https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

Sophos遭新勒索軟體SophosEncrypt冒充

2023 / 07 / 19
編輯部
Sophos遭新勒索軟體SophosEncrypt冒充
外媒報導資安品牌Sophos 被名為 SophosEncrypt 的新勒索軟體即服務(RaaS)冒充,惡意駭客使用Sophos名義進行攻擊操作。

MalwareHunterTeam發現SophosEncrypt勒索軟體,一開始被認為是 Sophos 紅隊演練的一部分。然而,Sophos X-Ops在推特上表示,他們沒有設計此加密器,目前正在調查SophosEncrypt的來源。Sophos初步表示Sophos InterceptX 可以防禦SophosEncrypt勒索軟體樣本。
 
SophosEncrypt 勒索軟體勒索軟體加密器是用 Rust 編寫的,並使用 C:\Users\Dubinin\ 的路徑打包。在檔案內部,該勒索軟體被命名為“sophos_encrypt”,因此它被稱為 SophosEncrypt。

SophosEncrypt執行時,加密器會要求輸入與受害系統相關的驗證令牌 (token )。輸入令牌後,加密器將連接到 179.43.154.137:21119 並驗證令牌是否有效。專家發現可以透過禁用網卡來繞過此驗證,有效阻止加密器運作。

目前得知SophosEncryp使用 AES256-CBC 加密和 PKCS#7 填充。在每個加密文件的文件夾中,勒索軟體都會設置一個名為 information.hta 的勒索字條,加密完成後會自動啟動該字條。此勒索字條包含有關受害者文件狀況以及聯絡資訊。

目前研究人員仍在分析 SophosEncrypt,看看是否有任何弱點可以免費恢復文件。Sophos表示,目前研究的兩個SophosEncrypt樣本的命令和控制伺服器(179.43.154.137)與之前攻擊中使用的 Cobalt Strike C2 伺服器相連。

該IP位址與 Cobalt Strike C2伺服器發動的挖礦自動攻擊有關。

本圖文轉載自BleepingComputer。