Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
UCCU Monthly Talk: Ransomware
Search
NotSurprised
September 30, 2018
Research
0
99
UCCU Monthly Talk: Ransomware
Attack & Defend between Black hat & White hat. Characteristic ransomware families.
NotSurprised
September 30, 2018
Tweet
Share
More Decks by NotSurprised
See All by NotSurprised
iThome2024 Wailing Wall of Enterprise Security
notsurprised
0
380
NSYSU ISC 2021 Internet Of Things
notsurprised
0
86
IRCON2021-Mediatek-ActiveDirectory-Hardening
notsurprised
0
100
iThome2021 Its Okay to be Old Driver
notsurprised
1
710
Xmas2020-Its-Okay-to-be-Old-Driver
notsurprised
1
240
NCU2020 Information Security 101
notsurprised
0
84
iThome CyberSec2020-Chaos Of Vehicle Communications
notsurprised
3
690
Becks.io#5 Get start to Old Driver in Windows Kernel
notsurprised
2
1.2k
MOPCON2019 Chaos of Vehicle Communications
notsurprised
1
410
Other Decks in Research
See All in Research
LLMとの共同執筆は文章の多様性を減らすか?
kuri8ive
4
780
外積やロドリゲスの回転公式を利用した点群の回転
kentaitakura
1
250
Online Nonstationary and Nonlinear Bandits with Recursive Weighted Gaussian Process
monochromegane
0
170
Weekly AI Agents News! 5月号 プロダクト/ニュースのアーカイブ
masatoto
0
110
大規模言語モデル (LLM) の技術と最新動向
ikuyamada
30
18k
Embers of Autoregression: Understanding Large Language Models Through the Problem They are Trained to Solve
eumesy
PRO
6
940
MIRU2024_招待講演_RALF_in_CVPR2024
udonda
1
310
スモールデータ勉強会発表資料
natsutan
0
550
"多様な推薦"はユーザーの目にどう映るか
kuri8ive
3
340
SNLP2024:Planning Like Human: A Dual-process Framework for Dialogue Planning
yukizenimoto
1
240
Weekly AI Agents News! 6月号 論文のアーカイブ
masatoto
1
120
RCEへの近道
kawakatz
1
730
Featured
See All Featured
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
34
1.9k
GraphQLの誤解/rethinking-graphql
sonatard
65
9.7k
Documentation Writing (for coders)
carmenintech
65
4.3k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
325
21k
Speed Design
sergeychernyshev
18
400
How To Stay Up To Date on Web Technology
chriscoyier
785
250k
Ruby is Unlike a Banana
tanoku
96
10k
How to Create Impact in a Changing Tech Landscape [PerfNow 2023]
tammyeverts
42
2k
Done Done
chrislema
180
16k
Building a Scalable Design System with Sketch
lauravandoore
458
32k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
122
18k
Adopting Sorbet at Scale
ufuk
72
8.9k
Transcript
NotSurprised @ UCCU
[email protected]
> NotSurprised • ITRI engineer • UCCU hacker • 中山資管五年學碩士
Email :
[email protected]
> • Background • Attack & Defend • Families •
Attack Flow
> • Rasomware = rasom + ware Hardware↓ Software↓
> • 2013末開始活動的CryptoLocker在遭瓦解以前取得估計約三百萬美 元的贖金。 • 2014年開始的CryptoWall,被美國聯邦調查局估計在2015年6月以 前獲得超過一百八十萬美元的贖金。 • 根據FBI在2016年八月的保守估計指出,2016年前半年中,全球勒索 軟體造成的總損失約超過十億美元。
• 2016年所發現的勒索軟體的變種數量相較2015年提升了30倍,趨勢 科技則預估2017年會有勒索軟體的數量還會再上升25個百分比。 • Spam、Botnet、ExploitKits為勒索軟體散布主要途徑。2016年臺 灣的資安威脅當中,勒索軟體橫據前十大。2015年度臺灣面臨垃圾 郵件嚴重性亦是全球第三名,殭屍網路受害度是全球第三名。
> • 罪犯們過往所使用的收益來源開始減少而須發展新的業務。 Payment Card Price Single credit card $0.5
- $30 Single credit card with full details(Fullz) $20 - $60 Dump ofmagnetic strip track 1&2&PIN $60 - $100 Malware Price Basic banking Trojan kit with support $100 Password stealing Trojan $25 - $100 Android banking Trojan $200 Office macro downloader generator $5 Malware crypter service(make hard to detect) $20 - $40 Ransomware kit $10 - $1800
> • 以加密受害者檔案進而向受害者取材的「加密型勒 索軟體」因為可以從大眾取財而從2015年逐漸興起。 • Ransomware As A Service(RaaS) –
FreeBuilder(抽成) – Buy&OwnIt(買斷) • 促使勒索軟體成型技術 – 加密 – TOR 網路 – 虛擬貨幣
> source: 賽門鐵克22期資安威脅報告
>
> 感染 執行 回傳密鑰 加密 勒索 解密 1. 2. 3.
4. 5. 6.
None
>
> https://nakedsecurity.sophos.com/
> source: arstechnica
None
None
> HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Windows\CurrentVersion\RunServices HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
None
> • Domain Generation Algorithms source: TBA
> • Domain Generation Algorithms source: TBA
None
None
> • before
> • before
>
>
None
> FileType Entropy bmp 6.788300 csv 4.697166 doc 7.259363 exe
5.613385 flv 7.554590 gif 7.911703 jpg 7.798882 mdb 2.441063 mp3 7.151258 mp4 7.939008 mpg 6.128895 pdf 7.697560 png 7.966582 pptx 7.934213 txt 4.438976 wmv 7.882758 xls 5.240721
> FileType 與原檔相比最低增長百分比 bmp 5.69693 csv 54.69678 doc 14.44780 exe
18.63822 flv 0.98877 gif 0.06082 jpg 0.95870 mdb 477.10130 mp3 2.10027 mp4 1.79505 mpg 0.11939 pdf 0.42120 png 0.14043 pptx 0.06016 txt 65.68895 wmv 0.82240 xls 91.89547
None
None
>
> source: TBA
──
> 非用Android平台之瀏覽器的訪問會被阻卻 source: bitdefender
> 來自Android平台訪問將到向新頁並自動下載 source: bitdefender
> 安裝並請求權限。 這必須靠社交工程,但 是Reveton假冒警察的 經驗可謂豐富。 source: bitdefender
> 重開機會自行啟動 或受害者自動點擊App 則啟動。 註: 右上為法國昔任總統Hollande source: bitdefender
> • 鎖定31國並因地制宜。 source: bitdefender
> • 鎖定31國並因地制宜。 source: bitdefender
> • 鎖定31國並因地制宜。 source: bitdefender
──
> 威脅將資料公開 source: trendmicro
> 加入我們的共犯結構,有50%抽成喔~ source: trendmicro
> 加入我們的共犯結構,有50%抽成喔~
──
首發先例提供顧客諮詢服務的TeslaCrypt • Customer Service 先送試用包 > source: fireeye
> • Customer Service 後續請購買完整版 source: fireeye
> • Customer Service 後續請購買完整版 source: fireeye
> • Customer Service 客服中心-您的解密好朋友 source: fireeye
> • Customer Service 客服中心-您的解密好朋友 回應嗆聲: source: fireeye
> • Customer Service 客服中心-您的解密好朋友 討價還價: source: fireeye
> • Customer Service 客服中心-您的解密好朋友 售後服務: 被洗臉: source: fireeye
> Tesla的殞落 • 在Tor付款網站上認錯道歉公開金鑰並宣稱關閉專案。 source: threadpost
> • ESET已經取得這個解密金鑰,並且釋出了解密工具。 source: threadpost
( ) ──
> source: wubingdu
> source: malwarebytes
> source: malwarebytes
> Exploit Kits • RIG-v EK • RIG EK (standard)
• RIG-E (Empire Pack) • Sundown EK • Bizarro Sundown EK • Magnitude EK • Neutrino-v EK
──
>
──
> • 木馬在網絡上設置了一個開關,當本地計算機能夠成功訪問 http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com時,退出 進程,不再進行傳播感染。
> • Microsoft Server Message Block 1.0 (SMBv1) server handles
certain requests • tcp port 445 • srvnet在接收包的時候就會在a1字節後存放0xffdff000指 標,而0xffdff000這個地址存入客戶端發送來的資料。 • srv.sys 在處理 SrvOs2FeaListSizeToNt 的時候邏輯不正 確導致複製貼上越界覆蓋,造成可執行shellcode。 unsigned int __fastcall SrvOs2FeaListSizeToNt(int pOs2Fea) { …… Length = *(_DWORD *)pOs2Fea; …… *(_WORD *)pOs2Fea = pBody - pOs2Fea; …… }
──
> • USB Worm
>
None
None
>
> • 加殼技術: – 一種對EXE檔案的數據壓縮及加密保護,可自我解壓檔案,並能隱藏解壓 進程。 • 混淆技術: – 將程式的代碼,轉換成一種功能上等價,但是難於閱讀和理解的形式。
• 2006年時就有80%~90%的惡意軟體使用加殼技術,其中50%使用 大眾技術或舊加殼,但相信現在這比率更高。使用Entropy、 Signature、 PE header偵測加殼等方式皆有缺陷。防毒軟體對於任 何新出的加殼技術防禦能力較低。 • 混淆是所有良性軟體開發者與惡意軟體開發者的基本要求,一定程度 的混淆能減少開發技術被解譯拷貝竊取。
> 加殼技術 混淆技術
>
None
>
>
>
>
None