2021年6月勒索病毒态势分析( 二 ) 勒索病毒传播至今

Lorenz勒索软件是一个在2021年4月份新增的家族。主要针对企业进行攻击，目前为止该家族已在其数据泄露网站公开12名受害者信息。其中加拿大邮政局因其供应商CommmportCommunications遭遇Lorenz攻击， 44名加拿大邮政局商业客户信息和95万名收件人信息遭到泄露。其索要的赎金相当之高，价格均在50万美元到70万美元之间。

文章图片
Babuk勒索软件生成器遭泄露
近日有消息曝出Babuk勒索软件的生成器被人上传到VirusTotal ，这导致更多的潜在病毒制作/传播者可使用该生成器制作并传播勒索病毒。该生成器可通过自定义选择生成勒索的运行环境。生成的病毒可在Windows系统或基于ARM平台的系统中运行并进行加密工作。整体操作流程非常简单，只需提供一个文件夹名即可在该文件夹下替使用者分别生成加密器和解密器。

文章图片
此前该团伙在4月份攻击过华盛顿警方后就宣布退出勒索舞台，转为单纯售卖窃取数据团伙。目前该数据泄露网站已对外公开，并发布过多名受害者数据。目前已有威胁者利用该生成器生成的加密器发起攻击，之前该家族想受害者索要的金额一般在数十万美元，最近发现的勒索提示信息看，其索要金额一般为210美元。
Paradise勒索病毒家族源码发布
本月Paradise作者已将其源码发布在网络犯罪论坛(XSS)上，曾在该网络犯罪论坛回帖过的账户均有权限下载该源码。安全研究员TomMalka发现该源码的注释采用的是俄语，很大程度上能证明俄语为该勒索病毒开发人员的母语。

文章图片
该家族于2017年9月开始传播，并在2018年1月以后开始采用RaaS（勒索即服务）模式运营。该家族病毒在2019年11月之前的版本由于存在算法漏洞，被多家安全公司成功破解并发布解密工具。但其对算法漏洞在后续的版本中进行了修复，安全人员也未再找到可供利用的算法问题。此次发布的源码为修改后无法技术破解的版本，这就意味着其他网络不法分子也可以通过修改其开源代码制作属于自己的勒索病毒。
Clop部分相关人员被捕
?本月Clop勒索病毒家族频繁被报道，针对整个事件先做一个大概的时间线回顾：
6月17日：乌克兰、韩国和美国联合行动，在乌克兰拘留多名与Clop勒索软件相关人员，关闭该组织发动过攻击的服务器基础设施，并缴获了计算机、智能手机和服务器设备、18.5万美元现金以及多量豪车。 6月23日：曝出Clop勒索软件仍在继续运作，并在暗网发布受害者数据。 6月24日：警方通过和Binance币安交易所进行合作，成功锁定为Clop勒索软件洗钱的团伙。 6月25日：被抓的洗钱团伙为FANCYCAT ，该团伙不仅为多个非法活动提供洗钱服务，还曾高调的发动过网络攻击（例如Clop和Petya勒索软件攻击），涉及金额高达5亿美元。此次抓捕行动总共抓获了6名犯罪嫌疑人，但暗网数据泄露网站仍在正常运行，证明被抓捕人员仅为Clop勒索软件招募的一个分支，并非主力。
文章图片
JBS向Sodinokibi（REvil）支付1100万美元赎金
5月31日全球最大的牛肉生厂商JBS遭遇Sodinokibi(REvil)勒索软件攻击，北美和澳大利亚的部分IT系统被加密，导致JBS被迫关闭部分食品生产站点。虽然该公司被加密的文件中除了两个特定的数据库外，大部分都有备份的，可通过备份进行恢复，但考虑到若不支付赎金被黑客窃取的数据将被在暗网公开，最终选择向黑客支付赎金。