HIRT-PUB17008 : 랜섬웨어 토토사이트 블랙티비에 관한 경고

Ransomware 토토사이트 블랙티비는 네트워크 웜 유형 기능 (그림 1)을 갖춘 랜섬웨어이며 (그림 1), 암호 해독과 대가로 돈을 암호화하고 돈을 요청하지만 5 월 16 일 현재 정보 누출을 일으키는 조치는보고되지 않았습니다.

(1) 작동 점검 활동
토토사이트 블랙티비는 작동 확인 사이트 www [.] iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea [.] com 등에 액세스가 성공하면 활동이 중지됩니다. 이 URL 액세스는 작동을 멈추기 때문에 킬 스위치라고도합니다. 5 월 15 일 초 부터이 킬 스위치를 비활성화 한 변형에 대한보고가있었습니다.

(2) 생성 활동
스프레드 및 몸값 활동을 수행하는 데 필요한 공격 자원으로 새로운 exes 및 기타 리소스를 만듭니다.

(3) 확산 활동
SMB1 취약성 공격을 통해 자체 정리를 시도합니다. 자가 증식 프로세스는 감염 될 시스템과의 SMB1 연결을 설정하는 것을 포함합니다. 그런 다음 MS17-010 취약점의 존재를 확인하고 공격 페이로드를 준비하고 백도어 더블 펄서가 있는지 확인하고 공격 페이로드를 실행하여 완료됩니다.

그림 1 : 감염 활동 개요

(4) 몸값 활동
Ransom Activity는 파일을 암호화하고 파일 확장을 wncry로 변경합니다. 또한 그림 2에 표시된 위협적인 편지 대화가 표시됩니다.

그림 2 : 위협 문자 대화

2017 년 5 월 13 일

• 카스퍼 스키 : 74 개국의 45,000 개 이상의 공격 기록
  전 세계 폭이 넓은 공격에 사용되는 토토사이트 블랙티비 랜섬웨어
  https : //securelist.com/blog/incidents/78351/토토사이트 블랙티비-ransomware-used-inwidepread-attacks-onver-the-world/
• US-Cert : 미국, 영국, 스페인, 러시아, 대만, 프랑스, ​​일본을 포함한 74 개국의 감염
  토토사이트 블랙티비 랜섬웨어와 관련된 지표
  https : //www.us-cert.gov/nas/alerts/ta17-132a
• National Health Service (UK) : 최소 16 개의 조직이 어려움을 겪었습니다
  보고 된 NHS 사이버 공격에 대한 진술
  https : //digital.nhs.uk/article/1491/statement-on-reported-nhs-cyber-attack
• Wcrypt 트래커
  https : //intel.malwaretech.com/botnet/wcrypt/

그림 3 : Wcrypt 트래커 (오프라인 + 시간당 온라인 IP 주소 수) (출처 : malwaretech.com)

2017 년 5 월 17 일

• Hitachi : 랜섬웨어 손상 및 복구 상황
  /new/cnews/month/2017/05/0517a.html

다음 경고는 다양한 장소에서 제공됩니다.

• US-Cert
  다중 랜섬웨어 감염보고 (2017 년 5 월 12 일)
  https : //www.us-cert.gov/nas/current-activity/2017/05/12/multiple-ransomware infections-reported
• US-Cert
  TA17-132A : 토토사이트 블랙티비 Ransomware와 관련된 지표 (2017 년 5 월 12 일)
  https : //www.us-cert.gov/nas/alerts/ta17-132a
• JPCERT/CC
  JPCERT-AT-2017-0020 : 랜섬웨어 "WANNACRYPT"(2017 년 5 월 14 일)에 관한 경고
  http : //www.jpcert.or.jp/at/2017/at170020.html
• IPA
  전 세계적으로 확산되는 랜섬웨어 (2017 년 5 월 14 일)에 의해 악용 된 Microsoft 제품의 취약성에 관한
  http : //www.ipa.go.jp/security/ciadr/vul/20170514-ransomware.html
• 내무부 및 커뮤니케이션부
  글로벌 맬웨어로 인한 손상 (인식) (2017 년 5 월 15 일)
  http : //www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_000264.html
• 국가 기관
  공격 도구 "EternalBlue"(2017 년 5 월 15 일)를 이용하는 공격으로 생각되는 액세스 관찰 정보.
  http : //www.npa.go.jp/cyberpolice/important/2017/201705151.html
• ICS-Cert
  ICS-ALERT-17-135-01 : 토토사이트 블랙티비 Ransomware와 관련된 지표 (2017 년 5 월 15 일)
  https : //ics-cert.us-cert.gov/alerts/ics-alert-17-135-01

• WCRY/WANACRY 랜섬웨어 기술 분석 (2017 년 5 월 14 일)
  https : //www.endgame.com/blog/wcrywanacry-ransomware-technical-analysis
• WanaCryptor 파일 암호화 및 암호 해독 (2017 년 5 월 15 일)
  https : //modelexp.wordpress.com/2017/05/15/wanacryptor/

정기적 인 백업을 가져 와서 오프라인으로 저장하여 암호화 된 경우 파일 복구를 준비하십시오.

Microsoft는 토토사이트 블랙티비가 Windows 7, Windows Server 2008 및 이전 취약한 OS를 목표로하고 있다고보고합니다.

• 토토사이트 블랙티비pt 랜섬웨어 웜 웜
  https : //blogs.technet.microsoft.com/mmpc/2017/05/12/토토사이트 블랙티비pt-ransomware-worm-targets out-of-date-systems/

Windows Vista, Windows Server 2008, Windows Server 2008 R2, Wind

3 월 마이크 소프트웨어에서 출시 된 보안 업데이트 MS17-010 적용.

• Microsoft Security Bulletin MS17-010 : Microsoft Windows SMB 서버의 보안 업데이트 (4013389)
  https : //technet.microsoft.com/ja-jp/library/security/ms17-010.aspx

Windows Server 2003, Windows XP, Windows XP Embedded, Windows 8

마이크 소프트웨어에서 비상 릴리스 보안 업데이트를 적용하십시오.

• 랜섬웨어 토토사이트 블랙티비PT 공격에 관한 고객 지침
  https : //blogs.technet.microsoft.com/jpsecurity/2017/05/14/ransomware-토토사이트 블랙티비pt-customer-guidance/

보안 소프트웨어를 설치하고 정의 파일을 최신 상태로 유지하십시오.

• 카스퍼 스키
  토토사이트 블랙티비 랜섬웨어 전 세계의 폭이 넓은 공격에 사용됩니다 (2017 년 5 월 12 일)
  https : //securelist.com/blog/incidents/78351/토토사이트 블랙티비-ransomware-used-in-widepread-attacks-over-the-world/
• Symantec
  토토사이트 블랙티비 랜섬웨어에 대해 알아야 할 사항 (2017 년 5 월 12 일)
  https : //www.symantec.com/connect/blogs/what-need-need- know-bance-토토사이트 블랙티비-ransomware
• 트렌드 마이크로
  대규모 암호화 랜섬웨어의 공격 "Wannacry/Wcry"전 세계에 영향을 미칩니다 (2017 년 5 월 13 일)
  http : //blog.trendmicro.co.jp/archives/14873
• Ransom_wana.A (2017 년 5 월 13 일)
  https : //www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/ransom_wana.a
• Ransom_wcry.i (2017 년 5 월 13 일)
  https : //www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/ransom_wcry.i
• Microsoft
  토토사이트 블랙티비PT 랜섬웨어 웜 웜 타겟팅 데이트 시스템 (2017 년 5 월 12 일)
  https : //blogs.technet.microsoft.com/mmpc/2017/05/12/토토사이트 블랙티비pt-ransomware-worm-targets out-of-date-systems/
• Ransom : Win32/토토사이트 블랙티비pt (2017 년 5 월 12 일)
  https : //www.microsoft.com/security/portal/threat/encyclopedia/entry.aspx? name = ransom : win32/토토사이트 블랙티비pt
• McAfee
  랜섬 웨인 크리에 대한 보호 (2017 년 5 월) (2017 년 5 월 12 일)
  https : //kc.mcafee.com/corporate/index? page = content & id = kb89335
• 랜섬웨어 토토사이트 블랙티비의 더 많은 분석 (2017 년 5 월 14 일)
  http : //blogs.mcafee.jp/.s/mcafeeblog/2017/05/토토사이트 블랙티비-651e.html

Symantec의 엔드 포인트 보호가 취약성 (SMB1)에 대한 공격을 감지하면 그림 3과 같이 경보가 표시됩니다.

그림 4 : Symantec의 공격 감지 경보

토토사이트 블랙티비는 인터넷에서 IPv4 주소를 무작위로 검색하고 감염시 시도합니다. 네트워크 공격을 방지하는 다음 해결 방법 (MS17-010, CVE-2017-0145 착취)은 다음과 같습니다.

SMB1 비활성화 (서버 메시지 블록 v1)

• Microsoft Security Bulletin MS17-010 : Microsoft Windows SMB 서버의 보안 업데이트 (4013389)
  https : //technet.microsoft.com/ja-jp/library/security/ms17-010.aspx#id0e3sag
• Windows 및 Windows Server에서 SMBV1, SMBV2 및 SMBV3를 비활성화하는 방법
  https : //support.microsoft.com/ja-jp/help/2696547

SMB 보트 번호 블록 (445)

• 토토사이트 블랙티비PT 랜섬웨어 웜 웜
  https : //blogs.technet.microsoft.com/mmpc/2017/05/12/토토사이트 블랙티비pt-ransomware-worm-targets out-of-date-systems/

토토사이트 블랙티비
SHA256 : 24D004A104D4D54034DBCFFC2A4B19A11F39008A575AA614EA04703480B1022C
MD5 : DB349B97C37D22F5EA1D1841E3C89EB4

Ransomware Wannacry는 감염된 PC에 구성된 DNS 서버를 문의하여 사이트의 IP 주소가 작동을 확인할 것입니다. 그 후, 운영 확인 사이트에 대한 HTTP 액세스가 성공하면 활동 (활동, 랜섬 활동 등)이 중지됩니다. 우리는 랜섬웨어 Wannacry의 작동을 다시 테스트하고 HTTP 응답이 "HTTP/1.1 200 OK"또는 "HTTP/1.1 403 금지"임을 즉시 중지 할 것임을 확인했습니다 (그림 5). 또한, 재 입원에서, 점검 작업 (192.168.20.80)을위한 웹 사이트가 그림 6에 표시된 네트워크에 구축되었습니다.

그림 5 : 작동 확인 사이트에 대한 HTTP 액세스

Ransomware 토토사이트 블랙티비는 동일한 네트워크 내에서 검색을 시작하고 병렬로 IP 주소 공간을 무작위로 검색합니다. 우리는 그림 6과 같이 네트워크 구성이있는 감염된 PC에서 랜섬웨어 토토사이트 블랙티비의 설문 조사 결과와 네트워크 웜의 특징 인 감염 목적지를 검색하는 방법을 소개합니다.

그림 6 : 확산 활동을 조사하는 데 사용되는 네트워크 구조

설문 조사 환경에 사용 된 네트워크의 경우 두 개의 작동 PC (192.168.20.161, 192.168.20.162)가 있으므로 ARP 패킷을 사용한 검색으로 동일한 네트워크 내 검색이 관찰됩니다. 감염된 PC (192.168.20.161) ARP 패킷 ((3) (a))을 사용하여 동일한 네트워크에서 PC를 실행하기 시작합니다. 다음으로 ARP 응답 (192.168.20.162)이있는 실행중인 PC에 대해 TCP 연결이 설정되고 SMB1 취약성 공격 ((3) (b))를 시작합니다. 동시에 IP 주소 공간을 무작위로 검색하기 시작합니다. 랜섬웨어 토토사이트 블랙티비는 인트라넷 방식으로 작동하고 있으며, 그림 7과 같이 약 1 분만에 ARP 응답으로 작동 PC (192.168.20.162)를 감염시키기 시작했습니다.

그림 7 : 토토사이트 블랙티비 확산 활동으로 인한 검색 IP 주소 분포

그림 8은 2000 년 상반기에 유사한 네트워크 구성으로 순환 된 Codered3 (2002) 및 Slammer (2002)의 네트워크 검색 플롯을 보여줍니다. Codered3은 감염된 장치의 근접 IP 주소를 검색하는 반면 Slammer는 전체 영역을 무작위로 검색합니다.

그림 8 : Codered3 (왼쪽), Slammer (오른쪽) 스프레드 활동과 관련된 검색 IP 주소의 배포

다음, 그림 9는 토토사이트 블랙티비, Codered3 및 Slammer의 새로운 IP 주소에 대한 검색 속도를 보여줍니다. 토토사이트 블랙티비의 탐험은 어떤 수단도 빠르지 않으며 인트라넷 활동을위한 작업을 운영함으로써 확산 활동의 속도를 높이려고한다고 말할 수 있습니다.

그림 9 : IP 주소 검색 속도

동일한 네트워크에서 실행되는 PC를 검색 할 때 서브넷 마스크가 /24 인 경우 X.X.X.1, X.X.X.2 ~ X.X.254 및 /16으로 검색되며 X.X.0.1, X.1.1.1.X.255.1, X.0.255.1, X.X.0.25. X.x.1.2 ~ x.x.255.2이므로 넓은 서브넷 마스크는 확산 활동 효율을 줄일 수 있지만 많은 방송 패킷이 지속될 가능성이 높지만 정상적인 커뮤니케이션이 방해받을 가능성이 높습니다.

3 SMB 연결은 Ransomware 토토사이트 블랙티비의 SMB1 취약성 공격에 사용됩니다. 하나는 감염된 PC의 IP 주소 (192.168.20.161) (그림 10)를 포함하고 있으며, 다음 두 개의 IP 주소 (192.168.56.20, 172.16.99.5) (그림 11, 그림 12)가 포함되어 있습니다 (그림 11, 그림 12).

대상이 이중 펄서에 감염되지 않은 경우, 그림 11과 같이, 두 번째 SMB 연결에서 Trans2 Session_Setup에 대한 응답 패킷에 저장된 멀티 플렉스 ID는 65 (0x41)이며, 감염된 경우 81 (0x51). 또한 그림 12의 오른쪽에 Metasploit (MS17_010_ETERNALBLUE.RB)에서 전송 된 패킷이 비교를 위해 표시됩니다.

그림 10 : 감염된 PC의 IP 주소를 포함하는 SMB 연결 (192.168.20.161)

그림 11 : IP 주소를 포함하는 SMB 연결 (192.168.56.20) 맬웨어 본문에서 하드 코딩

그림 12 : IP 주소를 포함하는 SMB 연결 (172.16.99.5) 맬웨어 본문에서 하드 코딩

토토사이트 블랙티비 (*1), Metasploit (*2) 및 감염보고 상태 (*3)를 사용한 네트워크 감염 결과는 표 1 (2017 년 5 월 23 일 현재)에 나와 있습니다.

표 1 : 영향이 관찰되는지 여부의 결과

*0)-: 끊임없는
*1) MD5 : DB349B97C37D22F5EA1D1841E3C89EB4
*2) 모듈 이름 : MS17_010_ETERNALBLUE.RB
*3) 카스퍼 스키 : 모든 토토사이트 블랙티비 희생자의 98% 이상이 Windows 7을 사용하고있었습니다
https : //www.bleepingcomputer.com/news/security/over-98-percent-토토사이트 블랙티비-victims-were-using-windows-7/
*4) SMB_MS17_010.RB 취약점이 있는지 결정합니다
*5) 익명 로그인 오류