光擋 .js副檔名己無法防禦，勒索病毒再進化！

2016 / 09 / 10

本篇文章內容由廠商提供，不代表資安人科技網觀點

中華數位與ASRC研究中心發現勒索病毒的新變形，攻擊者同樣使用 Javascript 做為勒索病毒的前導程式，只是將惡意的 Javascript 放在 .hta 檔中，藉以躲避 .js 檔過濾條件的偵測！

上一波 Locky 勒索病毒大量使用了 .js 檔做為感染的前導，而 .js 能被 Windows 執行，是因為 Windows 作業系統預設啟用了 Windows Script Host 服務。面對這樣的攻擊，各方專家都提出了攔截 .js 副檔名或關閉 Windows Script Host 服務等防範辦法。不過中華數位與 ASRC 研究中心近期發現勒索病毒新變形，攻擊者同樣使用 Javascript 做為勒索病毒的前導程式，只是將惡意的 Javascript 放在 .hta 檔中。由於 Windows 作業系統中，點擊.hta檔預設會呼叫 Microsoft Internet Explorer 起來執行，這一舉直接突破了攔截 .js 副檔名的過濾條件或關閉 Windows Script Host 服務等防範辦法。

根據 ASRC 研究中心的分析， .hta 檔中所放置的惡意 Javascript 檔經過混淆 (Obfuscation) 處理，不易直接判讀惡意腳本打算進行的動作。
進一步的剖析發現，這個惡意腳本若被執行，則會試圖連線到這三個地方下載惡意檔案：
- hxxp://www.itogazaidan.jp/HJghjt872
- hxxp://www.ionut.coman.home.ro/HJghjt872
- hxxp://twojamuza.y0.pl/HJghjt872
並存在本機的這三個位置：
- C:\Users\<user_name>\AppData\Local\Temp/pTOLwCQTqS1
- C:\Users\<user_name>\AppData\Local\Temp/pTOLwCQTqS2
- C:\Users\<user_name>\AppData\Local\Temp/pTOLwCQTqS3
接著，讀取檔案，並將檔案內容解碼存成 dll 檔，最後再透過 rundll32.exe 執行加密勒索程序。攻擊者從來不是省油的燈，只要資安業者公布了新的防範手法，攻擊者就會設法繞過，正所謂「道高一尺，魔高一丈」，資安防範不可一刻輕忽。

中華數位 SPAM SQR 面對這類型的攻擊，並非單純以攔截 .js副檔名的方式防禦。 SPAM SQR 掛載多重威脅防禦引擎，除可外掛防毒引擎抵抗已知病毒郵件外，內建的惡意檔案分析引擎，可層層分析附件檔案，讓此樣本出現的第一時間原形畢露。
已使用 SPAM SQR 的客戶請注意定期更新系統以及特徵，以達到最佳防禦效果。

了解更多資訊 http://www.softnext-inc.com/ 。