Nokoyawa 是今年新出現(xiàn)的 Windows 勒索軟件，F(xiàn)ortinet 最早捕獲的樣本是在 2022 年 2 月編譯的，并且與 Karma 勒索軟件存在大量的相似之處。Karma 可以通過一系列變種追溯到名為 Nemty 的勒索軟件，后者為在 2019 年被發(fā)現(xiàn)的勒索軟件。

近期發(fā)現(xiàn)的 Nokoyawa 變種，重用了大量公開源碼來改進(jìn)自身。本文將會(huì)介紹 Nokoyawa 勒索軟件的及基本情況。

Nokoyawa 勒索軟件

與 Karma 能夠在 32 位/ 64 位 Windows 運(yùn)行不同，只發(fā)現(xiàn)了在 64 位 Windows 上運(yùn)行的 Nokoyawa 樣本。

Nokoyawa 提供了幾個(gè)命令行參數(shù)：

• help：打印命令行選項(xiàng)列表
• network：加密所有驅(qū)動(dòng)器和卷上的文件（本地和網(wǎng)絡(luò)）
• file：加密單個(gè)文件
• dir：加密指定目錄和子目錄中的所有文件

如果沒有提供參數(shù)，Nokoyawa 默認(rèn)加密所有本地驅(qū)動(dòng)器和卷。

為了保持加密速度，Nokoyawa 創(chuàng)建了多個(gè)線程來加密不以 .exe、.dll 或 .lnk 為擴(kuò)展名的文件。文件名中帶有 NOKOYAWA 的文件也會(huì)被跳過。此外，一些目錄及其子目錄通過將其名稱的哈希與樣本中硬編碼的哈希列表進(jìn)行對(duì)比也會(huì)被跳過。

攻擊者為每個(gè)樣本都生成一對(duì)新的橢圓曲線加密公私鑰對(duì)，然后將公鑰嵌入文件中。這樣，攻擊者消除了受害者可以使用相同密鑰解密的可能性，因?yàn)槊總€(gè)受害者都是獨(dú)立的。

被勒索軟件加密的文件會(huì)附加 .NOKOYAWA的擴(kuò)展名，贖金勒索信息被寫入每個(gè)加密目錄中的 NOKOYAWA_readme.txt中。

抄襲能力

2022 年 4 月發(fā)現(xiàn)的樣本中增加了三個(gè)新功能，都為了讓 Nokoyawa 可以更多的加密文件。這些功能在勒索軟件中廣為使用，但 Nokoyawa 才開始將其引入，嘗試在技術(shù)能力上追趕其他攻擊者。

研究人員能夠確認(rèn)，新增的功能都是從公開源碼中復(fù)制而來的，包括 2021 年 9 月泄露的 Babuk 勒索軟件源碼。

舉個(gè)例子，終止進(jìn)程與服務(wù)以減少被其他程序鎖定文件的數(shù)量。這一點(diǎn)上，Nokoyawa 的代碼與 Babuk 的代碼完全一致。

代碼比對(duì)

受到影響的進(jìn)程如下所示：

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe

受到影響的服務(wù)如下所示：

• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• ccSetMgr
• SavRoam
• RTVscan
• QBFCService
• QBIDPService
• Intuit.QuickBooks.FCS
• QBCFMonitorService
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc

樣本中還使用 IOCTL_VOLSNAP_SET_MAX_DIFF_AREA_SIZE (0x53c028) 控制代碼的 DeviceIoControl API 將卷影副本快照的空間大小調(diào)整為 1 字節(jié)，以此刪除卷影副本快照。該技術(shù)實(shí)現(xiàn)似乎是從公開的 POC 中復(fù)制而來，舊樣本中沒有刪除卷影副本快照的功能。

不過，以上功能想要正常執(zhí)行都是需要管理員權(quán)限的。在樣本中未觀察到 Windows UAC 繞過的實(shí)現(xiàn)，攻擊者可能通過其他方式獲取的管理員權(quán)限。

勒索信息

在 2022 年 2 月的樣本中，受害者要求通過電子郵件聯(lián)系攻擊者。

勒索信息

在 2022 年 4 月 的樣本中，電子郵件被替換成了通過 Tor 的 URL。盡管使用的都是相同的 .onion 域名，但每個(gè)樣本的標(biāo)識(shí) ID 是唯一的。

勒索信息

贖金支付

訪問暗網(wǎng)網(wǎng)站會(huì)進(jìn)入在線聊天頁面，受害者可以與攻擊者溝通協(xié)商并支付贖金。研究人員觀察到潛在受害者與攻擊者的對(duì)話，攻擊者表示可以提供最多三個(gè)文件的免費(fèi)解密，證明能夠解密：

在線聊天

頁面標(biāo)注了贖金金額，本例中為 150 萬美元。支持比特幣與門羅幣支付，付款后攻擊者提供解密工具：

支付贖金

勒索軟件的專業(yè)化程度越來越高，這種網(wǎng)站可能是另一種改進(jìn)嘗試。

值得注意的是，攻擊者威脅會(huì)將數(shù)據(jù)泄露出去。但研究人員并未發(fā)現(xiàn) Nokoyawa 樣本具備這種能力。這很可能是攻擊者虛張聲勢(shì)，迫使受害者支付贖金。

結(jié)論

Nokoyawa 勒索軟件的新變種也在持續(xù)更新改進(jìn)，利用公開源碼更新自身功能，以小的代價(jià)為惡意軟件提高技術(shù)水平。