网站如何做3d产品展示,上海网站优化公司,c access做网站登录页面,鞍山做网站哪家好数据擦除破坏 1. WhisperGate2. HermeticWiper3. IsaacWiper4. WhisperKill5. CaddyWiper6. DoubleZero7. AcidRain8. RURansom 数据是政府、社会和企业组织运行的关键要素。数据擦除软件可以在不留任何痕迹的情况下擦除数据并阻止操作系统恢复摧#xff0c;达到摧毁或目标系统… 数据擦除破坏 1. WhisperGate2. HermeticWiper3. IsaacWiper4. WhisperKill5. CaddyWiper6. DoubleZero7. AcidRain8. RURansom 数据是政府、社会和企业组织运行的关键要素。数据擦除软件可以在不留任何痕迹的情况下擦除数据并阻止操作系统恢复摧达到摧毁或目标系统和数据的目的具有致命的破坏性。
俄乌冲突中各方势力通过数据擦除恶意软件破坏关键信息基础设施计算机的数据达到深度致瘫的效果同时窃取重要敏感信息。
俄乌军事冲突中数据擦除软件
名称发现时间发现者攻击对象WhisperGate1月13日微软公司乌克兰HermeticWiper2月23日网络安全公司 ESET乌克兰IsaacWiper2 月 24日网络安全公司 ESET乌克兰WhisperKill2月 23日乌克兰国家特殊通信和信息保护局乌克兰CaddyWiper3月14日网络安全公司 ESET乌克兰DoubleZero3月17日乌克兰计算机应急响应小组乌克兰AcidRain3月31日美国网络安全公司SentinelLabs乌克兰RuRansom3月9日美国网络安全公司Trend Micro俄罗斯
1. WhisperGate
1WhisperGate简介
WhisperGate是一个冒充勒索软件的威胁性 MBR主引导记录擦除器该恶意软件能够完全破坏受感染的机器使其无法启动。
2WhisperGate分析
第一阶段
WhisperGate 恶意软件以名为“stage1.exe”的文件的形式放置在 C:\PerfLogs、C:\ProgramData、C:\ 和 C:\temp 目录之一中的受感染系统上。
为了转移人们对其真正目的的注意力WhisperGate 采用了勒索软件威胁中通常观察到的几个特征。它提供了一张赎金票据声称攻击者希望获得 10,000 美元的比特币。这笔钱应该转移到提供的加密钱包地址。该说明提到受害者可以通过提供的 Tox ID for Tox一种加密的消息传递协议与黑客联系。但是当受感染的机器关闭时WhisperGate 会覆盖其 MBR 记录这是硬盘驱动器中用于正确加载操作系统的部分。
WhisperGate 通过破坏 MBR使系统变砖并且无法恢复其上的任何数据。勒索软件部分只是用来掩盖攻击者的真实意图。
第二阶段
在攻击的第二阶段名为“stage2.exe”的文件充当下载程序从 Discord 频道获取文件损坏程序。下载链接被硬编码到下载器本身。执行有效负载后它会扫描系统上的特定目录以查找与 180 多个不同扩展名列表匹配的文件。所有目标文件的内容将被固定数量的 0xCC 字节覆盖。为操作设置的总文件大小为 1MB。加扰文件后破坏者将通过添加随机的四字节扩展名来更改其原始名称。
2. HermeticWiper
1HermeticWiper简介
HermeticWiper因其数字证书是盗取自一家名为Hermetica Digital Ltd的公司。该擦除器的显著特点是能够绕过Windows的安全功能部署后不仅会破坏本地数据还会破坏 Windows PC 的主引导记录 (MBR)从而阻止计算机在强制重新启动后引导至操作系统。
网络安全专家认为该软件至少具备以下功能
快速擦除数据文件并且不可恢复快速擦除NTFS、FAT分区数据完全擦除整个磁盘或单独的分区快速清除系统或者引导区支持清除VMware、Virtual Box等虚拟机数据。
2HermeticWiper分析
HermeticWiper是一个32位Windows可执行文件其图标类似于一个礼物。
程序大小117000 bytesMD53F4A16B29F2F0532B7CE3E7656799125SHA161B25D11392172E587D8DA3045812A66C3385451
程序运行后首先提升SeBackupPrivilege权限 然后获取主机处理器的位数从PE资源段中释放对应的驱动文件 以服务的方式加载驱动并更改活跃状态的系统vss服务启动类型SERVICE_DISABLED从而禁用vss服务 在c:/windows/system32/driver目录下释放四个字母命名的驱动程序xrdr.sys并加载驱动 创建多个线程并使用长时间的sleep来绕过沙箱的监控时间
HermeticWiper,exe进程占用了较高的CPU使用率并向驱动发送IOCTL控制码。随着恶意软件的执行会发现一些应用程序将无法正常工作这是因为某些文件包括系统DLL已被随机数据覆盖。 系统重启后Windows操作系统将无法正常工作 3. IsaacWiper
IsaacWiper存在于没有Authenticode签名的Windows DLL或EXE中执行时会枚举所有物理和逻辑驱动器和卷标用随机数据覆盖每个磁盘前0x10000字节并擦除磁盘上的文件数据。
该工具还会将不能访问的文件重命名为临时名称然后擦拭新重命名的文件。IsaacWiper创建了一个日志文件C:\ProgramData\log.txt.其中保存了破坏活动的进度。
4. WhisperKill
乌克兰国家特殊通信和信息保护局发现了另外一种恶意擦除软件WhisperKill该机构表示它重复使用了80%日的Encrpt3d勒索软件代码(又名WhiteBlackCrypt勒索软件)并试图伪装成勒索软件攻击来隐藏其攻击方式和目的分散调查人员对攻击者的注意力。
5. CaddyWiper
1CaddyWiperr简介
CaddyWiper专门设计用于通过擦除用户数据、程序、硬盘驱动器以及在某些情况下分区信息来破坏目标系统。
3 月 15 日网络安全公司ESET 发布了一个Twitter 帖子记录了名为 CaddyWiper 的恶意软件该恶意软件是在将其部署到目标网络的同一天编译的。 2CaddyWiperr分析
CaddyWiperr文件擦除算法由两个阶段组成第一阶段覆盖文件另一个阶段破坏物理磁盘布局和分区表。
对于文件销毁它在获得 SeTakeOwnershipPrivilege 后通过修改文件的ACL条目来获得文件的所有权。然后找到的文件将简单地用零覆盖。
大于 10,485,760 字节 ( 0xA00000 ) 的文件将简单地用零覆盖前 10,485,760 字节。 然后清除器将移动到系统上的下一个驱动器从“D”驱动器开始。它将递归地获得驱动器上文件的权限并用零覆盖它们。这是按字母顺序通过“Z:\”为接下来的 23 个驱动器完成的。
第二阶段擦除器尝试将系统上编号为 9 的所有物理驱动器的驱动器布局设置为 0。这将擦除有关物理驱动器分区的所有扩展信息包括 MBR、GPT 和分区条目。 擦除器使用归零缓冲区递归执行 IOCTL_DISK_SET_DRIVE_LAYOUT_EX 请求破坏文件的开头和分区表是其他擦除器上常见的技术它在防止文件恢复方面非常有效。
6. DoubleZero
DoubleZero是一种用C语言开发的恶意破坏程序攻击者使用该软件发起鱼叉式网络钓鱼攻击目前该活动已被跟踪为UAC-0088。DoubleZero擦除文件使用两种方法破坏文件用4096字节的零块覆盖其内容或使用API调用NtFileOpen、NtFsControlFile。恶意软件会在关闭受感染的系统之前删除以下Windows注册表HKCU、HKU、HKLM、HKLM\BCD。
7. AcidRain
1 AcidRain简介
美国网络安全公司SentinelLabs于3月31日发布题为《AcidRain | A Modem Wiper Rains Down on Europe》的报告。报告称美国卫星通信提供商Viasat于2月底遭受的网络攻击可能源于名为“酸雨”的恶意擦除软件。
SentinelLabs表示“酸雨”可能是专门为针对乌克兰的行动而开发的用于破坏调制解调器和路由器该软件通过使用KA-SAT管理机制被部署在调制解调器和路由器上随后会对设备文件系统进行深度擦除完成擦除后会重新启动设备导致设备无法启用“酸雨”功能相对简单并且会进行暴力尝试这意味着攻击者可能不熟悉目标固件的详情或希望该工具保持通用性和复用性“酸雨”和恶意软件VPNFilter存在相似之处后者被认为与俄罗斯黑客组织“奇幻熊”和“沙虫”存在关联。
2 AcidRain分析
该软件于3月15日由一名意大利用户以“ukrop”为名将“酸雨”上传到VirusTotal后。研究人员称“ukrop”可能是“乌克兰行动”Ukraine operation的缩写。
SentinelOne认为“威胁行为者在供应链攻击中使用KA-SAT管理机制来推动为调制解调器和路由器设计的擦除软件。这种设备的擦除软件会覆盖调制解调器闪存中的关键数据使其无法操作并需要重新刷新或更换。”
被部署后“酸雨”会遍览受感染的路由器或调制解调器的整个文件系统。它还使用所有可能的设备标识符擦除闪存、SD/MMC卡和可以找到的任何虚拟块设备。为了破坏受感染设备上的数据“酸雨”使用最多0x40000字节的数据覆盖文件内容或使用MEMGETINFO、MEMUNLOCK、MEMERASE和MEMWRITEOOB输入/输出控制IOCTL系统调用。在数据擦除过程完成后该恶意软件会重新启动设备使其无法使用。 8. RURansom
1RURansom简介
RURansom是针对俄罗斯进行的数据擦除软件该软件使用.NET编写以蠕虫病毒的形式传播并且会在目标机器上对文件进行不可逆的加密从而造成数据擦除。同时在一些版本的代码当中会检查当前IP是否处于俄罗斯从而进行攻击。 2RURansom分析
地理位置识别
恶意软件 RURansom 追踪受害者设备的 IP 位置并且只有在检测到属于俄罗斯的 IP 时才会执行。为了识别 IP 地址这个恶意软件使用了两个 api分别是https://api.ipify.org 和https://ip-api.com这两个接口都在其代码中硬编码。 权限提升
在识别出设备的地理位置之后恶意软件会进一步检查被感染机器中的 Administrator 权限。 如果恶意软件没有管理员特权它会尝试使用下面的 PowerShell 命令在升级模式下执行自身。
cmd.exe /c powershell stART-PRoceSS Assembly.GetExecutingAssembly().Location -veRB rUnAS连接驱动器的发现
RURansom 恶意软件扫描受害者系统中的驱动器包括可移动驱动器和连接到受害者机器的网络驱动器。 加密和删除
在扫描驱动器之后恶意软件会对受害者电脑中已识别目录和子目录中的所有文件进行加密。为了防止从备份文件中恢复已加密的数据恶意软件还会删除被感染的电脑中的 .bak 文件。 该恶意软件使用AES-CBC 加密算法来加密受害者机器中的文件 文件加密使用随机生成的 AES 密钥。密钥是使用诸如 FullScaleCyberInvasion、 RU_Ransom 和2022这样的硬编码字符串以及受害者的机器名和用户名计算出来的。 勒索信
RURansom 恶意软件置入了一个名为Полномасштабное_кибервторжение.txt(Full-blown_cyber-invasion.txt)的勒索信文件。该说明是用俄文写的放在文件加密的所有目录中。
传播机制
该恶意软件将自身重命名为Россия-Украина_Война-Обновление.doc.exe (Russia-Ukraine_War-Update.doc.exe) 并传播到所有连接的系统。
