Buran勒索病毒自2019年9月开始，在国内开始进行攻击狩猎行动。在国内该病毒主要借助垃圾邮件，弱口令爆破渠道两种方式传播。早期版本该病毒加密文件后会添加扩展后缀.Buran，因此得名。新版本病毒加密文件后会添加随机扩展后缀，同时留下名为!!! ALL YOUR FILES ARE ENCRYPTED !!!.TXT的勒索信，要求用户联系指定邮箱购买解密工具。该病毒主要使用了RSA+AES的方式对文件进行加密，经分析，被加密后，文件无法解密，因此，我们提醒各政企机构提高警惕。
分析1.该病毒通过垃圾邮件渠道使用宏文档传播 2.通过弱口令爆破渠道传播，观察用户被攻击真实场景可知，病毒爆破过程会进行代{过}{滤}理频繁切换操作。 例如下图中我们从被攻击者侧看到的相关代{过}{滤}理爆破登录源IP信息，在腾讯安全大数据平台已标记代{过}{滤}理，RDP攻击信息 222.174.105.82 222.80.125.103 36.48.159.57 139.217.219.214 218.88.202.29 61.177.46.122 58.220.217.38 60.191.179.234 36.7.106.82 211.100.49.2 ...... 该病毒作者疑似俄语系国家，故该病毒加密时会将部分俄语系列国家列入白名单，419（俄罗斯），422(乌克兰)， 423(比利时)，43f(吉尔吉斯坦) 同时病毒运行时会判断命令行个数，当命令行参数为“-agent 0”2个参数时进入文件加密逻辑。 加密时会首先在本地生成一堆RSA 512密钥对，同时在注册表位置HKEY_CURRENT_USER\Software\Zeppelin处进行临时存放。位置Public Key键值处存放加密后的RSA 512公钥（E,N）信息，加密流程为使用本地随机生成的0x20字节的RC4密钥对RSA 512公钥信息进行加密，随后RC4密钥拼接RSA 512公钥后进行Base64编码存放。私钥信息则被硬编码RSA 2048公钥加密后Base64存放到Encrypted Private Key位置内。 文件加密过程则为对每个文件生成AES-KEY和IV，随后对文件进行AES-256-CBC加密。AES密钥信息则使用本地生成的RSA 512私钥加密后，再进行RC4加密后存放到尾部，其本地生成后被加密的Encrypted Private Key信息也被附加于文件尾部 同时，由于病毒运行前会禁用系统恢复功能，删除系统卷影，清楚系统内备份数据信息，导致通过文件恢复类工具同样无法恢复机器内被修改数据。 加密文件结束后，病毒会删除掉本地保存密钥信息的注册表相关键值 分析病毒可知，由于该病毒未向服务器上传本地RSA 512密钥信息，故无法通过流量侧拿到关键密钥。同时该病毒加密过程本地生成的RSA密钥对虽然是RSA 512（不安全的RSA），存在通过其注册表内保存公钥暴力破解的风险，但由于病毒运行结束后将本地保存在注册表内的公钥信息进行了删除，且通过系统备份工具，注册表恢复工具无法恢复到删除前（Hive文件）注册表信息，故被该病毒成功攻击后被加密文件不缴纳赎金情况无法恢复。 被加密后系统内全盘文件被添加随机扩展后缀，同时留下名为!!! ALL YOUR FILES ARE ENCRYPTED !!!.TXT的勒索说明信，要求用户联系指定邮箱获取解密工具。
IOCsMD5 24e0db379fa23a4f4f549edaf9137667 安全建议企业用户： 1、尽量关闭不必要的端口，如：445、135，139等，对3389，5900等端口可进行白名单配置，只允许白名单内的IP连接登陆。 2、尽量关闭不必要的文件共享，如有需要，请使用ACL和强密码保护来限制访问权限，禁用对共享文件夹的匿名访问。 3、采用高强度的密码，避免使用弱口令密码，并定期更换密码。建议服务器密码使用高强度且无规律密码，并且强制要求每个服务器使用不同密码管理。 4、对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。 5、对重要文件和数据（数据库等数据）进行定期非本地备份。 6、教育终端用户谨慎下载陌生邮件附件，若非必要，应禁止启用Office宏代码。 7、在终端/服务器部署专业安全防护软件，Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务。. 个人用户： 1、启用腾讯电脑管家，勿随意打开陌生邮件，关闭Office执行宏代码 2、打开电脑管家的文档守护者功能，利用磁盘冗余空间自动备份数据文档，即使发生意外，数据也可有备无患。 腾讯安全产品针对Buran勒索的解决方案清单
| 
发表于 2020-5-1 19:15:17
