新型「Helldown」勒索軟體變種擴大攻擊範圍，鎖定 VMware 和 Linux 系統

資安研究人員最近發現新型勒索軟體 Helldown 的 Linux 變種，顯示這群駭客正擴大攻擊範圍。

Helldown 原本是從 LockBit 3.0 程式碼改造而來的 Windows 勒索軟體。鑑於近期針對 ESXi 的勒索軟體攻擊趨勢，這個駭客組織似乎正在調整作業模式，準備透過 VMware 攻擊虛擬化環境。Helldown 勒索軟體的存在於 2024 年 8 月中旬首次公開揭露。此駭客集團主要利用安全漏洞入侵目標網路，鎖定的產業包括資訊科技服務、電信、製造業和醫療保健等領域。

與其他勒索軟體團體類似，Helldown 也利用資料外洩網站來施壓受害者支付贖金，威脅公開竊取的資料。這種「雙重勒索」策略相當有效—據估計，該組織在短短三個月內至少攻擊了 31 家公司。

駭客首先利用對外開放的 Zyxel 防火牆獲取初始存取權，接著進行持續性植入、憑證竊取、網路探測、規避偵測和橫向移動等活動，最終部署勒索軟體。而最新分析顯示，駭客正在濫用 Zyxel 設備中已知和未知的安全漏洞來入侵網路，以此竊取憑證，並使用臨時用戶創建 SSL VPN 隧道。

Helldown 的 Windows 版本啟動後，會在竊取和加密檔案前執行一系列步驟，包含刪除系統還原點，以及終止與資料庫和 Microsoft Office 相關的各種程序。完成主要任務後，勒索軟體會刪除自身的二進制檔以掩蓋痕跡，留下勒索信，最後關閉受害機器。

分析顯示，Helldown 的 Linux 版本雖缺乏混淆和反除錯機制，但具備精簡的檔案搜尋和加密功能。執行這些操作前，它會列出並終止所有運行中的虛擬機（VM）。靜態和動態分析均未發現網路通訊、公鑰或共享密鑰。這一發現引發了一個關鍵問題：攻擊者如何提供解密工具？

在加密前終止虛擬機可讓勒索軟體獲得對映像檔的寫入權限。然而，分析顯示，雖然這個功能存在於程式碼中，但實際上並未被調用。這些觀察結果表明，該勒索軟體相對簡單，可能仍處於開發階段。

與此同時，資安團隊也披露了另一個新興的勒索軟體家族 Interlock。該軟體鎖定美國的醫療保健、科技和政府部門，以及歐洲的製造業實體，能夠加密 Windows 和 Linux 系統。

Interlock 的攻擊鏈巧妙利用了一個假冒的 Google Chrome 瀏覽器更新程式，該程式被託管在一個已遭入侵的合法新聞網站上。當受害者執行這個程式時，會釋放一個遠端存取木馬（RAT）。這使攻擊者能夠竊取敏感資料，並執行特製的 PowerShell 指令，這些指令旨在投放惡意程式，進而竊取憑證並進行網路偵察。

與 Helldown 和 Interlock 同時出現的還有一個名為 SafePay 的新勒索軟體，聲稱已攻擊了 22 家公司。研究顯示，SafePay 也是以 LockBit 3.0 為基礎開發的，凸顯了 LockBit 原始碼洩露後衍生出多個變種的趨勢。駭客主要通過 VPN 閘道或入口進行活動，這一點可從所有分配給其工作站的 IP 位址都在內部網路範圍內得到證實。

這些駭客利用有效的憑證成功存取客戶端點。值得注意的是，研究人員並未發現他們啟用遠端桌面協定（RDP）、建立新用戶帳戶，或設置任何其他持久性機制。

本文轉載自 TheHackerNews。