<mark id="oztn4"></mark>
0
1989年，勒索木馬的鼻祖“ PC Cyborg 木馬”出現，以“艾滋病信息引導盤”的形式進入系統，在系統啟動次數達到 90 次時，該木馬將 C 盤的全部文件加密。此時，屏幕顯示信息，聲稱用戶的軟件許可已經過期，要求用戶向“ PC Cyborg ”公司位于巴拿馬的郵箱寄去 189 美元，以解鎖系統。
慶幸的是，這個勒索木馬的作者被抓獲，被起訴時他還曾為自己辯解，稱其非法所得用于艾滋病研究。
如今，艾滋病依然是聞之令人變色的疾病，但勒索木馬也絲毫不遜色。多年來，各種勒索木馬肆虐賽博世界，因其復雜的加密形式，一旦中招，除了極少部分可以被破解加密方法，大部分被加密的文件要么只能在利益權衡下被忍痛舍棄，要么只能靠贖金解救。
現在，許多勒索木馬作者依然躲在黑暗的世界里橫行，雖然在與他們的戰役中，敗多勝少，但是依然還是有一群守護者堅守在這個領域。
也許，在這場常常被失敗籠罩烏云的戰役中，需要看到一些勝利繼續被鼓舞前進。
對騰訊反病毒實驗室而言，2016 年的這三場勝仗值得銘記。
騰訊反病毒實驗室安全研究員劉桂澤告訴雷鋒網，很多勒索軟件的加密需要超級計算機一刻不停地計算，才能在數百年后解密。人們對這些勒索軟件的反破解能力如同一艘小船在蒼茫大海上遇上一艘巨輪，無疑以卵擊石。
只有在勒索木馬加密強度不高時，才可被斬于馬下。
一招棋錯的 petya
勒索木馬 Petya 在 2016 年 3 月被人出現，且以一種全新方式登場：修改系統 MBR 引導扇區，強制重啟后執行引導扇區中的惡意代碼，加密硬盤數據后顯示敲詐信息，通過 Tor 匿名網絡索取比特幣。
這是第一個將敲詐和修改 MBR 合二為一的惡意木馬，這意味著，它的破壞力極強。
petya 的戰術出其不意，本來看上去已毫無勝算。不料，研究人員在分析它的樣本時，峰回路轉。由于這個勒索木馬作者的疏忽，petya 這個家伙雖然算法很完美，但用得有問題——密鑰支持 64 位，卻只用了 16 位，加密強度呈指數級降低，于是，一艘巨輪幻化成了與小船同等量級的對手。
劉桂澤稱，靠修改 MBR，利用加密算法漏洞暴力破解，針對 petya 的破解工具不到一天就被制作了出來。
變化多端的 locky
與 petya 的戰斗可以稱得上速戰速決，但下一個對手 locky 卻沒有這么簡單。
locky 并非 2016 年出現的新勒索木馬，卻在 2016 年，產生了多個變種。劉桂澤稱，locky 是 2016 年變種最多、變化速度最快的對手。相比正面狙擊，locky 簡直就是開掛的持續戰選手。
locky 在2016年2月席卷全球，大肆攻擊企業與個人用戶。
按照劉桂澤的說法，一般一種勒索木馬都是玩一波就走，但是 locky 卻異常頑強。
“因為 locky 的作者比較執著，喜歡跟安全軟件斗爭。它的變化速度有多快？比如，同一天上午和下午收到的該勒索軟件的郵件后，下載附件，可能中了 locky 1的招，到了下午下載同一個郵件，就是 locky 2，甚至你和同事同時下載，都可能中了不同版本的招。locky 在不同國家和地區版本也各異?？傮w來說，它會根據時間、IP等變化?！眲⒐饾烧f。
這樣開掛的選手，常常讓殺毒軟件反應不過來，就像你剛拿出手榴彈，準備朝對面的敵人扔過去，卻發現不知何時敵人又派了一架轟炸機。
它也很像一個狡詐的間諜，時刻變化著裝、妝容。一般人很難從間諜喬裝打扮及精湛的演技中辨認出是否同一人。
在這種棘手的情況下，劉桂澤說，他們只好派出了哈勃分析系統。
哈勃分析系統有很大的分析集群，對歷史信息持續監測，對新樣本進行分析，了解是否與之前的木馬有相似的家族特征。哈勃不需要看這個勒索木馬穿了什么“衣服”，卻可以透過衣服看“基因”，把勒索木馬文件下載后進行虛擬執行，把這個狡詐的對手所有可能的運行道路都走一遍，相當于派專人不斷下載跟蹤。
當然，對于已經中招的用戶，已回天乏力。但是，在 locky 頻繁變種及躲避查殺下，第一時間識別它，做到預先攔截，已經是可喜的勝利。
犯案者可能是十幾歲小孩的手機鎖屏敲詐
2016年，騰訊反病毒實驗室還遇到一場鎖屏敲詐的戰斗。
這些鎖屏敲詐木馬主要有 Windows 密碼鎖屏、非英文密碼鎖屏、FBI 敲詐木馬、安卓系統鎖屏敲詐木馬等，木馬制作者通常將這些木馬偽裝成免費刷鉆、批量刷贊等名號，吸引受害者安裝，一旦受害者重啟電腦或者手機鎖屏，新密碼便會啟動。
劉桂澤稱，對手主要是手機鎖屏敲詐。每天有上萬個安卓手機用戶遭遇了手機鎖屏敲詐，而且這個鎖屏敲詐木馬很狡猾，專門偽裝成比較實用的應用誘使用戶下載。
比如，它會偽裝成系統整理軟件，安卓用戶老覺得手機慢，愿意裝這種軟件，還有一些會偽裝成壁紙類 App，結果下載運行后，敲詐鎖機頁面覆蓋了原來的開機頁面。
“安卓手機用戶有多少會刷機？很多品牌的手機刷機了后，都與售后條款有沖突，不再屬于售后范圍。再加上，鎖機敲詐往往金額不高，就 10 到幾十個虛擬貨幣，而且，我們在提供專殺工具，跨界打擊后發現，多起鎖機敲詐的操作者是十幾歲的小孩。”劉桂澤說。
這一類型的勒索敲詐，純粹就是“國產”。劉桂澤分析，因為歪果仁用 iPhone 較多，應用軟件多從應用商店購買，雖然現在 Apple 的應用商店也常爆出有木馬應用，但相對而言，國內安卓用戶更多，且應用下載渠道五花八門，給了手機鎖屏敲詐可乘之機。
不過，劉桂澤認為，這一類手機鎖屏敲詐木馬在技術難度上沒有那么高，這也是為何許多十幾歲小孩參與了敲詐。
道高一尺，魔高一丈。
在這場與勒索木馬的斗爭中，安全人員的對手——勒索木馬也在依據人們的防守策略不斷調整自己的進攻姿勢。
升級招式一：反偵察，你騙我也騙
劉桂澤稱，2016年來，勒索木馬與安全人員對抗增加，如代碼混淆，檢測分析環境，檢測虛擬機等。勒索木馬已經學會了對安全人員的反偵察。
安全人員在分析勒索木馬時，是在實驗室環境下進行，而非真實的用戶環境。這是什么意思？
比如，如果是虛擬機運行，用戶不會和虛擬機有什么交互，而真實的環境則會有人機交互。
勒索木馬在偵查時，還會看看：為什么這臺設備的運行速度這么快，都沒有人按鍵盤，是不是機器在自己操作？為什么這臺設備上沒什么文件，或者為什么這臺設備都沒有某寶購物網站的瀏覽記錄？
勒索木馬變得越來越精明，它不在乎對方是不是有價值的“平民”，它想知道的是對方是不是手握武器的士兵！
在嚴密分析后，勒索木馬就會作出決策：要不要進攻？還是蟄伏就好？
勒索木馬已經學會了這樣的策略：一封包含勒索木馬附件的郵件，即使被下載和打開，它也不一定會讓你中招——這臺機子看著很像虛擬機呢！萬一被安全人員發現，大家又不都是 locky 那個二貨，隨時變來變去，這樣的代價似乎付不起。
劉桂澤稱，他們常常也有一種“長見識了”的感覺。但安全人員做對抗，也可以誘敵深入。
“上來赤裸裸的干危害不太大，勒索木馬，難弄的就是這些狡猾的，狡猾了的必然有漏洞。所以，我們也會幫助用戶偽裝成不是受害者，讓勒索木馬找不到可用的受害者。”劉桂澤說。
升級招式二：武器玩出更多花樣
這一年，勒索木馬的代碼語言更多樣化了，使用到的編程語言包括 JavaScript，Python，C#等。
開發語言越來越多，劉桂澤指出：一是語言變幻越多，防御就會越困難，增加了防御工作量；二是以前大部分 C++ 和 C語言的編程語言，現在編程語言種類越多，意味著勒索軟件從業人員越來越多，新人加入了。
這些新增的高級編程語言很多有現成的模式，大大降低了勒索木馬的開發難度。這意味著，勒索木馬這個邪惡的對手將有更多的武器和彈藥投入戰場。
升級招式三：手段更多，有可能找人背黑鍋
2016年，勒索木馬傳播方式除郵件中的惡意文檔外，新增了網站漏洞掛馬、服務器黑客入侵等多種手段。
劉桂澤提醒，有些視頻網站或者客戶端軟件內嵌了廣告位，在廣告位招商時，有一些小公司買了，但是不幸的是，小公司的網站被黑客入侵，加上了勒索木馬。也就是說，視頻網站和客戶端成了勒索木馬的跳板，在根本不知情的情況下，用戶點擊廣告位中了勒索木馬，視頻網站和客戶端就背了黑鍋。
升級招式四：讓解密難上云端
勒索木馬的加密算法，以前是對稱加密的，比如AES， key 保存在本地，現在過渡到了非對稱加密RSA，key 保存在云端。
勒索木馬的加密最早沒有和云端聯系，當解密放在本地時，安全人員做比較詳細的分析還是有可能的，但是到了2016年，勒索木馬的 key 保存在云端，這就讓解密難上加難了。
劉桂澤還特別提醒，2016年他們發現了一些用簡體中文勒索的木馬，說明至少有中國的木馬作者參與進去，專門針對中國地區進行攻擊。
1.雷鋒網：哪些人容易成為勒索木馬的受害者？
劉桂澤：受攻擊的企業和個人用戶比大概是 3:7 ，但是企業用戶受到的危害往往更大，支付贖金的比率也更高。企業中使用郵箱進行日常辦公的專業職務人員，比如hr、會計等，更容易點擊郵件中的帶宏文檔并成為受害者。
企業用戶對勒索木馬而言更有價值，但成功率偏低，因為很多公司實行內外網隔離。
2.雷鋒網：接下來對勒索木馬的預測，比如，有人說勒索軟件將對云實施攻擊，互聯汽車將成為勒索軟件的攻擊目標……
劉桂澤：勒索木馬的趨勢之一，是針對高端目標進行精準攻擊，比如，開發針對企業環境或服務器環境的專用勒索軟件，以圖勒索收益的最大化。
3.雷鋒網：勒索軟件的黑產鏈條是什么樣的？
劉桂澤：看上去可以這么分——【制作者】-出售（成品或工具箱）->【利用者】-分發->【傳播者】-傳播->【受害者】-支付贖金->【利用者】-（可能分成）->【制作者，傳播者】
事實上，就是一波人，根本就沒有生態鏈，只有壞蛋和受害者。當然，團伙內部有分工，但一個團隊內部分工還達不到生態，人家沒有精力浪費在層級溝通上。
4.雷鋒網：有沒有發現什么特別的事？
劉桂澤：你有沒有發現，所有的勒索軟件都屏蔽了俄語和俄羅斯的機器，這說明：要么是俄羅斯干的，要么就是容易被俄羅斯砍殺，因為有卡巴斯基。
文/李勤 （微信ID：qinqin0511，關心安全圈發生的事兒）
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
