Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
UCCU Monthly Talk: Ransomware
Search
NotSurprised
September 30, 2018
Research
0
100
UCCU Monthly Talk: Ransomware
Attack & Defend between Black hat & White hat. Characteristic ransomware families.
NotSurprised
September 30, 2018
Tweet
Share
More Decks by NotSurprised
See All by NotSurprised
iThome2024 Wailing Wall of Enterprise Security
notsurprised
0
380
NSYSU ISC 2021 Internet Of Things
notsurprised
0
86
IRCON2021-Mediatek-ActiveDirectory-Hardening
notsurprised
0
110
iThome2021 Its Okay to be Old Driver
notsurprised
1
720
Xmas2020-Its-Okay-to-be-Old-Driver
notsurprised
1
240
NCU2020 Information Security 101
notsurprised
0
85
iThome CyberSec2020-Chaos Of Vehicle Communications
notsurprised
3
700
Becks.io#5 Get start to Old Driver in Windows Kernel
notsurprised
2
1.3k
MOPCON2019 Chaos of Vehicle Communications
notsurprised
1
410
Other Decks in Research
See All in Research
SSII2024 [OS2] 大規模言語モデルとVision & Languageのこれから
ssii
PRO
5
1.4k
CVPR2024論文紹介:Segmentation
hinako0123
0
130
Online Nonstationary and Nonlinear Bandits with Recursive Weighted Gaussian Process
monochromegane
0
220
Weekly AI Agents News! 8月号 論文のアーカイブ
masatoto
1
120
3次元点群の分類における評価指標について
kentaitakura
0
190
出生抑制策と少子化
morimasao16
0
410
LINEチャットボット「全力肯定彼氏くん(LuC4)」の 1年を振り返る
o_ob
0
2.2k
クラウドソーシングによる学習データ作成と品質管理(セキュリティキャンプ2024全国大会D2講義資料)
takumi1001
0
200
SSII2024 [OS1] 画像認識におけるモデル・データの共進化
ssii
PRO
0
490
湯村研究室の紹介2024 / yumulab2024
yumulab
0
160
[2024.08.30] Gemma-Ko, 오픈 언어모델에 한국어 입히기 @ 머신러닝부트캠프2024
beomi
0
580
ニューラルネットワークの損失地形
joisino
PRO
32
13k
Featured
See All Featured
GraphQLとの向き合い方2022年版
quramy
43
13k
How to name files
jennybc
77
99k
It's Worth the Effort
3n
183
27k
From Idea to $5000 a Month in 5 Months
shpigford
381
46k
10 Git Anti Patterns You Should be Aware of
lemiorhan
653
59k
YesSQL, Process and Tooling at Scale
rocio
167
14k
The Myth of the Modular Monolith - Day 2 Keynote - Rails World 2024
eileencodes
10
1.4k
How STYLIGHT went responsive
nonsquared
95
5.1k
Fight the Zombie Pattern Library - RWD Summit 2016
marcelosomers
231
17k
What's in a price? How to price your products and services
michaelherold
243
11k
No one is an island. Learnings from fostering a developers community.
thoeni
19
2.9k
[RailsConf 2023] Rails as a piece of cake
palkan
49
4.7k
Transcript
NotSurprised @ UCCU
[email protected]
> NotSurprised • ITRI engineer • UCCU hacker • 中山資管五年學碩士
Email :
[email protected]
> • Background • Attack & Defend • Families •
Attack Flow
> • Rasomware = rasom + ware Hardware↓ Software↓
> • 2013末開始活動的CryptoLocker在遭瓦解以前取得估計約三百萬美 元的贖金。 • 2014年開始的CryptoWall,被美國聯邦調查局估計在2015年6月以 前獲得超過一百八十萬美元的贖金。 • 根據FBI在2016年八月的保守估計指出,2016年前半年中,全球勒索 軟體造成的總損失約超過十億美元。
• 2016年所發現的勒索軟體的變種數量相較2015年提升了30倍,趨勢 科技則預估2017年會有勒索軟體的數量還會再上升25個百分比。 • Spam、Botnet、ExploitKits為勒索軟體散布主要途徑。2016年臺 灣的資安威脅當中,勒索軟體橫據前十大。2015年度臺灣面臨垃圾 郵件嚴重性亦是全球第三名,殭屍網路受害度是全球第三名。
> • 罪犯們過往所使用的收益來源開始減少而須發展新的業務。 Payment Card Price Single credit card $0.5
- $30 Single credit card with full details(Fullz) $20 - $60 Dump ofmagnetic strip track 1&2&PIN $60 - $100 Malware Price Basic banking Trojan kit with support $100 Password stealing Trojan $25 - $100 Android banking Trojan $200 Office macro downloader generator $5 Malware crypter service(make hard to detect) $20 - $40 Ransomware kit $10 - $1800
> • 以加密受害者檔案進而向受害者取材的「加密型勒 索軟體」因為可以從大眾取財而從2015年逐漸興起。 • Ransomware As A Service(RaaS) –
FreeBuilder(抽成) – Buy&OwnIt(買斷) • 促使勒索軟體成型技術 – 加密 – TOR 網路 – 虛擬貨幣
> source: 賽門鐵克22期資安威脅報告
>
> 感染 執行 回傳密鑰 加密 勒索 解密 1. 2. 3.
4. 5. 6.
None
>
> https://nakedsecurity.sophos.com/
> source: arstechnica
None
None
> HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\SOFTWARE\Windows\CurrentVersion\RunServices HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
None
> • Domain Generation Algorithms source: TBA
> • Domain Generation Algorithms source: TBA
None
None
> • before
> • before
>
>
None
> FileType Entropy bmp 6.788300 csv 4.697166 doc 7.259363 exe
5.613385 flv 7.554590 gif 7.911703 jpg 7.798882 mdb 2.441063 mp3 7.151258 mp4 7.939008 mpg 6.128895 pdf 7.697560 png 7.966582 pptx 7.934213 txt 4.438976 wmv 7.882758 xls 5.240721
> FileType 與原檔相比最低增長百分比 bmp 5.69693 csv 54.69678 doc 14.44780 exe
18.63822 flv 0.98877 gif 0.06082 jpg 0.95870 mdb 477.10130 mp3 2.10027 mp4 1.79505 mpg 0.11939 pdf 0.42120 png 0.14043 pptx 0.06016 txt 65.68895 wmv 0.82240 xls 91.89547
None
None
>
> source: TBA
──
> 非用Android平台之瀏覽器的訪問會被阻卻 source: bitdefender
> 來自Android平台訪問將到向新頁並自動下載 source: bitdefender
> 安裝並請求權限。 這必須靠社交工程,但 是Reveton假冒警察的 經驗可謂豐富。 source: bitdefender
> 重開機會自行啟動 或受害者自動點擊App 則啟動。 註: 右上為法國昔任總統Hollande source: bitdefender
> • 鎖定31國並因地制宜。 source: bitdefender
> • 鎖定31國並因地制宜。 source: bitdefender
> • 鎖定31國並因地制宜。 source: bitdefender
──
> 威脅將資料公開 source: trendmicro
> 加入我們的共犯結構,有50%抽成喔~ source: trendmicro
> 加入我們的共犯結構,有50%抽成喔~
──
首發先例提供顧客諮詢服務的TeslaCrypt • Customer Service 先送試用包 > source: fireeye
> • Customer Service 後續請購買完整版 source: fireeye
> • Customer Service 後續請購買完整版 source: fireeye
> • Customer Service 客服中心-您的解密好朋友 source: fireeye
> • Customer Service 客服中心-您的解密好朋友 回應嗆聲: source: fireeye
> • Customer Service 客服中心-您的解密好朋友 討價還價: source: fireeye
> • Customer Service 客服中心-您的解密好朋友 售後服務: 被洗臉: source: fireeye
> Tesla的殞落 • 在Tor付款網站上認錯道歉公開金鑰並宣稱關閉專案。 source: threadpost
> • ESET已經取得這個解密金鑰,並且釋出了解密工具。 source: threadpost
( ) ──
> source: wubingdu
> source: malwarebytes
> source: malwarebytes
> Exploit Kits • RIG-v EK • RIG EK (standard)
• RIG-E (Empire Pack) • Sundown EK • Bizarro Sundown EK • Magnitude EK • Neutrino-v EK
──
>
──
> • 木馬在網絡上設置了一個開關,當本地計算機能夠成功訪問 http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com時,退出 進程,不再進行傳播感染。
> • Microsoft Server Message Block 1.0 (SMBv1) server handles
certain requests • tcp port 445 • srvnet在接收包的時候就會在a1字節後存放0xffdff000指 標,而0xffdff000這個地址存入客戶端發送來的資料。 • srv.sys 在處理 SrvOs2FeaListSizeToNt 的時候邏輯不正 確導致複製貼上越界覆蓋,造成可執行shellcode。 unsigned int __fastcall SrvOs2FeaListSizeToNt(int pOs2Fea) { …… Length = *(_DWORD *)pOs2Fea; …… *(_WORD *)pOs2Fea = pBody - pOs2Fea; …… }
──
> • USB Worm
>
None
None
>
> • 加殼技術: – 一種對EXE檔案的數據壓縮及加密保護,可自我解壓檔案,並能隱藏解壓 進程。 • 混淆技術: – 將程式的代碼,轉換成一種功能上等價,但是難於閱讀和理解的形式。
• 2006年時就有80%~90%的惡意軟體使用加殼技術,其中50%使用 大眾技術或舊加殼,但相信現在這比率更高。使用Entropy、 Signature、 PE header偵測加殼等方式皆有缺陷。防毒軟體對於任 何新出的加殼技術防禦能力較低。 • 混淆是所有良性軟體開發者與惡意軟體開發者的基本要求,一定程度 的混淆能減少開發技術被解譯拷貝竊取。
> 加殼技術 混淆技術
>
None
>
>
>
>
None