针对工控的勒索软件Cring样本分析-工业互联网–飞度网络科技 - 专业的全球云服务器、服务器租用托管、云安全服务、全球域名注册提供商

针对工控的勒索软件Cring样本分析

来源:不详日期:2021/5/13 15:09:36 阅读量:(0)

一、概述

工业企业网络环境主要由工业控制网络和信息网络组成。通常企业信息网络会接入互联网，因此会受到互联网环境中勒索软件的攻击。如果企业信息网与工业控制网络直接或间接连接，勒索软件可能会通过企业信息网络或摆渡方式传播到工控网络中，从而感染工业控制系统。勒索软件加密计算机磁盘中的文件，就会影响到工业企业中信息系统和工业控制系统的正常运行，最终造成企业企业经济层面和信誉上的损失。所以工业企业应当重视对勒索软件的防护。

近年来，针对工业控制系统的勒索软件增长迅速，其中以Sodinokibi、Ryuk和Maze为首的勒索软件家族最为猖獗。近日，安天CERT发现一起入侵工业控制系统并最终投放勒索软件的攻击事件，此次事件影响了欧洲一些国家的工业企业，其工业控制环境的服务器被加密，导致工控业务系统临时关闭。经过分析，该起攻击事件归属于一个新的勒索软件家族Cring（也被称为Crypt3r，Vjiszy1lo，Ghost，Phantom等）。该勒索软件最早出现于2020年末，使用AES256+RSA8192算法加密受害者的数据，要求支付2个比特币作为赎金才能恢复数据。攻击者利用CVE-2018-13379漏洞进行攻击，一旦获取系统中的访问权限后，会下载Mimikatz和Cobalt Strike进行横向移动和远程控制，最终下载Cring勒索软件并执行。工业控制系统是国家基础设施的重要组成部分，也是工业基础设施的核心，被广泛用于炼油、化工、电力、电网、水厂、交通、水利等领域，其可用性和实时性要求高，系统生命周期长，一旦受到勒索软件的影响，不仅会导致大面积停产，也会产生更广泛的负面社会效应。

二、Cring勒索软件对应的ATT&CK的映射图谱

该勒索软件技术特点分布图：

图 2?1技术特点对应ATT&CK的映射

具体ATT&CK技术行为描述表：

表 2?1 ATT&CK技术行为描述表

三、样本分析

1. 样本标签

表3?1二进制可执行文件

2.攻击流程

攻击者利用FortiGate VPN服务器中的CVE-2018-13379漏洞获取访问工控网络的权限，如未打补丁的FortiGate VPN设备会受到目录遍历攻击，攻击者可以利用该遍历攻击访问FortiGateSSL VPN设备上的系统文件。未经身份验证的攻击者可以通过互联网连接到该设备，从而远程访问文件“sslvpn_websession”，该文件中包含用于访问VPN的用户名和密码（均以明文形式存储）。在攻击者拿到访问VPN的用户名和密码并获取工控网络的第一个系统权限后，会下载Mimikatz工具并使用该工具窃取以前登录的Windows用户的账户凭据。通过此种方法可以获取到域控管理员的凭据，然后通过该凭据将Cobalt Strike框架的PowerShell脚本分发到其他系统中。PowerShell脚本解密有效载荷为Cobalt Strike Beacon后门，该后门为攻击者提供了对受感染系统的远程控制能力。在获得对受感染系统的控制后，攻击者使用cmd脚本将Cring勒索软件下载到系统中，并使用PowerShell启动加密整个系统。

图 3?1攻击流程

3. 样本分析

该样本首先会使用名为“kill.bat”的批处理脚本执行一系列系统命令，其中包括暂停BMR Boot和NetBackup BMR服务，配置SQLTELEMETRY和SQLWriter等服务为禁用状态，结束mspub.exe、mydesktopqos.exe和mydesktopservice.exe进程，删除特定扩展名的备份文件，并且如果文件和文件夹的名称以“Backup”或“backup”开头，则还会删除位于驱动器根文件夹中的文件和文件夹，该脚本在执行后会删除自身。