股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長(zhǎng)按保存至相冊(cè)，使用微信掃一掃
威脅Xin解析 | 當(dāng)心，Royal勒索軟件正通過流量廣告持續(xù)傳播
發(fā)布時(shí)間 ：2023年01月12日
類型 ：勒索軟件
分享：
近日，亞信安全監(jiān)測(cè)到Royal 勒索軟件異?；钴S，對(duì)醫(yī)療系統(tǒng)似乎格外“偏愛”的同時(shí)，持續(xù)通過第三方網(wǎng)站、垃圾郵件附件、惡意廣告、后門程序以及虛假安裝程序等方式傳播，給受害者帶來金錢和聲譽(yù)上的雙重?fù)p失。
關(guān)于Royal
Royal 勒索軟件最早于 2022 年 9 月首次被發(fā)現(xiàn)，其經(jīng)歷了多次迭代更新。有研究人員發(fā)現(xiàn)，Royal 勒索軟件最初使用的是其他勒索家族（如 BlackCat）的加密器，但他們很快轉(zhuǎn)向使用自己的加密器，其中，Zeon是該組織使用自己的加密器生成的第一個(gè)勒索家族，該家族的勒索信與Conti 勒索家族類似。Royal 勒索軟件家族會(huì)在偽裝成合法的下載網(wǎng)站以及 GitHub 和 OneDrive 等合法網(wǎng)站上托管虛假安裝程序文件，并將惡意廣告通過推廣服務(wù)有效融入正常的廣告流量，誘導(dǎo)受害者下載運(yùn)行。
Royal的攻擊流程
Royal 勒索軟件通過偽裝成合法的應(yīng)用程序，誘導(dǎo)受害者下載運(yùn)行它，作為勒索軟件傳播的接入點(diǎn)。該勒索軟件程序支持命令行參數(shù)，"-path"參數(shù)用于加密指定目錄下的文件，"-id"參數(shù)用于標(biāo)識(shí)用戶計(jì)算機(jī)，但無論是否提供了任何一個(gè)參數(shù)，都會(huì)刪除卷影副本防止受害者恢復(fù)備份。在加密過程中，該勒索使用了 OpenSSL 庫(kù)，通過 BCryptGenRandom 函數(shù)生成隨機(jī)密鑰，并混合使用了AES 和 RSA 算法，使用 AES 算法對(duì)文件數(shù)據(jù)進(jìn)行加密，并將加密后的數(shù)據(jù)寫入文件中，然后使用 RSA 公鑰對(duì)隨機(jī)生成的加密密鑰進(jìn)行加密，并在加密文件尾部寫入被加密過的密鑰，最后在文件夾中留下勒索信息說明文件。
【Royal 勒索軟件攻擊流程圖】
亞信安全產(chǎn)品解決方案
亞信安全傳統(tǒng)病毒碼版本17.895.60，云病毒碼版本17.895.71，全球碼版本17.895.00，已經(jīng)可以檢測(cè)，請(qǐng)用戶及時(shí)升級(jí)病毒碼版本；
亞信安全 OSCE 惡意行為監(jiān)控可有效攔截該樣本的惡意行為。
亞信安全DDAN沙盒平臺(tái)可以有效檢測(cè)出該家族勒索樣本的行為。
安全建議
全面部署安全產(chǎn)品，保持相關(guān)組件及時(shí)更新；
不要點(diǎn)擊來源不明的郵件以及附件；
不要點(diǎn)擊來源不明的郵件中包含的鏈接；
請(qǐng)到正規(guī)網(wǎng)站或者應(yīng)用商店下載程序；
對(duì)下載的程序在使用前進(jìn)行安全性驗(yàn)證；
請(qǐng)注意備份重要文檔。備份的最佳做法是采取3-2-1規(guī)則，即至少做三個(gè)副本用兩種不同格式保存，并將副本放在異地存儲(chǔ)。
分享到微信
X