背景概述
近日,深信服安服應急響應中心聯合終端安全團隊捕獲到了一例CLOP勒索病毒新變種。CLOP勒索病毒最早出現於2019年初,其主要活動區域在韓國,但國內也有企業遭到該勒索病毒的攻擊。
Clop勒索病毒具有很強的反檢測機制,本次捕獲的變種樣本為了繞過沙箱,病毒只以服務的方式執行進行全盤加密,另外比較特別的是該變種並不會修改加密檔案的字尾,而是建立一個同名檔案加上”.C_L_O_P”字尾用於儲存金鑰。

除此之外,Clop勒索的勒索信內容也做了改變,從對受害者定製的勒索資訊中可以看到,攻擊者除了對檔案進行加密勒索,同時還會竊取敏感資料,以威脅受害者支付贖金。
加密現象如下:

攻擊過程
1.透過RDP爆破的方式登入運維人員PC;
2.對運維人員PC植入TinyMet後門進行維權及資料竊取;
3.獲取域控密碼後,透過域控對內網主機遠端複製勒索病毒檔案並建立對應服務,實現勒索攻擊。

樣本分析
為了避免被殺軟查殺,病毒使用Delphi外殼程式進行了封裝:

病毒執行後,其會讀取資源ff1並將其解密:

ff1資源內容如下所示:

解密出的內容為系統API結構體+勒索病毒payload+裝載payload的shellcode:

解密完成後返回到裝載payload的shellcode:

裝載勒索病毒payload:

執行payload進行勒索行為:

加密流程
該病毒不僅會加密本地磁碟檔案,還會加密網路資源。遍歷磁碟,排除掉系統重要檔案,並且比較字尾名和檔案大小,只有符合條件的檔案才會進行加密。
針對每個待加密的檔案,病毒隨機生成117位元組的金鑰,使用RSA對該金鑰進行加密並存放在.C_L_O_P字尾名的檔案中,使用RC4演算法對檔案內容進行加密,並且僅對檔案偏移0x4000之後的內容進行加密。
病毒根據不同的啟動引數執行不同的函式進行加密,且病毒需要註冊成服務形式才會執行全盤加密:

列舉網路資源,迴圈對網路資源進行加密

遍歷本地磁碟,對本地磁碟檔案進行加密

初始化RSA公鑰,後邊會使用RSA加密隨機生成的RC4金鑰

判斷磁碟,如果是C盤,病毒會額外的加多一個判斷函式,獲取檔案的校驗值,判斷檔案是否屬於系統重要檔案

判斷並跳過以下檔案字尾名不進行加密:
.ocx、.dll、.exe、.sys、.lnk、.ico、.ini、.msi、.chm、.hlf、.lng、.ttf、.cmd、.bat、

獲取檔名的校驗值,重要的檔案不參與加密

開啟檔案,如果開啟檔案失敗重啟管理器再次嘗試開啟檔案,避免無法加密檔案

比較檔案大小,跳過檔案大小小於17kb的檔案

獲取117位元組的隨機金鑰,如果獲取失敗,則使用預設的金鑰。採用RSA加密隨機金鑰,並存放至.C_L_O_P檔案中

獲取檔案偏移0x4000以外的內容,並使用RC4演算法對內容進行加密

在每個資料夾下寫入勒索資訊

日常加固
1.日常生活工作中的重要的資料檔案資料設定相應的訪問許可權,關閉不必要的檔案共享功能並且定期進行非本地備份;
2.使用高強度的主機密碼,並避免多臺裝置使用相同密碼,不要對外網直接對映3389等埠,防止暴力破解;
3.避免開啟來歷不明的郵件、連結和網址附件等,儘量不要在非官方渠道下載非正版的應用軟體,發現檔案型別與圖示不相符時應先使用安全軟體對檔案進行查殺;
4.定期檢測系統漏洞並且及時進行補丁修復。
深信服安全產品解決方案
1. 深信服安全感知管理平臺SIP、下一代防火牆AF、終端響應檢測平臺EDR使用者,建議及時升級最新版本,並接入安全雲腦,使用雲查服務以及時檢測防禦新威脅;

2.深信服為廣大使用者免費提供查殺工具,可下載如下工具,進行檢測查殺:
64位系統下載連結:
http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z
32位系統下載連結:
http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z
3.深信服安全產品整合深信服SAVE人工智慧檢測引擎,擁有強大的泛化能力,精準防禦未知病毒;
4.深信服推出安全運營服務,透過以“人機共智”的服務模式幫助使用者快速提高安全能力。針對此類威脅,安全運營服務提供安全裝置策略檢查、安全威脅檢查、相關漏洞檢查等服務,確保第一時間檢測風險以及更新策略,防範此類威脅。