首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >不能低估的“对手”:FONIX勒索软件及服务

不能低估的“对手”:FONIX勒索软件及服务

作者头像
FB客服
发布2020-10-27 15:56:05
5110
发布2020-10-27 15:56:05
举报
文章被收录于专栏:FreeBufFreeBuf

FONIX ,一种新的勒索软件即服务(RaaS)产品。

事实上,FONIX于 2020 年 7 月才首次出现在威胁环境中,与这种威胁相关的感染数量仍然很少,但绝不能被轻易低估。

专家指出,该勒索软件作者不要求威胁分发者支付任何费用来加入其中,只需要拿走威胁分发者获得的赎金的一定百分比。和许多其他当前 RaaS 产品略有不同,FONIX对每个文件采用四种加密方法,并且感染后解密周期过于复杂。

威胁分发者通过电子邮件与作者进行通信,以获得针对受害者的解密程序和密钥。与之相对的,分发者会为作者保留25%赎金。

根据当前情报,FONIX关联公司或者说威胁分发者一开始不会获得解密程序或密钥。正常情况下,在受害者通过电子邮件联系威胁分发者后,威胁分发者受害者会要求受害者提供一些文件。其中包括两个用于解密的小文件:一个是证明被加密的证据,另一个是来自受感染主机的文件”cpriv.key”。然后,威胁分发者会将这些文件发送给FONIX作者,作者解密文件后发送给受害者。当受害者确信解密是可信的,分发者就会提供付款地址(BTC 钱包)。然后,受害者支付报酬,然后分发者会和FONIX 作者分成。

显然,上述流程比大多数 RaaS 服务更复杂,用户友好程度也更低。

目前,FONIX 勒索软件仅针对 Windows 系统,默认情况下它加密所有文件类型,不包括关键的 Windows OS 文件。此外,该勒索软件使用 AES、Chacha、RSA 和 Salsa20 的组合来加密受害者的文件,并且添加了一个XINOF 扩展。这类多种加密协议使得加密过程比其他勒索软件慢得多,而使用管理权限执行有效负载后,将进行以下系统更改:

禁用任务管理器 通过计划任务、启动包含和注册表(运行和运行一次)的文件夹实现持久性 修改系统文件权限 有效负载的持久副本将其归因于隐藏 为持久性创建隐藏服务(Windows 10) 更改驱动器/音量标签(更改为”XINOF”) 删除卷卷副本将(vssadmin,wmic) 系统恢复选项被操控 / 禁用( bcdedit ) 安全引导选项被操控

FONIX 感染具有明显攻击性,即加密系统文件以外的所有内容 ,并且一旦设备完全加密,就很难恢复。不过,目前FONIX似乎并没有通过数据公开来威胁受害者。

参考来源:

https://securityaffairs.co/wordpress/109369/cyber-crime/fonix-raas.html

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2020-10-12,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 FreeBuf 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档