本文分析了最近流行的Darkside勒索病毒的网络传播途径,指出了目前企业网络应用的安全弱点,并针对性的提出了事前、事中和事后三种网络防御方法,对类似的网络病毒防范有很好的借鉴作用。
一、Darkside勒索病毒网络传播途径分析
根据公开的新闻报道,受害企业是在中毒之后1天之内就向黑客支付了500万美元的赎金,但解密速度缓慢,影响了生产工作的恢复。事情的起因是受害单位因为疫情的原因让员工居家远程办公(和工业互联网、公司网站等无关),其办公网络的Windows电脑开了远程桌面服务,被黑客利用自动化攻击工具(bot僵尸网络)进行暴力破解;暴力破解成功后,自动化攻击工具登录受害者的电脑,并从黑客事先建立好的网站(C&C服务器)中下载了Darkside勒索加密工具软件,网址类似https://baroquetees.com/fbi.exe或http://185.117.119.87/update.exe,再在受害者电脑中执行该加密软件。经过Darkside勒索病毒加密后的桌面如下图所示。
![](http://www.trustcomputing.com.cn/images/darkside/darkside1.png)
图一 Darkside勒索病毒发作界面
二、Darkside勒索病毒的网络防御措施
根据以上对Darkside勒索病毒网络传播途径的分析,我们可以从事前、事中和事后三种方式进行网络防御。
1、事前防御
由于Windows远程桌面服务对所有网络IP地址开放,使得黑客也可以连接并暴力破解Windows远程桌面服务,所以需要识别并限制合法用户进行连接,可以采取的措施有:
l IP白名单
l VPN远程接入
如果员工分布分散,无法事先确定IP白名单,那么合适的防御措施是加装VPN远程接入系统,员工先通过VPN登录,再连接Windows远程桌面,而VPN系统具备隐身性,无法通过端口扫描工具探测,且无法通过暴力破解等方式入侵,从而保护了整个办公网络。
以下是中神通大地云控的VPN服务器的管理界面截图,作为参考:
![](http://www.trustcomputing.com.cn/images/darkside/dadi_vpn1.png)
图二 VPN远程接入—VPN服务器
2、事中防御(0day防御)
Darkside勒索加密工具软件的下载网址类似“https://baroquetees.com/fbi.exe”,为此需要对全部HTTPS加密数据流中后缀名是“.exe”的可执行文件进行过滤,同时,针对Windows、防病毒软件升级时所需的数据包,可以设置部分白名单域名,从而做到零信任防御,即使黑客能够登录Windows也下载不了勒索加密工具软件。
如果PC防病毒软件无法获取Darkside病毒最新的特征码,或者Darkside病毒事先做了免杀测试,那么PC防病毒软件无法查杀下载的Darkside勒索加密工具软件。而交换机旁路监听、IDS入侵检测等无法解密HTTPS加密数据流,普通WEB代理只能看到HTTPS URL中的域名,无法看到整个URL,因此,能过滤HTTPS URL的措施只有:
l 自签名CA证书的HTTP代理进行HTTPS过滤
正规SSL证书只能适配一个域名,而HTTPS过滤要适配所有域名,为此,需要事先在各个客户端(起码在服务器)中安装自签名CA根证书,否则客户端将无法浏览HTTPS网站。
为了强制执行HTTPS过滤,可以
1)在边界网关处设置HTTP透明代理,让所有80、443的流量都重定向到边界网关自身的HTTP代理服务器上;
2)边界网关阻拦所有的80、443的流量,只允许访问特设的HTTP代理服务器的端口,强制用户手工设置该HTTP代理。
以下是中神通UTMWALL-OS及大地云控的HTTP代理服务器的管理界面截图,作为参考:
![](http://www.trustcomputing.com.cn/images/darkside/dadi_httpproxy1.png)
图三 自签名CA证书的HTTP代理进行HTTPS过滤—HTTP代理服务器
![](http://www.trustcomputing.com.cn/images/darkside/dadi_httpproxy2.png)
图四 过滤HTTPS数据流中的.exe后缀文件—HTTP代理服务器
l 日志审计+蜜罐Honeypot+IP黑名单
另外,还可以启用DNS、SSH、WEB代理等日志审计,以此作为真实的(非开放全部端口)蜜罐Honeypot,记录黑客在探测阶段的尝试,再将不良IP加入到IP黑名单中,如下图所示。
![](http://www.trustcomputing.com.cn/images/darkside/dadi_firewall1.png)
图五 IP黑名单
3、事后防御(1 day~N day防御)
根据各个来源的威胁情报分析,我们可以将已知的Darkside勒索加密工具软件下载网址、C&C服务器的域名进行过滤,例如:baroquetees.com、securebestapp20.com、temisleyes.com、catsdegree.com等。可以在两个环节进行过滤:
l 在域名解析时做过滤
l 在HTTP代理中做域名过滤
对于IP地址,例如:198.54.117.200、198.54.117.198、198.54.117.199、198.54.117.197、 185.117.119.87等,可以在两个环节进行过滤:
l 加入IP黑名单
l 在HTTP代理中做域名过滤
另外,如果PC防病毒软件有最新的Darkside病毒的特征码,可以
l 更新PC防病毒软件的特征库
为了强制执行DNS过滤,可以
1)在边界网关处设置DNS透明代理,让所有UDP 53的流量都重定向到边界网关自身的DNS服务器上;
2)事先在局域网DHCP服务器中设置DNS服务器地址,从而让客户端使用此专门的DNS服务器;
3)边界网关阻拦所有的UDP 53的流量,只允许访问特设的DNS服务器,强制用户手工设置该DNS服务器。
以下是中神通UTMWALL-OS及中神通大地云控的DNS服务器和HTTP代理服务器的管理界面截图,作为参考:
![](http://www.trustcomputing.com.cn/images/darkside/dadi_dns1.png)
图六 在域名解析时做过滤—DNS服务器
![](http://www.trustcomputing.com.cn/images/darkside/dadi_dns2.png)
图七 在HTTP代理中做域名过滤—HTTP代理服务器
三、总结
由于勒索病毒的特殊性,普通防火墙、边界网关、路由器、WEB代理以及基于特征码的PC防病毒软件、IDS入侵检测、态势感知等都不能抵御这类网络病毒的侵犯,只有按照零信任安全策略部署的VPN系统以及采取特殊措施的7层过滤才能做到真正的防患于未然。
具体来说,对于线下局域网,可以使用中神通UTMWALL-OS作为在线部署的边界网关;对于已有边界网关的补充,或是公有云网络,可以使用旁路部署的中神通大地云控,具体部署平台既可以是裸金属x86硬件平台,也可以是虚拟机或公有云平台,均开启VPN服务器、HTTP代理服务器和DNS服务器作为事情、事中和事后的防范措施。
参考资料:
1、中神通UTMWALL-ROM网关OS(简称UTMWALL-OS)
http://trustcomputing.com.cn/cn/index.php/product/gwos
2、中神通大地DNS&URL&VPN云控管系统(简称大地云控)
http://www.trustcomputing.com.cn/cn/index.php/product/dns-url
3、Analysis Report fbi.exe
https://www.joesandbox.com/analysis/372394/0/executive
4、美国进入区域紧急状态!我们扒了扒幕后黑手
https://news.ifeng.com/c/868doPaorkE
[
本帖最后由 linda 于 2021-8-19 15:13 编辑 ]