美国油气管道运营商勒索攻击分析

颁布功夫 2021-05-12

事务布景

2021年5月7日，全美最大油气输送管道运营商Colonial Pipeline遭到勒索软件定向攻击，这次勒索攻击由于涉及到国度级关键基础设施，故而引起了全球的震荡和宽泛关注。。攻击事务一方面造成美东油气欠缺以及国际原油期货价值的大幅颠簸，给疫情下的全球经济复苏带来恶劣影响；；；另一方面，“美国进入垂危状态”的有关新闻再三发酵并冲勺嫦妊，也在公共群体内引起肯定水平的发急忧郁。。不外，事实上该垂危状态是5月9日美邦交通运输部联邦汽车运输安全治理局（FMCSA）颁布的区域垂危状态申明，以便豁免使用汽车运输油料的方式（先前划定只能通过管道运输），且垂危状态限于受到断油影响的美国三个区域（涉及17个州）。。


在遭逢攻击后，油气输送管道运营商Colonial Pipeline被迫暂停了其美国东岸的关键输送业务。。这次事务充分露出出关键基础设施系统网络安防的脆弱性，也被视为对美国白宫的搬弄——而就在2021年4月下旬，拜登当局才刚刚出台了一项提振能源供给系统网络安全的“百日打算”。。由于Colonial Pipeline每天通过其5500英里的管道输送250万桶石油，占东海岸所有燃料亏损的45％，以至美国东海岸的天然气和柴油供给受到了严重影响。。


1.jpg

图1：：Colonial Pipeline输油管线


目前据多家美媒报道以及美联邦调查局（FBI）的证实，这次攻击的幕后黑手确以为DarkSide勒索团伙，FBI称还在持续与Colonial Pipeline以及当局合作同伴发展进一步的调查。。


2.jpg

图2：：FBI证实DarkSide勒索团伙是幕后黑手


在事务不休发酵的过程时，DarkSide终于5月10日颁布了最新申明，撇清自已与政治成分的关联。。其暗示该组织的指标是“赢利”，而并非给社会“制作麻烦”。。结合其以往的攻击活动汗青，能够初步认定这次攻击为经济犯罪活动，而非地缘政治成分的攻击事务。。目前已知该组织窃取了Colonial Pipeline公司100GB的内部数据，而事务涉及的具体攻击细节和样本暂未公开。。OG东方厅ADLab凭据关联谍报数据，针对DarkSide勒索团伙的汗青活动、、技术伎俩以及最新样本进行追踪分析，并对这次攻击事务进行钻研和复盘。。


3.jpg

图3：：DarkSide颁布申明


勒索组织分析


DarkSide初次呈此刻2020年8月，是一支极度�；；钤镜男滦死账魍呕�。。该组织在其暗网官网中宣称：：他们只会针对大型有利可图的公司，并且将部门收到的赎金捐给慈悲机构。。除此之外，他们还会预防攻击以下指标，蕴含殡葬服务行业、、医药行业（仅限于医院、、姑息医治组织、、疗养院以及一些参加新冠疫苗分配和研发的公司）、、教育行业、、非投机组织以及当部门门。。但若是受害者回绝付款，他们将会把受害者的所罕见据公开并且将受害者增长到官网颁布的受害公司列表，“杀一儆百”。。


4.jpg

图4：：DarkSide公开的部门受害者数据


● 汗青活动


DarkSide勒索软件团伙在近一年的功夫里发展极度频仍的勒索攻击，此前该组织的部门私钥泄露使得部门老版本病毒加密的文件可能得以解密。。


5.png

图5：：DarkSide解密工具


在我们统计了该组织自2020年8月起在暗网泄露的受害者组织名单。�？？Ｄ芄豢闯觯猛呕镌诖忧耙丫中ㄏ蚬セ髁舜罅科笠担毯痉ā�、电子、、IT服务、、构筑、、商务、、能源等行业。。


6.jpg

 图6：：DarkSide团伙泄露的受害者名单


DarkSide的攻击活动自2020年8月起头逐步递增，在今年2月达到顶峰，而在今年5月7日攻击Colonial Pipeline后，由于引起了巨大的轰动和FBI等调查机构的关注，该组织近期未再持续发起勒索攻击。。


7.png

图7：：受害组织数量（凭据DarkSide泄露信息统计，单元：：月）


有关受害组织重要散布在美国、、德国、、英国、、加拿大、、法国等欧美国度，其中美国的受害者占比高达64.37%。。


8.jpg

图8：：受害组织所属国度散布（凭据DarkSide泄露信息统计）


● 技术分析


（1）技术特点分析

通过对网络到的DarkSide家族的IOC进行分析和整顿，我们从中提取到15个暗网URL地址，见IOC部门。。该勒索软件会自界说加密文件的图标，早期版本ico图标文件会被开释到%LOCALAPPDATA%目录下，新版本开释到%ALLUSERSPROFILE%目录下。。图标文件名称是被习染机械的MachineGuid经过Crc32处置后的了局，同时这个了局也作为被勒索软件加密后的文件名后缀。。目前网络到所有ICO图标文件的HASH均为：：4f57d54d01ccbdaf3ebfac3ec0ac3fd7。。ICO图标如下图所示：：


 9.png

图9：：ICO图标


DarkSide勒索软件运行之后，会解密RSA-1024的公钥信息和配相信息到内存中。。公钥信息蕴含RSA-1024用到的e和n，配置文件蕴含其在加密受害用户文件前必要排除的文件后缀名、、文件蹊径、、必要杀死的系统过程、、服务以及CC地址等有关信息。。


此外，勒索病毒会通过动态挪用GetUserDefaultLangID和GetUserDefaultUILanguage函数判断系统说话。。排除系统说话为俄语的国度。。


10.jpg

图10：：检测系统说话


（2）解密配置文件

勒索软件在加密受害用户文件之前会解密其配相信息到内存中。。这些配相信息蕴含加密Salas20密钥时用到的RSA-1024公钥信息（蕴含e和n）、、CC地址以及勒索配置有关的其他信息。。

勒索软件会加密除以下后缀名之外的其他后缀文件：：


11.png

图11：：排除文件后缀名


同时，配置文件中也列出了其加密用户文件时，排除的文件名称和文件蹊径。。下表是勒索软件不加密的文件名称:


12.jpg


勒索软件不加密如下文件蹊径:


13.jpg


勒索软件会查抄受害者主机是否存在以下过程，若是存在就杀死指标过程（预防加密文件被占用，导致加密失败）：：


14.jpg


同时勒索软件不会杀死如下过程，预防系统死机导致文件加密中断:



15.jpg


勒索软件会尝试杀死以下系统服务，预防有关的文件被占用而导致加密失败：：


16.jpg


此外，解密的C2地址如下，勒索软件会将网络到的习染主机设备敏感信息回传到其C&C服务器地址。。


17.jpg


（3）勒索加密算法

相较于使用尺度的Salsa20密钥矩阵体式，勒索软件选择使用自界说的Salsa20密钥矩阵对受害用户文件进行加密。。下图为勒索软件随机天生的Salsa20矩阵密钥：：


18.png

图12：：Salsa20密钥


勒索软件使用RSA-1024算法对Salsa20的密钥矩阵进行加密，将加密后的密文存储在加密文件的末尾。。下图是勒索软件使用的RSA1024的公钥信息(e,n)：：


19.png

图13：：RSA公钥


● 复盘和思虑


从本次勒索事务来看，这是一次非政治成分引起，但涉及关键基础设施安全隐患的重大攻击事务。。我们从本次攻击事务能够引出几个方面的思虑：：


首先，这次攻击露出出美国关键基础设执行业的网络脆弱性，已有的基建系统底子无法应对突发的网络攻击。。此攻击事务为基建行业的安全保险敲响了警钟，有关基建企业和当部门门必要加强网络安全防护并且维持高度警惕。。


其次，勒索攻击已经出现出逐步向定向攻击发展的新趋向。。从近年的勒索攻击事务来看，勒索团伙的攻击大局已经从从前蠕虫式传布，及广撒网式的攻击逐步转向定向化、、高效化的攻击发展，黑客们左袒于利用渗入攻击的伎俩进入重要实体的内部网络植入勒索病毒；；；这种以勒索指标价值为导向的高度定向攻击已经和APT攻击无异，APT的攻击伎俩皆有可能成为勒索病毒入侵的入口。。


最后，这次攻击事务导致美国东部重要的油气管道关闭并且使美国进入垂危状态，再此证了然基建设施对一个国度的重要性。。网络空间已经成为继陆、、�！ ！�、空、、天之后的第五大主权领域空间，各个国度间的网络攻防匹敌愈演愈烈；；；基建设施作为网络安全的幽微环节，已经成为国度间网络攻防博弈的强烈战�。。丶∩枋┥婕澳茉础�、通讯、、金融、、交通、、公共事业等重要行业运行的信息系统或工业节制系统，此类系统一旦产生遭到网络攻击，会对国度政治、、经济、、科技、、人民性命财富等造成重大损失，保障关键基础设施网络安全尤为重要。。


20.png

 图14：：近年来针对关键基础设施安全的勒索攻击事务


在面对此类安全威胁时，全面的防御系统至关重要。。以这次攻击为例，Colonial Pipeline在部门系统受到勒索攻击时必要被迫关停其它业务系统，注明其短缺有效的防护措施，且很可能未将主题网络进行安全隔离和数据备份，这也给有关行业以重要警示。。企业必要做功德前预防、、事中节制、、过后措置的全面筹备，只有构建整系统防御系统和美满的应急响应机制，能力更好的应对各类频发的网络攻击。。


● 防护建议


1.针对主题业务系统做好数据备份与苦难复原规划（3-2-1规定）

（1）至少筹备三种副本；；；

（2）两种分歧保留大局：：进行多存储类型保留，如服务器、、移动硬盘、、云端、、光盘等；；；

（3）至少一份异地备份（脱机）：：预防勒索病毒将联机的备份系统加密。。

2.提高安全意识，不重点击起源不明的邮件以及附件。。

3.定期查抄操作系统和软件缝隙，实时更新安全补丁。。

4.定期更换登陆口令，预防空口令或弱口令。。

5.如无必要，尽可能不将产品直接露出在互联网中，如必须联网应将设备衔接至防火墙、、IDS、、IPS等安全设备以加强防护。。

6.加强网络天堑入侵防备和治理，关闭非必要网络服务和端口，如445、、135、、139、、3389、、5900。。

7.针对主题业务系统进行安全隔离


● IOC


C2：：

catsdegree[.]com

securebestapp20[.]com

temisleyes[.]com


 ICO图标文件MD5：：

4f57d54d01ccbdaf3ebfac3ec0ac3fd7


勒索URL地址：：

http://darksidfqzcuhtk2.onion/2AHUVJ3VGS97NUG5J5EYMQM5PJO77V9V0GDT3UYIJGFZUTOQRLUX593CQ2EZ2ZEH

http://darksidfqzcuhtk2.onion/3NQA47J490NLKJVB1FI43HHCEJO62CE3E440J4H4K564VRQ8AFONVJQOM8158NR3

http://darksidfqzcuhtk2.onion/45FYQLKAX0QTR144EDUI3VOVH2B3SQ0TZM0G7MXX3YUGDSA3AZA9XNNTCMD1H4CN

http://darksidfqzcuhtk2.onion/61XCW6PKCUTDV5AZD8WK1JWU84BJBWSI25DGLKZ6O6STDBITLAFAH3X1MSRQGRBS

http://darksidfqzcuhtk2.onion/B69Q1UI7FTR7GBNM08Y61RV3YKYIE62POYGBVE93EYFTPQZLWTXR4X7ZHS3U24ZJ

http://darksidfqzcuhtk2.onion/DZYNTXY9RP5P8DQ96EFKV2YTOVAMA3VVHL5V0RASUBLBWZGLG51U4LOOBSHV9R0Y

http://darksidfqzcuhtk2.onion/FNKSGXL6YM3ZOHUB9WRBMPZDFXUG0DSF5M61SMYGU4V8R8OOJ6AKQ2VF4BGHSE1O

http://darksidfqzcuhtk2.onion/GM0CG8TNZ83ZPUD15TL76BLDCG0ST24TR6NXG1J2AVXSKF8KS4KFIIN2ON5GRWD4

http://darksidfqzcuhtk2.onion/K71D6P88YTX04R3ISCJZHMD5IYV55V9247QHJY0HJYUXX68H2P05XPRIR5SP2U68

http://darksidfqzcuhtk2.onion/KB0LXKYKN6E96Z7RFYWCEI6NM03TX93VZCL5EDA4IVPXUIQQZBG2ZEG269ZIFSFM

http://darksidfqzcuhtk2.onion/O7ADVDV5LR24AMM1KAYU5IJO4MMIBYA22RXI2K2EPNIAKZGNHUZNT933I6WBWPTN

http://darksidfqzcuhtk2.onion/OBB5DDMR8RB9DI2RYYF376YGBJAV2J4F2NXFEWPBSXY709MAA0MY7PMBBQJ0HVG3

http://darksidfqzcuhtk2.onion/SN8W532EY9MVOD09H4HBVZ1RI9RS4AATPO11NCDX0JKZ7GAPU6K6CV3CVLSS2NMH

http://darksidfqzcuhtk2.onion/VGBU8VAXXW7EYB5U4KQJXUGU5NT5FP8208W6UXVSKQDAE3CNBR4JTZQCXEZFZWF2

http://dark24zz36xm4y2phwe7yvnkkkkhxionhfrwp67awpb3r3bdcneivoqd.onion/0UGH4S3ASFAVY4P2TQZ6VNB0U65Y731LJ5SNZXC1AHEZFFY1JCIJV6PVHV0R0V2C


样本SHA256:

022d2c08a0980d3b12d311a9272d4c767226b635e94814cccb3fb92e6663bbf1

0298198a359602e6e1cb794daa26e604796372ad18e75e62e3782c0a80c59515

17139a10fd226d01738fe9323918614aa913b2a50e1a516e95cced93fa151c61

1ef8db7e8bd3aaba8b1cef96cd52fde587871571b1719c5d40f9a9c98dd26f84

27214dcb04310040c38f8d6a65fe03c14b18d4171390da271855fdd02e06768f

3061fc5b71dfb36798af5a5934733ef431f94c8477c7f34410b1f5f37a1a62e9

3dabd40d564cf8a8163432abc38768b0a7d45f0fc1970d802dc33b9109feb6a6

43e61519be440115eeaa3738a0e4aa4bb3c8ac5f9bdfce1a896db17a374eb8aa

4bdf20303b614b7035b01ac96177f0a631c798a4237fc978cd5bcfc4969bb2d2

508dd6f7ed6c143cf5e1ed6a4051dd8ee7b5bf4b7f55e0704d21ba785f2d5add

533672da9d276012ebab3ce9f4cd09a7f537f65c6e4b63d43f0c1697e2f5e48d

665afa26d6110bb35ec8a60878068a0e69e1c805d9073bef71a48a3404c164e9

68872cc22fbdf0c2f69c32ac878ba9a7b7cf61fe5dd0e3da200131b8b23438e7

691515a485b0b3989fb71c6807e640eeec1a0e30d90500db6414035d942f70a5

8cfd28911878af048fb96b6cc0b9da770542576d5c2b20b193c3cfc4bde4d3bc

9cee5522a7ca2bfca7cd3d9daba23e9a30deb6205f56c12045839075f7627297

ac092962654b46a670b030026d07f5b8161cecd2abd6eece52b7892965aa521b

ad4c5f91571cbc62923d2484f871a1600e97a694ec96eaf748fe08a7259d94fc

adcb912694b1abcdf9c467b5d47abe7590b590777b88045d10992d34a27aa06e

bac2149254f5ce314bab830f574e16c9d67e81985329619841431034c31646e0

c3e0c14cd901265dd0468b025edef94423d4432adabe0a85b497a9cd105b1ee2

d0e685ddcdcd135d0165d7d93db78c70f8c351800f6d3e89eb536d2cca0c7049

ec368752c2cf3b23efbfa5705f9e582fc9d6766435a7b8eea8ef045082c6fbce

f42bcc81c05e8944649958f8b9296c5523d1eb8ab00842d66530702e476561ef

f764c49daffdacafa94aaece1d5094e0fac794639758e673440329b02c0fda39


OG东方厅积极防御尝试室（ADLab）


ADLab成立于1999年，是中国安全行业最早成立的攻防技术钻研尝试室之一，微软MAPP打算主题成员，“黑雀攻击”概念首推者。。截止目前，ADLab已通过CVE累计颁布安全缝隙近1100个，通过 CNVD/CNNVD累计颁布安全缝隙1000余个，持续维持国际网络安全领域一流水准。。尝试室钻研方向涵盖操作系统与利用系统安全钻研、、智能终端安全钻研、、物联网智能设备安全钻研、、Web安全钻研、、工控系统安全钻研、、云安全钻研。。钻研成就利用于产品主题技术钻研、、国度重点科技项目攻关、、专业安全服务等。。


adlab.jpg