BlackByte勒索软件开始使用新的数据泄露工具ExByte

FB客服

发布于 2023-02-10 14:43:41

3710

发布于 2023-02-10 14:43:41

文章被收录于专栏：FreeBufFreeBuf

BlackByte 勒索软件在 2021 年被首次发现，随后不断发现其变种。BlackByte 勒索软件不仅使用双重勒索，还运营着勒索软件即服务（RaaS）。最近，研究人员发现 BlackByte 开始使用名为 ExByte 的数据泄露工具来窃取受害者的数据。

基本情况

最初 BlackByte 由 C 语言编写，最近的样本开始转向 Go 语言编写，也有一些是两种语言混合开发。大多数在野样本都是经过 UPX 加壳的，许多变种都由自定义的 UPX 壳加壳。该恶意软件通常带有死神图标，在其长袍上写有字母 BB 代表 BlackByte。

恶意软件图标

为了逃避检测，恶意软件使用了类似合法程序的文件描述。研究人员以伪装程亚马逊公司程序文件的恶意样本为例：

文件描述伪装

系统检查

勒索软件如果发现系统语言为如下语言，就会直接退出不进行加密。

此外，恶意软件还会检测安全分析工具的 DLL 文件。如果存在，恶意软件也会立即退出。

持久化

BlackByte 勒索软件会删除卷影副本和系统备份，以阻碍用户的数据恢复。删除命令如下：

“cmd.exe /c start vssadmin.exe Delete Shadows /All /Quiet vssadmin Resize ShadowStorage /For=K: /On=K: /MaxSize=401MB”

BlackByte 勒索软件会删除任务管理器与资源监视器，并且终止 Windows Defender 服务：

cmd /c del C:\Windows\System32\Taskmgr.exe /f /q & del C:\Windows\System32\resmon.exe /f/q& powershell -command "$x = [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String ('V'+'wBp'+'A'+'G4AR'+'AB'+'lAG'+'YAZQBuAGQA'));Stop-Service -Name $x;Set-Service-StartupType Disabled

文件类型

BlackByte 勒索软件不会加密以下文件扩展名的文件：

不加密的文件扩展名

文件加密

BlackByte 勒索软件执行时会通过硬编码 URL 下载 spider.png，其中包含原始加密密钥。如果下载失败，进程会直接崩溃，加密过程终止。

BlackByte 勒索软件使用 AES 对称加密，为加密后的文件增加 .Blackbyte 扩展名。

勒索信息

加密完成后，名为 BlackByte_restoremyfiles.txt 的勒索信息会被放置在桌面上。

勒索信息

攻击者为受害者提供了可以通过 Tor 浏览器访问的 URL，受害者可以通过网站查看如何支付赎金。

暗网网站

ExByte

最近研究人员发现 BlackByte 勒索软件开始使用名为 ExByte 的数据泄露工具，该工具是由 Go 语言编写的。

ExByte 在执行后会通过 IsDebuggerPresent 与 CheckRemoteDebuggerPresent 来检查是否在沙盒或者虚拟环境中运行。还会检查失陷主机上是否运行以下程序：

x64dbg x32dbg OLLYDBG WinDbg The Interactive Disassembler Immunity Debugger - [CPU] MegaDumper 1.0 by CodeCracker / SnD Import Reconstructor

检查是否存在以下反病毒和沙盒的 DLL 文件列表：

avghooka.dll avghookx.dll sxin.dll sf2.dll sbiedll.dll snxhk.dll cmdvrt32.dll cmdvrt64.dll wpespy.dll vmcheck.dll pstorec.dll dir_watch.dll api_log.dll dbghelp.dll

ExByte 将所有收集的文件都存储在 AppData/dummy，再上传到 Mega 云存储服务，账户凭据被硬编码在恶意软件中。

结论

BlackByte 的攻击势头近几个月没有放缓的迹象，而且持续在更新迭代。本次发现使用自定义数据泄露工具 ExByte，表明 BlackByte 勒索软件仍然在持续运营。

Yara

import "pe"
rule BlackByte_Ransomware {
   meta:
      description = "Detects BlackByte Ransomware"
      author = "BlackBerry Threat Research Team"
      date = "2022-10-23"
      hash = "1df11bc19aa52b623bdf15380e3fded56d8eb6fb7b53a2240779864b1a6474ad"
      license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"

   condition:
   (
   //PE File
   uint16(0) == 0x5a4d and

   //Imphash
   pe.imphash() == "7c3782f1285f48d8c9a17be8db65b02d" and

    pe.sections[0].name contains "UPX0" and
    pe.sections[1].name contains "UPX1" )
}

import "pe"

rule BlackByte_Unpacked {
   meta:
      description = "Detects BlackByte Unpacked Ransomware"
      author = "BlackBerry Threat Research Team"
      date = "2022-10-23"
      license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"

   strings:
      $s1 = "BlackByteGO/_cgo_gotypes.go" ascii wide
      $s2 = "main.DelShadows"
      $s3 = "main.Aes256Encr"
      $s4 = "main.ShowNote"

   condition:
   (
   //PE File
   uint16(0) == 0x5a4d and

   //All Strings
   all of ($s*) )
}

IOC

1df11bc19aa52b623bdf15380e3fded56d8eb6fb7b53a2240779864b1a6474ad 94ce428f04f35e434dc9bd81e17fe506d8f81fe51ea40fca530f1f2ef00e2881 0097b8722c8c0840e8c1a4dd579438344b3e6b4d630d17b0bbe9c55159f43142 hxxp://13.107[.]4.50/spider.png