跳至主要内容

Princess Evolution勒索软件现身暗网 其开发者正在寻找合作

来自趋势科技的消息称，自7月25日以来，其安全团队就一直在追踪一场通过Rig漏洞利用工具包交付加密货币挖掘恶意软件和GandCrab勒索软件的恶意活动。在8月1日，该团队发现Rig释放了一个并不被他们所熟悉的勒索软件。随即，该团队对这款看似全新的勒索软件进行了深入研究。在通过Tor网络查看了它的赎金支付页面之后，研究人员发现它被命名为Princess Evolution（由趋势科技检测为RANSOM_PRINCESSLOCKER.B），且实际上是Princess Locker勒索软件（于2016年推出）的一个新版本。从最近发布在地下论坛上的广告来看，它的运营商似乎意图将Princess Evolution升级为勒索即服务（RaaS），并正在寻求合作商。
对于这场新的恶意活动而言，还有另一个值得注意的地方，那就是活动还交付了Coinhive（COINMINER_MALXMR.TIDBF）。这意味着用户即使没有被Rig漏洞利用工具包分发的勒索软件感染，网络犯罪分子仍然可以通过挖掘加密货币来获取非法收益。这场新活动的另一个特征是，其运营商将他们的恶意广告网页托管在免费的网络托管服务上，并使用域名系统规范名字（DNS CNAME）将他们的广告域名映射到恶意网页上。
图1.在支付网站上的Princess Evolution图标
图2.通过Rig漏洞利用工具包交付Princess Evolution的恶意流量（上），以及恶意广告域的域名系统（DNS）响应（下）
Princess Evolution升级为勒索软件即服务
Princess Evolution与Princess Locker的赎金票据完全相同。Princess Evolution会对系统中的文件进行加密，并将其原始文件扩展名更改为随机生成的字符串。它还会释放一个赎金票据，其中包含有关到哪里以及如何支付0.12比特币赎金的说明（截至到2018年8月8日，这相当于773美元）。
研究人员发现，Princess Locker的开发者于7月31日在地下论坛上发表了一篇帖子，为他们新创建的Princess Evolution合作计划进行广告宣传。根据其描述的商业模式，合作商将能够获得赎金的60%，其余部分归勒索软件开发者所有。根据他们的广告，运营商似乎在升级Princess Evolution上花了不少的时间。
以下是在地下论坛上发现的Princess Evolution升级广告的原始文本，是采用俄语编写的：
С новым летним днем, друзья! Несколько месяцев назад мы вынуждены были приостановить деятельность для того, чтобы пересмотреть наши позиции во многих отношениях и отправиться на поиски собственного идеала. Это был период наблюдений, разработок, экспериментов, длительных ожиданий и споров. Очертания идеала всегда обманчиво ускользают в экстазе погони за ним, неизменно оставляя позади преодоленную дистанцию. Это и являет собой суть прогресса, благодаря которому мы рады вернуться и приветствовать вас с новой версией нашего продукта. **Princess Evolution**
大致翻译为：
盛夏快乐，朋友们！几个月前，我们不得不暂停我们的活动来审视我们在许多方面的立场/处境，并开始一段新的旅程。这是一段观察、开发、测试、长时间等待和论证的时期。这是一个进步的关键点，我们很高兴能用新版本的产品来回馈你们。**Princess Evolution**
技术分析
它的加密过程涉及到使用XOR和AES算法对文件的第一个数据块进行加密，同时使用AES算法加密文件的其余数据。研究人员表示，他们在Princess Locker上看到了Princess Evolution的一个重大改变，即从使用超文本传输协议（HTTP）POST切换到使用用户数据报协议（UDP）进行命令和控制（C＆C）通信。这种改变可能是由于UDP传输和发送数据的速度更快，因为它具有较少的开销（例如，在发送数据之前无需建立连接）。
Princess Evolution会生成了一个随机的XOR密钥（0x80字节）以及另一个使用AES-128算法生成的密钥，并将这些密钥以及以下信息通过UDP发送到167[.]114[.]195[.]0/23[:]6901：
  • 受感染计算机的用户名
  • 活跃网络接口的名称
  • 系统的区域设置ID（LCID）
  • 操作系统版本（OS）
  • 受害者ID
  • 在Windows中注册的安全软件
  • 程序何时启动的时间戳
Princess Evolution的C＆C通信方法与Cerber的通信方式类似。同样值得注意的是，Princess Locker的支付页面与Cerber的支付页面相似，而Princess Evolution的支付页面现在已经采用了全新的设计。
图3. Princess Evolution在UDP上的C＆C通信（上）及其支付网站（下）
IoCs
相关散列值（SHA-256）：
  • 1408a24b74949922cc65164eea0780449c2d02bb6123fd992b2397f1873afd21—RANSOM_PRINCESSLOCKER.B
  • 981cf7d1b1b2c23d7717ba93a50fc1889ae78ee378dbb1cbfff3fd0fe11d0cbc—RANSOM_PRINCESSLOCKER.B
  • 8fc9353cc0c15704f016bc1c1b05961ab267b6108cfa26725df19a686ec2ad28–RANSOM_GANDCRAB.TIAOBH
  • 6502e8d9c49cc653563ea75f03958900543430be7b9c72e93fd6cf0ebd5271bc—COINMINER_MALXMR.TIDBF
与Princess Evolution相关的恶意广告域名：
  • greatchina[.]ga
  • princessno1[.]tk
  • smokeweedeveryday[.]tk
与Princess Evolution相关的IP地址：
  • hxxp://188[.]225[.]34[.]86/（Rig漏洞利用工具包的IP 地址）
  • hxxp://178[.]32[.]201[.]161/（与加密货币挖掘恶意软件相关的C＆C IP地址）

评论

发表评论

此博客中的热门博文

【反邪 | 柳州：融安县东起乡扶贫能手勇当反邪先锋】（龙政光）#我为反邪教代言##柳州反邪#在抗击新型冠状病毒感染的肺炎疫情的战疫中，融安县东起乡驻村工作队的队员们一直战斗在疫情防控一线，他们既是扶贫能手又是反邪先锋。疫情期间他们入户确保贫困户生活能得到保障、进行外来人口摸排、对重点对象进行监测、进行产业政策宣传、动员复工复产确保脱贫成果。同时向村民普及反邪教知识，进行防疫知识宣传并发放反邪教宣传手册，告诉他们什么是邪教，邪教的危害，要做到认知邪教，拒绝邪教！提醒村民防范邪教，防止邪教组织在疫情紧张时期拉拢蛊惑群众，如有外来人员宣传邪教时马上打110报警。反邪教工作的持续开展确保了东起乡的稳定安宁。@广西反邪教 @柳州政法

【反邪 | 柳州：融安县东起乡扶贫能手勇当反邪先锋】（龙政光）#我为 反邪教 代言##柳州反邪#在抗击新型冠状病毒感染的肺炎疫情的战疫中，融安县东起乡驻村工作队的队员们一直战斗在疫情防控一线，他们既是扶贫能手又是反邪先锋。疫情期间他们入户确保贫困户生活能得到保障、进行外来人口摸排、对重点对象进行监测、进行产业政策宣传、动员复工复产确保脱贫成果。同时向村民普及 反邪教 知识，进行防疫知识宣传并发放反 邪教 宣传手册，告诉他们什么是 邪教 ， 邪教 的危害，要做到认知 邪教 ，拒绝 邪教 ！提醒村民防范 邪教 ，防止 邪教 组织在疫情紧张时期拉拢蛊惑群众，如有外来人员宣传 邪教 时马上打110报警。 反邪教 工作的持续开展确保了东起乡的稳定安宁。@广西 反邪教 @柳州政法
发表评论
阅读全文

看《银翼杀手2049》前，先看看原著小说吧

电影名气这么大，原著小说也不简单，来自美国科幻界大师菲利普·迪克的《仿生人会梦见电子羊吗？》 菲利普·迪克精装套系 （美）菲利普·迪克 著 许东华 等译 译林出版社 2017年10月 　　韩松 　　1982年，雷德利·斯科特导演的电影《银翼杀手》上映，成为电影史上的科幻经典。时至今日，《银翼杀手》的魅力丝毫未减，其影响之深远已经超越了电影。35年后，电影续集《银翼杀手2049》10月27日在国内上映。电影名气这么大，原著小说也不简单，来自美国科幻界大师菲利普·迪克的《仿生人会梦见电子羊吗？》，这本有着奇怪名字的小说，是菲利普·迪克最负盛名的作品，也是各大科幻书单的必读书目，电影《银翼杀手》和《银翼杀手2049》的人物角色和灵感设想就是发源于此。 　　菲利普·迪克精装套系包括《仿生人会梦见电子羊吗？》《高堡奇人》《少数派报告》《尤比克》《流吧！我的眼泪》五部科幻小说。作品集中探讨“何为真实”以及“个体身份建构”，盛名经久不衰，有多部作品被改编成电影，包括《银翼杀手》《少数派报告》《全面回忆》等。以其名字命名的菲利普·K·迪克奖是美国科幻界的主要奖项之一。 　　 生前潦倒，死后盛名 　　关于迪克的生平，如今人们介绍得已经很多了，大致是这么一些情况： 　　他生于1928年，卒于1982年，只活了54岁。他作品中的不少人物，差不多也都命不长。 　　他活着时，几乎就是个“撸瑟”，也就是失败者。他有一个双胞胎妹妹，但出生后五周就死了。迪克认为是母亲照料不周，因此恨他妈，家庭关系不好。而父亲在迪克四岁时，也抛家而去。迪克结过五次婚，都离了。成年迪克靠安非他命活着，还吸毒，经常陷入神经错乱中。他有严重的焦虑症，不能与人正常交往。他还患上了妄想症，认为自己被联邦调查局和中央情报局监视。他有广场恐惧症，连在公众面前吃东西，都感到困难。他还患上了抑郁症，曾尝试自杀。他在70年代后，沉湎于超自然，并一度称获得天启。他只短暂地上过一年大学，读哲学，在加大伯克利分校。他基本上是自学成才。他一生大部分时间居住在加利福尼亚。 　　他是一位多产的作家，从1952年开始写作，到1982年去世，创作了整整30年，写了44部长篇小说，以及120多篇中短篇小说。他常常为挣稿费养活自己而拼命写。他没有其他工作。他的个人经济状况很窘迫，在50年代，一度连图书馆借书...
发表评论
阅读全文

糖尿病患者按这10种方法吃主食，升血糖慢，餐后血糖达标更有保障

主食的主要成分是碳水化合物，简称“糖类”，因为糖类会产生热量，所以吃了以后，就会升高血糖。但是，从古到今，人类生存，一日三餐，又离不开主食。 主食吃了升血糖，不吃又不行，那么，怎样才能吃主食让血糖升得慢一些呢？本文就告诉您10个方法。 1.吃粗粮比吃细粮升血糖慢 临床工作人员常会建议糖尿病患者适当吃点粗粮，就是因为粗粮中含有丰富的膳食纤维，膳食纤维是一种多糖类物质，不会被人体吸收，也不产生热量，所以，吃了不会明显升高血糖。 但是，有些患者就天天吃粗粮，甚至一天三餐，一次吃两三个馒头，那就失去了吃粗粮的意义。 粗粮中的膳食纤维掺合在细粮中，可起到延缓血糖升高的作用，吃多了，粗粮中的非膳食纤维成分同样会产生更多的热量。 所以，建议 糖尿病患者吃粗粮的时候，只是比同等量的细粮多吃几口而已，并不是吃得越多越好。最好粗粮细粮搭配着吃，交替着吃。 2.吃杂粮主食比吃纯粮主食升血糖慢 杂粮馒头指两种或两种以上的粮食磨成面粉做成的馒头，如将荞麦面、小麦面、玉米面、豆面等，其中的两种或三种，甚至四种，或者更多的面粉掺合起来做成的馒头，比单纯用一种面粉做成的馒头营养丰富，还升血糖慢。 如果 在杂粮馒头中加入部分菜叶，如芹菜叶等，升血糖更慢 。 杂米饭也是这个道理，将 大米、小米、豆类或其他米类中的两种或两种以上的米混杂在一起，蒸米饭，要比单纯蒸白米饭升血糖慢。 若在 蒸杂粮米饭的时候加入几块胡萝卜、南瓜等，还能补充一些维生素 等。 3.吃干饭比吃稀饭升血糖慢 现在很多患者知道吃大米稀饭升血糖快。这是因为稀饭经过反复熬煮、糊化，易于吸收，能够迅速升高血糖。 所以，有的患者不喝大米稀饭改喝小米稀饭， 小米稀饭同样能够较快升高血糖 。这不是大米和小米本身的原因，而是烹饪方式的结果。 任何一种米，只要熬烂，做成稀饭，都比干饭升血糖快。 为什么有的人喝麦片，升血糖快；有的人喝麦片，血糖升高不明显。升血糖慢的，是用开水冲了以后，及时食用；升血糖快的，也是缘于长时间的焖煮，性质变成稀饭了。 4.吃硬的比吃软的升血糖慢 同样是主食，如果选择 火烧、煎饼、窝头、烙饼 等相对干硬的的食物，需要较长时间的咀嚼、消化和吸收，就要比柔软的发糕、疙瘩汤、煮烂的面条等升血糖慢。 俗话说，有的人在人际交往方面，吃软不吃硬，糖尿病患者吃主食时...
发表评论
阅读全文