股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
探究BlackBit勒索內(nèi)幕，揭秘TrustOne如何對抗暴力破解攻擊
發(fā)布時間 ：2023年10月18日
類型 ：勒索軟件
分享：
當勒索軟件具備了如下特征：持久化作戰(zhàn)能力、高隱蔽性、逃避檢測能力、損害系統(tǒng)恢復能力，帶來的后果可能是毀滅性的它就是BlackBit！
何為BlackBit？
BlackBit勒索軟件最早于2022年9月首次被發(fā)現(xiàn)。與其它勒索不同的是，其在成功入侵主機后，攻擊者沒有執(zhí)行數(shù)據(jù)泄露、權(quán)限提升和橫向移動等動作，而是專注于釋放和執(zhí)行勒索軟件。BlackBit勒索軟件的源代碼與Loki Locker相似，除了在被加密的文件圖標、名稱和圖標的配色方案等方面有了一些改進之外，其還采用了.NET Reactor保護程序的方式來阻礙安全研究人員的分析。
該勒索在加密文件前做足充分準備，首先其會將自身復制到多個文件夾目錄下，并創(chuàng)建計劃任務以保證持久運行；然后終止可能會影響加密文件的進程和服務，刪除卷影副本和系統(tǒng)備份。通過禁用防火墻以及Windows Defender安全防護功能逃避檢測。
在加密過程中，其通過CPGenKey函數(shù)將生成的隨機密鑰經(jīng)過RSA加密算法加密后再去對文件數(shù)據(jù)進行加密，同時還會更改加密文件的名稱及其默認圖標，設置新的桌面背景圖像，并創(chuàng)建名為“info.hta”和“Restore-My-Files.txt”的勒索信息文件。加密文件的新名稱格式為“ [攻擊者郵件地址][唯一系統(tǒng) ID][原始文件名].BlackBit ”。
BlackBit勒索軟件攻擊流程
BlackBit家族通常是利用RDP暴力破解獲取對目標機器的初始訪問權(quán)限。RDP暴力破解（RDP brute force）是指攻擊者使用自動化工具或腳本，嘗試使用各種可能的用戶名和密碼組合登錄遠程桌面協(xié)議（Remote Desktop Protocol, RDP）服務的過程。攻擊者通過嘗試多個用戶名和密碼組合，來獲取未經(jīng)授權(quán)的訪問權(quán)限，然后進一步入侵受害者的系統(tǒng)或網(wǎng)絡。
攻擊者可以使用多種方式進行RDP暴力破解攻擊，例如使用常見的用戶名和密碼列表，或使用字典攻擊工具自動生成密碼組合。這種攻擊方式對于那些使用弱密碼或默認憑據(jù)的系統(tǒng)來說尤其危險，因為攻擊者可以很容易地通過RDP暴力破解來獲取訪問權(quán)限。一旦BlackBit勒索軟件成功進入系統(tǒng)，它會加密主機上的文件，并勒索高額的贖金。
【BlackBit勒索攻擊流程】
亞信安全產(chǎn)品解決方案
●亞信安全新一代終端安全TrustOne
亞信安全新一代終端安全TrustOne的檢測響應（EDR）模塊，通過高清的日志記錄作為基礎，結(jié)合威脅情報，IOA規(guī)則關聯(lián)分析和平臺側(cè)的大數(shù)據(jù)智能算法和可見性設計，可以對暴力破解等多種攻擊進行實時檢測，并且自動化對暴力破解攻擊IP進行網(wǎng)絡封停。網(wǎng)絡封停支持配置自動響應的時間段，即生效周期和生效時間，支持設置封停時長。自動封停后的 IP 記錄在封停列表，封停時長過后自動解封。
●亞信安全病毒碼版本18.677.60，云病毒碼版本18.677.71，全球碼版本18.677.00已經(jīng)可以檢測該勒索病毒中對外公開的樣本，請用戶及時升級病毒碼版本；
●亞信安全夢蝶防病毒引擎可以檢測該類型病毒，可檢測的病毒碼版本為1.6.0.174；
●亞信安全DDAN沙盒平臺可以有效檢測出該家族勒索樣本的行為。
注意：以上測試均是在產(chǎn)品聯(lián)網(wǎng)情況下進行的
亞信安全建議
全面部署安全產(chǎn)品，保持相關組件及時更新；
不要點擊來源不明的QQ文件、郵件、附件以及郵件中包含的鏈接；
請到正規(guī)網(wǎng)站下載程序；
采用高強度的密碼，避免使用弱口令密碼，并定期更換密碼；
盡量關閉不必要的端口及網(wǎng)絡共享；
請注意備份重要文檔。備份的最佳做法是采取3-2-1規(guī)則，即至少做三個副本，用兩種不同格式保存，并將副本放在異地存儲。
分享到微信
X