上周，checkpoint研究人員發(fā)布了關(guān)于新出現(xiàn)的勒索軟件 Pay2Key 攻擊的預(yù)警信息。隨后，研究人員進(jìn)行了進(jìn)一步調(diào)查，發(fā)現(xiàn)勒索軟件攻擊的目標(biāo)主要是以色列公司。勒索軟件會(huì)在受害者網(wǎng)絡(luò)中快速傳播，網(wǎng)絡(luò)中大部分都會(huì)被加密，并留下勒索信息，威脅不支付贖金就泄露竊取的公司數(shù)據(jù)。

[[352498]]

有多家公司都選擇支付了贖金，因此可以通過贖金來追蹤攻擊活動(dòng)背后的攻擊者。研究人員與區(qū)塊鏈情報(bào)公司W(wǎng)hitestream 聯(lián)合分析發(fā)現(xiàn)支付的贖金比特幣都流向了一家伊朗的比特幣交易所。

雖然大多數(shù)公司位于以色列，但Swascan 研究人員發(fā)現(xiàn)有受害者位于歐洲。

圖 1: Pay2Key 加密的其他目標(biāo)

Double Extortion

Double Extortion是近期勒索軟件攻擊的一種新趨勢(shì)，即威脅泄露從受害者網(wǎng)絡(luò)中竊取的數(shù)據(jù)來迫使受害者支付贖金。Pay2Key 運(yùn)營(yíng)者也使用了這一技巧。

圖 2: Pay2Key 威脅泄露受害者數(shù)據(jù)

Pay2Key 作者啟用了一個(gè)新的Onion 網(wǎng)站，準(zhǔn)備分享那些不愿意支付贖金的Pay2Key 受害者的數(shù)據(jù)。

圖 3: Pay2Key 計(jì)劃用于分享泄露數(shù)據(jù)的站點(diǎn)

目前，沒有支付贖金的受害者是3家以色列公司。每家受害者公司泄露的數(shù)據(jù)都被上傳到該網(wǎng)站的一個(gè)指定的文件夾中，以及攻擊者留下的信息。信息中有關(guān)于受害者數(shù)字資產(chǎn)的敏感信息，包括域名、服務(wù)器、備份的細(xì)節(jié)。

圖 4: 為一家法律公司定制的數(shù)據(jù)泄露信息

圖 5: 督促游戲開發(fā)公司支付贖金的更新信息

贖金流分析

根據(jù)目前的數(shù)據(jù)，至少有4家受害者公司支付的贖金。在Whitestream 公司的協(xié)助下，研究人員對(duì)勒索贖金使用的比特幣進(jìn)行了追蹤，發(fā)現(xiàn)了一家名為Excoino 的伊朗加密貨幣交易所。

圖 6: 受害者與目標(biāo)交易所之間的比特幣交易流

交易流從支付勒索贖金的比特幣錢包開始。受害者向勒索信中的錢包地址支付后，攻擊者就會(huì)立刻將錢轉(zhuǎn)到一個(gè)即時(shí)錢包中，該錢包在許多受害者的勒索支付中都使用過。然后，比特幣會(huì)被轉(zhuǎn)移到一個(gè)與high activity cluster相關(guān)的最終的錢包地址。high activity cluster一般是與比特幣市場(chǎng)相關(guān)的金融實(shí)體相關(guān)的組織，一般來說是交易所。

為了驗(yàn)證最終的錢包地址和Excoino 交易所的關(guān)系，研究人員使用WalletExplorer 服務(wù)和一個(gè)已知的Excoino 錢包地址。

圖 7:在YouTube教程上找到的與Excoino 交易所相關(guān)的比特幣去錢包

研究人員分析圖7中的比特幣地址以及最終的錢包地址，發(fā)現(xiàn)cluster id [00045af14c] 是相同的。

圖 8: 已知的Excoino 錢包

圖 9: 與攻擊活動(dòng)相關(guān)的一系列交易中的最終錢包

Excoino是一家為伊朗人民提供安全加密貨幣交易服務(wù)的伊朗公司。注冊(cè)需要用戶持有有效的伊朗手機(jī)號(hào)碼和ID/Melli code (کد ملی)。要在交易所交易，也需要提供ID。

根據(jù)規(guī)定，Excoino稱所有可疑的交易都會(huì)報(bào)告給伊朗網(wǎng)絡(luò)警察FATA進(jìn)行下一步調(diào)查。

這表明，最終錢包的所有者可能是伊朗人，也可能是以色列Pay2Key勒索攻擊活動(dòng)背后的攻擊者。

總結(jié)

Pay2Key是一起主要攻擊以色列的勒索軟件攻擊活動(dòng)。攻擊中使用了double extortion 技巧，迫使受害者支付贖金。研究人員通過支付的比特幣贖金進(jìn)行溯源，發(fā)現(xiàn)勒索贖金流向了一家伊朗加密貨幣交易所，這表明該起攻擊活動(dòng)背后的攻擊者應(yīng)該是伊朗人。

本文翻譯自：https://research.checkpoint.com/2020/pay2key-the-plot-thickens/

 【責(zé)任編輯：趙寧寧 TEL：（010）68476606】