https://www.informationsecurity.com.tw/seminar/2024_Business/
https://www.informationsecurity.com.tw/seminar/2024_Business/

新聞

Kasseika 勒索軟體透過BYOVD技術在加密前先停用防毒軟體

2024 / 02 / 01
編輯部
Kasseika 勒索軟體透過BYOVD技術在加密前先停用防毒軟體
近期發現最新勒索軟體Kasseika利用具有弱點的驅動程式檔案發起自帶驅動程式攻擊(BYOVD),而這次利用的檔案為Martini驅動程式(Martini.sys/viragt64.sys)( TG Soft 的 VirtIT Agent 系統的一部分),可在加密之前先停用攻擊目標的防毒軟體。

趨勢科技表示在Kasseika勒索軟體案例分析過程發現BlackMatter的影子,包含偽勒索軟體擴充(pseudo-ransom extensions)並使用string.README.txt為勒索訊息的檔案格式,此外,Kasseika利用 ChaCha20 和 RSA 加密演算法對目標檔案進行加密,在檔案名稱後面附加偽隨機字串,這種作法也類似於BlackMatter。

在這次的調查案例中,趨勢科技發現Kasseika是有目的性的進行攻擊,首先會針對目標公司進行社交工程攻擊,從而取得其中一名員工的憑證,利用遠端管理工具(RAT),來取得較高的權限並進行橫向擴散。

Kasseika使用複雜的混淆與反偵錯技術,是一個Themida包裝的32 位元 Windows PE檔案,增加研究人員對其進行逆向工程的難度,同時在加密檔案之前亦會修改 Windows 註冊表行為。此外,研究人員亦發現Kasseika 在加密後,使用「wevutil.exe」工具清除系統事件日誌,掩蓋活動痕跡,使得分析更加的複雜與困難。

勒索軟體的防護建議如下:
  • 以最低權限為原則,確保使用者僅具有實際需要的存取權限
  • 定期備份組織內部重要系統與資料
  • 資訊系統與設備應定期檢視更新情況
  • 加強防範釣魚郵件攻擊,勿開啟來路不明的郵件

本文轉載自TWCERT/CC。