-
-
[原创]【勒索预警】Sodinokibi勒索病毒，BTC钱包地址被曝光
-
发表于: 2019-8-25 14:28
-
Sodinokibi勒索病毒在国内首次被发现于2019年4月份，2019年5月24日首次在意大利被发现，在意大利被发现使用RDP攻击的方式进行传播感染，这款病毒被称为GandCrab勒索病毒的接班人，从样本逆向分析的角度，可以看到Sodinokibi勒索病毒与GandCrab勒索病毒有一些相似之处，同时根据之前追踪溯源可以得出Sodinokibi勒索病毒在GandCrab勒索病毒运营团队停止更新之后，就马上接管了之前GandCrab的传播渠道，经过近半年的发展，这款勒索病毒使用了多种传播渠道进行传播扩散，如下所示：
Oracle Weblogic Server漏洞
Flash UAF漏洞
RDP攻击
垃圾邮件
APT水坑攻击
漏洞利用工具包和恶意广告下载
C.R.A.M. TG Soft（反恶意软件研究中心）曾出过一份详细的分析报告，追踪了这款勒索病毒这几个月的演变，报告下载地址：
https://www.tgsoft.it/immagini/news/20190705Sodinokibi/Sodinokibi_eng.pdf
近日安全研究人员公布了此款勒索病毒的最新信息，如下所示：
这款勒索病毒的钱包地址：
3AXsdbxDtWd8BKw2tfZxH1nb3rXLKFFxXY，通过查询发现此BTC钱包，暂无赎金，后续可以持续跟踪这款勒索病毒的BTC钱包地址：
此前还发现过两个Sodinokibi勒索病毒的BTC钱包地址：
3JxrembpZuzsMVxtr7NBy2sxX1MhEiaRnf
3Fxn6x58FvreuBA9ECyxYdx8dQnDuZhxMj然而这款勒索病毒跟GandCrab一样，也是通过RAAS（勒索即服务）分发的，它的钱包地址有很多，需要跟踪所有黑客BTC钱包地址，我这里仅仅收集追踪了几个而已，后面还会持续跟踪，当受害者交付赎金之后，可以从黑客的解密网站下载勒索病毒的解密工具，笔者曾追踪下载过一款Sodinokibi勒索病毒的解密工具，此勒索病毒加密后的文件，如下所示：
勒索提示信息文本文件，如下所示：
通过访问勒索病毒的解密网站，可以看到黑客的BTC钱包地址，如下所示：
在六天之内，黑客勒索的赎金为0.14994007 BTC，超过六天双倍，赎金为：0.29988014 BTC
最近一两年针对企业的勒索病毒攻击越来越多，不断有企业被加密勒索，大部分中小型企业被加密勒索之后，会选择交付赎金，还有一些大型的企业，被勒索病毒攻击，可能也暗地里与黑客联系，交付赎金，在微信群里也经常有人反馈相关的勒索消息，如下所示：
也许只有当勒索病毒背后的黑产团伙无利可图的时候，才会没有勒索病毒，但事实上现在一些企业被加密勒索之后都会寻求解密中介或找黑客进行解密，这也间接导致现在勒索病毒越来越多，因为黑客可以从中获取巨大的利益，针对勒索病毒的攻击，我们要做好相应的防范措施，以防为主，此前我写过两篇关于企业勒索病毒文章，可以参考一下
勒索病毒防范措施与应急响应指南
企业中了勒索病毒该怎么办？可以解密吗？
全球大多数的安全问题都是通过恶意软件进行攻击的，如果你对恶意软件感兴趣，想研究学习各类恶意样本的分析技术，想与一些专业的安全分析师与漏洞研究专家交流，欢迎加入知识星球：安全分析与研究，分享各种安全技术：应急响应、恶意样本分析、渗透测试、漏洞研究、移动安全等
入知识星球的朋友，可以加我微信:pandazhengzheng，然后会拉你加入微信群：安全分析与研究，可以随时提供专业的安全咨询和指导
安全的路很长，贵在坚持......
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
