）写入文件末尾，由于RtlRandomEx为微软官方提供的安全随机数，以及RSA1024算法的公开特性，暂无法对其破解解密。

DarkSide勒索软件加密结果

该勒索软件文件加密结果如下，后缀名是不唯一的，采用与受害机器信息有关的信息来随机选取。

DarkSide勒索软件勒索信

释放的勒索信格式如下：

勒索信的具体内容如下，与以往的流行勒索软件家族不同的是DarkSide在一开始就已经朝着这种先窃密后勒索的手法运营了，已直接了当地表明在内容中。

通过之前监测到的情报【Avaddon勒索软件启动数据泄漏站点以勒索受害者】可以进行对比，流行勒索软件家族Avaddon一开始并没有着急发布相关数据泄露站点，而是在有了一定的活跃时间与攻击成果后，才慢慢地开始启动数据泄露站点，而Avaddon勒索软件也是最近几个月新出现且流行的勒索软件家族。

该勒索运营商在俄语论坛上宣布，他们已经启动了一个新的数据泄漏站点，目前经追踪发现最新泄露的数据来源于斯诺伐克的一家制造业公司。

对于DarkSide运营者一开始就急忙推出数据泄露站点，可以猜测这种运营方式对于他们来说已经十分成熟，或者说充满信心，作为诸如Maze勒索运营方式后继者的DarkSide一开始就野心勃勃奔着最大利益出发。随着数据泄露站点的发布，表明该运营团伙已将勒索软件攻击升级，后续还应当会有更多活动痕迹，我们会持续关注追踪该勒索家族的发展。

将勒索信中提供的Key值输入该站点后，便会给受害者呈现详细的数据恢复方式与需要的赎金金额。

页面已经存在属于受害者单独的数据泄露地址，还留有需要付款的对应比特币与门罗币地址，提醒了如果付款时间到期后相应的赎金价格会增加，右边是提供的实时聊天窗口，还存留相关的历史记录，这个站点的功能布局与Sodinokibi（REvil）差不多。

让人感觉很惊讶的部分是该处运营者表明了一些观点与可能的身份，如下。

  上一条：金华银行数据库审计案例
下一条：美国防部2020年底将推出零信任架构网络