伊莉論壇勒索事件分析
那一天人們終於回想起，曾經一度加密電腦檔案的恐懼，還有回憶轉瞬消失殆盡的扼腕…
近期臺灣知名討論區伊莉論壇(eyny)散布勒索軟體鬧得滿城風雨，於是筆者特此燒腦寫了這篇文章。目的為提醒各位: 當受信任的來源成為攻擊幫兇時，後續損害也會更加深遠。
序曲
論壇管理員說明，自4/23至24日期間系統遭駭客入侵並放置假Flash player更新通知。以下是內文翻譯:
"目前所安裝的版本：21.0.0.182 PPAPI（Chrome，Windows），過期的Flash Player可能會導致某些內容不正確顯示， Adobe建議您始終安裝最新的更新。點擊“立即更新”按鈕，即表示您已閱讀並同意Adobe軟體許可協議。"
由於該論壇過去從未要求用戶，需安裝第三方工具才能獲得存取特定頁面的權限，這個高仿真的更新頁面便很快地引起討論。雖有部分用戶警覺論壇可能遭到入侵，但多數人仍不覺有他，按彈出視窗指示下載&安裝。
直到用戶的桌面出現不停倒數、既熟悉又陌生的綠色視窗，才發現為時已晚。
概要
威脅本身 (install_flash_player_ax.exe.exe) 是一雙後綴的可執行文件，裡頭包含四個檔案( .exe與.dll各二 )。
-
install_flash_player_ax.exe ———— 正版Adobe安裝檔
-
setup.exe ———— 主體程式 (UPX殼)
-
System.dll ———— DLL庫
-
nsDialogs.dll ————- 顯示勒索視窗
行為剖析
ThunderCrypt初期不會立即加密檔案，相反的這耐心的傢伙會等到用戶安裝自帶的Flash player 25安裝檔後才會進行下一步。期間工作管理員會顯示數量不等的PowerShell.exe正在背景執行，安裝檔則在活動後被刪除。
( 附圖中的PowerShell正與位於法國的212.47.237.95進行通信 )
程式調用了WinAPI" Sleep() "延遲執行，這類停頓指令常於惡意行為前執行以增加自身存活機率，它們倚靠用戶特定動作觸發、或單純讓自動分析系統計算冗餘數據。
新增"HKLM:\Software\Microsoft\Windows\CurrentVersion\Shell"這筆登錄項，接著PowerShell將base64內容解碼後寫入記憶體，以下是酬載完整內容:
基於PowerShell的惡意酬載(Payload)大多以base64編碼的腳本出現。另外一徵兆則是對" FromBase64String "函數的使用，因為攻擊者常以此形式儲存指令或傳遞資料。儘管base64編碼並不一定是惡意的，但許多針對PowerShell打造的無文件攻擊均會引用這個函數。
下圖的PowerShell命令用來刪除所有檔案快照。
ThunderCrypt聲明它們使用了RSA-2048公鑰加密，並要脅如不付錢就會刪除檔案，不過相對也提供一次免費解密3mb大小檔案做為證明。ThunderCrypt背後作者曾將檔案託管在GitHub上，事發後該頁面已遭到刪除。
後續推論
就測試結果而言，ThunderCrypt與其他勒索相比顯得有些小巫見大巫。因為本次用戶案例並非棘手的無文件攻擊 (進入網站剎那間即受感染)，而是傳統的欺騙安裝。即使如此仍有一定數量的用戶受到影響，可能原因請參考時間軸:
-
ThunderCrypt最早上傳的紀錄為4月23日，檢測率不到2成
-
隔天24日論壇管理員發佈公告
-
4/26 ~ 5/3期間陸續浮出曾受害用戶，事件擴張
-
5/2至今其他漏報廠商先後入庫
上圖可看出ThunderCrypt剛被發現時只有11家廠商檢測到，而根據各方入庫的先後時間又向後延了數天。換句話說威脅在用戶系統裡的安全軟體發現前就其門而入，這中間所經歷空窗期便是俗稱的零時差攻擊 ( Zero-day attack )。
不只系統需要修補，腦袋也是
此次事件對該論壇造成不小後續影響，包括用戶對服務提供者的信賴。儘管網站方面確實是受害方，面對輿論仍難辭其咎。
有部分用戶批評，目前論壇背後所使用的Discuz!平臺仍停留在2012年4月7日所發佈的 X2.5版、PHP程式庫也久未更新。此外我們也發現到論壇包含登錄等所有頁面均缺乏最基本的HTTPS加密，種種問題不難讓人聯想到漏洞遭駭客利用的可能性。
除了Spotify、雅虎的前車之鑑，此次事件同樣再度提醒身為用戶的我們: 即使信任來源仍要小心求證。
文章來源: https://anulabs.wixsite.com/official/single-post/eyny-thundercrypt
圖片來源: https://www.google.com.tw/?gws_rd=ssl
#網路安全
#駭客
#勒索軟體
#威脅分析
