Sophos遭新勒索軟體SophosEncrypt冒充

2023 / 07 / 19

編輯部

外媒報導資安品牌Sophos 被名為 SophosEncrypt 的新勒索軟體即服務（RaaS）冒充，惡意駭客使用Sophos名義進行攻擊操作。

MalwareHunterTeam發現SophosEncrypt勒索軟體，一開始被認為是 Sophos 紅隊演練的一部分。然而，Sophos X-Ops在推特上表示，他們沒有設計此加密器，目前正在調查SophosEncrypt的來源。Sophos初步表示Sophos InterceptX 可以防禦SophosEncrypt勒索軟體樣本。

SophosEncrypt 勒索軟體勒索軟體加密器是用 Rust 編寫的，並使用 C:\Users\Dubinin\ 的路徑打包。在檔案內部，該勒索軟體被命名為“sophos_encrypt”，因此它被稱為 SophosEncrypt。

SophosEncrypt執行時，加密器會要求輸入與受害系統相關的驗證令牌 (token )。輸入令牌後，加密器將連接到 179.43.154.137:21119 並驗證令牌是否有效。專家發現可以透過禁用網卡來繞過此驗證，有效阻止加密器運作。

目前得知SophosEncryp使用 AES256-CBC 加密和 PKCS#7 填充。在每個加密文件的文件夾中，勒索軟體都會設置一個名為 information.hta 的勒索字條，加密完成後會自動啟動該字條。此勒索字條包含有關受害者文件狀況以及聯絡資訊。

目前研究人員仍在分析 SophosEncrypt，看看是否有任何弱點可以免費恢復文件。Sophos表示，目前研究的兩個SophosEncrypt樣本的命令和控制伺服器（179.43.154.137）與之前攻擊中使用的 Cobalt Strike C2 伺服器相連。

該IP位址與 Cobalt Strike C2伺服器發動的挖礦自動攻擊有關。

本圖文轉載自BleepingComputer。

RaaS 勒索軟體即服務 Rust AES256加密 Cobalt Strike