报告编号：B6-2021-091001

报告来源：360高级威胁分析中心

报告作者：360高级威胁分析中心

更新日期：2021-09-10

1 简介

勒索病毒传播至今，360反勒索服务已累计接收到上万勒索病毒感染求助。随着新型勒索病毒的快速蔓延，企业数据泄露风险不断上升，数百万甚至上亿赎金的勒索案件不断出现。勒索病毒给企业和个人带来的影响范围越来越广，危害性也越来越大。360安全大脑针对勒索病毒进行了全方位的监控与防御，为需要帮助的用户提供360反勒索服务。

2021年8月，全球新增的活跃勒索病毒家族有：LockFile、MBC、Karma、Malki、GetYourFilesBack、Salma、AllDataStolen、GoodMorning等。其中LockFile准确地说是2021年7月出现的，但在7月仅发现一个受害者，但从8月20日开始已出现10多个受害者；Karma是本月新增的双重勒索软件；MBC在本月成功攻击伊朗伊斯兰共和国铁路系统 ，并拥有自己的数据泄露网站，但截止到该报告发布，尚未见到其泄露受害者数据。

2 感染数据分析

针对本月勒索病毒受害者所中勒索病毒家族进行统计：phobos家族占比22.03%居首位，其次是占比19.13%的Stop，Makop家族以11.01%位居第三。

对比近三个月的感染数据，GlobeImposter家族呈持续下降的态势；已消失几月的BeiJingCrypt勒索软件再次活跃；通过长时间的观察发现，在国内传播的LockBit勒索软件并非都涉及数据泄露，受害设备数较少的企业/组织并未被该家族公开发布被窃取数据（但仍不排除有数据泄露风险）。

对本月受害设备中所运行的操作系统进行统计，位居前三的是：Windows 10、Windows 7以及Windows Server 2008。

2021年8月被感染的系统中桌面系统和服务器系统占比显示，受攻击的系统类型仍以桌面系统为主，与上月相比无较大波动。

 

3 勒索病毒疫情分析

Ragnarok勒索团伙释放主密钥

本月底Ragnarok勒索软件团伙将其数据泄露站点中受害者名单以及窃取到的数据全部撤下，并在其数据泄露站点发布了一个免费的解密程序。分析发现该解密程序是通过主密钥来解密被加密文件，此次公开的解密工具具备通用性。目前该数据网站已被彻底关闭。

Ragnarok勒索团伙运营的Ragnar Locker勒索病毒最早出现于2019年，在2020年年底正式将双重勒索加入运营模式。该勒索病毒因利用Citrix ADC漏洞搜索易受EternalBlue漏洞攻击的计算机并部署勒索而成名，通过该攻击方式其至少盈利450万美元。

2020年12月23日Ragnarok团伙首次在数据泄露网站发布受害者信息，截止其关停网站，至少有44个组织/企业被该家族采用“双重勒索”模式进行攻击，以下为部分典型攻击案例：

- 葡萄牙能源巨头EDP遭遇该家族攻击，被窃取10TB数据。

- 意大利白酒巨头金巴利遭遇该家族攻击，索要赎金高达1500万美元。

- 日本视频游戏巨头Capcom遭遇该家族攻击，被窃取39万客户、业务合作伙伴等个人数据。

- ADATA遭遇该家族攻击，被窃取700GB数据

新型勒索软件LockFile利用多个漏洞进行传播

LockFile首次发现是在2021年7月20日，当时其攻击了美国一家金融机构。而该勒索病毒真正活跃是从本月20日该家族开始，目前为止至少已有10个组织或企业遭遇该家族攻击。其攻击目标所在地区主要为美国和亚洲，也有少量其它地区的组织/企业受到攻击。

LockFile首先利用Exchange服务器的ProxyShell漏洞入侵企业内部网络，再利用PetitPotam漏洞控制AD域服务器，并感染内网的计算机。

该勒索病毒的勒索提示信息与CryLock勒索病毒家族的高度相似，其赎金谈判页面则与LockBit勒索病毒家族高度相似。

其中ProxyShell是一组包含3个漏洞的漏洞组，属于高危漏洞，由于其漏洞编号比补丁晚出4个月，并未引起高度重视，导致部分设备仍未更新补丁。企业内部应及时更新补丁。该漏洞组涉及编号为：

- CVE-2021-34473 Exchange Server代码执行漏洞

- CVE-2021-34523 Exchange Server 权限提升漏洞

- CVE-2021-31207 Exchange Server安全功能绕过漏洞

Conti勒索集团内部核心资料泄露

2021年8月5日，Conti网络犯罪团伙因内部分赃不均导致其下属组织将其内部资料以及工具公开，其中部分已被上传至暗网论坛，而另一部分文件则仅展示了文件列表的截图。

从该下属组织发布的消息看，他之所以会发布这些资料，是因为在一次攻击事件中虽然收取了高达数百万美元的赎金，但该下属组织却仅得到了1500美元，其余部分则全部被Conti的核心团队占有。

在研究泄露的俄语攻击教程文档时，我们发现他们采用的攻击手法并不算新颖：会先通过扫描本地的口令、凭证等获取更多设备的权限。而对于黑客而言，最重要的是通过该设备去了解当前设备所在域的整体架构，并尽可能去尝试攻击IT部门的相关设备（这样更有可能拿到域管理员权限或是域控设备）。该攻击阶段，采用到了多个公开的漏洞，例如“永恒之蓝”、ZeroLogon、PrintNightmare等。而在成功获取到域控/域管理员权限后，攻击者就可以通过组策略向域内的所有设备进行下发恶意程序、窃取数据、部署勒索等一系列操作。

关于该事件的更多详情可阅读Conti勒索集团内部核心资料分析：

https://cert.360.cn/warning/detail?id=8d113d8786af993a847bfc2e98c92ac6

https://cert.360.cn/warning/detail?id=8d113d8786af993a847bfc2e98c92ac6

Marketo发布多个知名企业受害者名单

Marketo是一个2021年4月搭建的数据泄露平台，该平台将通过将勒索软件、网站漏洞等非法途径获取到的数据进行出售。其还会通过电子邮件将受害者部分数据发送给其竞争对手——给受害者施加压力的同时，也诱惑其竞争对手购买。该网站目前已有5164名注册用户，注册用户可参与出价。每个受害者名单下均有展示出价次数。

截止2021年8月28日，该平台已至少发布了57个企业或组织的数据。而在8月28日当天，Marketo则一次性公布了11个受害者名单，其中包含以下三家较为知名企业：

- 日本富士被窃取4GB数据

- 德国Puma 被窃取1GB数据

- 法国GigaTribe 被窃取5GB数据

4 黑客信息披露

以下是本月收集到的黑客邮箱信息：

maz3@tuta.io	recovery.pc@aol.com	ransom1999@tutanota.com
in0x2@int.pl	kalitulz@yandex.com	ransom2000@tutanota.com
1bmx1@tuta.io	johnnylo@keemail.me	ransomwaree2020@cock.li
break@cock.li	globalbtc2@mein.gmx	ransomwaree2021@cock.li
jerjis@tuta.io	Decode@criptext.com	sdjhf4df@potronmail.com
fata52@cock.li	mangerman@firemail.d	unlockfile@criptext.com
fata54@cock.li	holylolly@airmail.cc	ezfilesdec@tutanota.com
dtramp@tuta.io	gluttony_001@aol.com	basani400@mailfence.com
decphob@tuta.io	moon4x4@tutanota.com	coderunlocker@gmail.com
getmydata@bk.ru	cyvedira@firemail.cc	howrecover@tutanota.com
supp0rt@cock.li	filedec@tutanota.com	sharm777@protonmail.com
rantime@tuta.io	chadmad@ctemplar.com	recoverman@tutanota.com
newera@tfwno.gf	filesdecrypt@aol.com	magicbox@outlookpro.net
mikolio@cock.li	wugenaxu@firemail.cc	kalitulz@protonmail.com
mikolio@xmpp.jp	databack@firemail.cc	highlvlservice@tfwno.gf
recofile@mail.ee	btcunlock@airmail.cc	chinadecrypt@msgsafe.io
pusheken91@bk.ru	ghosttm@zohomail.com	nullcipher@tutanota.com
pandabit@tuta.io	decrypt20@stealth.tg	xdatarecovery@msgsafe.io
decrypt20@vpn.tg	lepuscrysupp@mail.ee	Goodhack@privatemail.com
subik099@cock.li	lepuscrysupp@cock.li	mydataback@mailnesia.com
trizvani@aol.com	maykeljakson@cock.li	mymakopfile@tutanota.com
datashop@list.ru	unlocker@firemail.cc	kingstonbtc@tutanota.com
fastwind@mail.ee	958f895@tutanota.com	serioussam@thesecure.biz
johnsonz@cock.lu	johnlo@techmail.info	digistart@protonmail.com
pandora9@tuta.io	phobos@mailfence.com	tsec3x777@protonmail.com
files@restore.ws	zahary@techmail.info	savemyself1@tutanota.com
infoback@mail.ee	Help1999@tutanota.com	HELPUNKNOWN@Tutanota.com
help4dec@cock.li	assistant@firemail.de	itambuler@protonmail.com
recover1@cock.li	hublle@protonmail.com	dcrptfile@protonmail.com
sharm777@aol.com	paymantsystem@cock.li	encrypted60@tutanota.com
tutik337@tuta.io	Hubble77@tutanota.com	jonneydep@protonmail.com
tutik337@cock.li	crioso@protonmail.com	sdx-20200@protonmail.com
covidv19@cock.li	eleezcry@tutanota.com	fastwind2@protonmail.com
globalbtc@gmx.de	dozusopo@tutanota.com	keydecryption@airmail.cc
picklock@elude.in	subik099@tutanota.com	datastore@outlookpro.net
greed_001@aol.com	trizvani@tutanota.com	harpia2019@mailfence.com
pride_001@aol.com	btcunlock@firemail.cc	sacura889@protonmail.com
wiruxa@airmail.cc	anticrypt2020@aol.com	coderunlockerr@gmail.com
happy@gytmail.com	yongloun@tutanota.com	ransom19999@tutanota.com
falcon360@cock.li	alonesalem@keemail.me	emiliantor@mailfence.com
lexus@gytmail.com	sdx-2020@tutanota.com	paybackformistake@qq.com
getmydata@cock.li	dragon.save@yahoo.com	John.Muller@mailfence.com
basani400@aol.com	covidv19@tutanota.com	JohnMuller88@tutanota.com
databankasi@bk.ru	decrypt20@firemail.cc	harmagedon0707@airmail.cc
gracia154@tuta.io	infoback@criptext.com	pecunia0318@protonmail.ch
gracia154@cock.li	ghiedksjdh6hd@cock.li	hinduism0720@tutanota.com
boomblack@cock.li	anticrypt2021@aol.com	yourfriendz@techmail.info
safetynet@mail.ee	crashonlycash@gmx.com	helpmedecoding@airmail.cc
2magicbox@cock.li	help4rec@tutanota.com	reynoldmuren@tutanota.com
johnlo@keemail.me	unlocker@criptext.com	moonlight101@tutanota.com
decrypt20@xmpp.jp	gener888@tutanota.com	redsnow911@protonmail.com
indyan@airmail.cc	vnhack@protonmail.com	alonesalem@protonmail.com
riscattu@gmail.com	Howtodecrypt@elude.in	forumsystem@techmail.info
kabura@firemail.cc	johnnylo@techmail.info	ransomsophos@tutanota.com
raboly@firemail.cc	recofile@mailfence.com	dr.cryptor@protonmail.com
kubura@firemail.cc	getthekey@tutanota.com	maykeljakson@criptext.com
dacowe@firemail.cc	ithelp02@decorous.cyou	recovery.pc@mailfence.com
phobos2020@cock.li	rans0me@protonmail.com	ransom199999@tutanota.com
surpakings@mail.ee	payfast290@mailtor.com	ransom200000@tutanota.com
ransomtime@cock.li	serioussam@firemail.cc	strike8889@protonmail.com
in0x2@tutanota.com	decphob@protonmail.com	emilianazizi@tutanota.com
harpia2019@aol.com	eight20@protonmail.com	evilmosquito@onionmail.org
jennymombu@aol.com	divevecufa@firemail.cc	Leslydown1988@tutanota.com
helpme2021@aol.com	itambuler@tutanota.com	cryptonation92@outlook.com
james2020m@aol.com	surpaking@tutanota.com	decrypt_ad1@protonmail.com
james2020m@cock.li	cifrado60@tutanota.com	Black_Wayne@protonmail.com
jackkarter@gmx.com	opticodbestbad@aol.com	dataencrypted@tutanota.com
jackkarter@cock.li	opticodbestbad@mail.ee	xiaolinghelper@firemail.cc
safetynet@tfwno.gf	unlockdata@firemail.cc	jobiden1942@protonmail.com
rottencurd@mail.ee	encryption2020@aol.com	decryption24h@criptext.com
dr.help888@aol.com	grootp2@protonmail.com	mrs.help888@protonmail.com
sacura1716@cock.li	noobt56@protonmail.com	reopening1999@tutanota.com
help2021me@aol.com	decryption24h@elude.in	pablokariablo@mail2tor.com
nullcipher@goat.si	dr.cryptor@secmail.pro	venomous.files@tutanota.com
help@wedecrypt.net	unlockfile@firemail.cc	ithelp02@wholeness.business
pecunia0318@goat.si	jennymombu@firemail.cc	quickrecovery05@firemail.cc
Natonyx@firemail.cc	sacura889@tutanota.com	davidshelper@protonmail.com
greenreed007@qq.com	jonnylow@techmail.info	dowendowxxx@privatemail.com
clean@onionmail.org	boomblack@tutanota.com	decryption24h@mailfence.com
r4ns0m@tutanota.com	rottencurd@vivaldi.net	highlvlservice@ctemplar.com
contactjoke@cock.li	958f895@protonmail.com	bob_marley1991@tutanota.com
qirapoo@firemail.cc	borisrazor@nerdmail.co	crazydecrypt@horsefucker.org
rodrigos@keemail.me	strike999@tutanota.com	maksimbockovskij315@gmail.com
chadmad@nuke.africa	phobossp@protonmail.ch	jackiesmith176@protonmail.com
databack@airmail.cc	operator@wedecrypt.net	DECRYPTUNKNOWN@Protonmail.com
moonlight10@mail.ee	riscattu@protonmail.com	erichhartmann_reserve@tuta.io
onlyway@secmail.pro	clean@privyinternet.com	backupransomware@tutanota.com
forumsystem@cock.li	payfast290@mail2tor.com	chinadecrypt@fasthelpassia.com
dragon.save@aol.com	contact@contipauper.com	bob_marley1991@libertymail.net
drgreen1@keemail.me	recoryfile@tutanota.com	JamesHoopkins1988@onionmail.org
newera@ctemplar.com	clearcom@protonmail.com	ollivergreen1977@protonmail.com
johnsonz@keemail.me	phobos2020@tutanota.com	Decryptdatafiles@protonmail.com
hellook@gytmail.com	anygrishevich@yandex.ru	jeffreyclinton1977@onionmail.org
5559912@firemail.cc	drgreen2@protonmail.com	GunsOFThePatriots@privatemail.com
firmaverileri@bk.ru	tebook12@protonmail.com	erichhartmann_main@protonmail.com
jonnylow@keemail.me	rody_218@protonmail.com	fourfingeredfrankie@onionmail.org

表格1.黑客邮箱

当前，通过双重勒索或多重勒索模式获利的勒索病毒家族越来越多，勒索病毒所带来的数据泄露的风险也越来越大。以下是本月通过数据泄露获利的勒索病毒家族占比，该数据仅为未能第一时间缴纳赎金或拒缴纳赎金部分（已经支付赎金的企业或个人，可能不会出现先这个清单中）。

以下是本月被双重勒索病毒家族攻击的企业或个人。若未发现被数据存在泄露风险的企业或个人也请第一时间自查，做好数据已被泄露准备，采取补救措施。

dimeo	Geneva, Ohio	Arabian Cargo Group
imasa	Stevens & Lee	Breydons Solicitors
cegos	Talbert House	Pesquera Exalmar SAA
KASEYA	Paxton Access	ensingerplastics.com
Walsin	Paxton Access	Dragon Capital Group
Alcedo	aris-services	cecengenharia.com.br
Bamford	cometgroup.be	Commune De Villepinte
ALBIOMA	kennen.com.ar	Heller Injury Lawyers
CHADDAD	betonlucko.hr	swiftlogistics.com.my
Beckley	anderscpa.com	Virginia Defense Force
habasit	Techni+Contact	Belperio Clark Lawyers
matchmg	siro-group.com	europeanaccounting.net
Gulf Oil	The Wild Rabbit	creditoycaucion.com.ar
Hx5, LLC	Mambrino S.A.C.	sahintoptangida.com.tr
DiaSorin	Gateway College	classicalmusicindy.org
keltbray	INSERM-TRANSFER	Sierra Air Conditioning
friedrich	grupodismar.com	kuk.de / KREBS + KIEFER
PCM Group	f**	Florida Sugar Cane League
BHoldings	vincents.com.au	Walter's Automotive Group
Cinépolis	SAC Wireless Inc	Elm3 Financial Group, LLC
Actiontec	Sandhills Center	Nottingham City Transport
infovista	Home in Brussels	Haftpflichtkasse Darmstadt
Jhillburn	Grupo DINA S.A.	GATEWAY Property Management
HUF GROUP	Phoenix Services	Artas Holding / Artas Insaat
Daylesford	riostarfoods.com	South Carolina Legal Services
inocean.no	modernbakery.com	Century 21 Gold Key Realty, Inc
IBC24 News	Agrokasa Holdings	Walter's Mercedes-Benz of Riverside
apg-neuros	Aquazzura Firenze	Trifecta Networks & CloudFirst Labs
ccz.com.au	Revision Skincare	On logistics Services Algeciras, S.L
Mega Vision	spiralfoods.com.au	Corporación Nacional de Telecomunicación
supplyforce	cspmould-stampi.it	SALZBURGER EISENBAHN TRANSPORT LOGISTIK GmbH
Colligan Law	WT Microelectronics	Orange County Chrysler Jeep Dodge Ram Dealership

表格2：存在数据泄露风险的受害者名单

5 系统安全防护数据分析

通过将2021年7月与8月的数据进行对比，本月各个系统占比变化均不大，位居前三的系统仍是Windows 7、Windows 8和Windows 10。

以下是对2021年8月被攻击系统所属地域采样制作的分部图，与之前几个月采集到的数据进行对比，地区排名和占比变化均不大。数字经济发达地区仍是攻击的主要对象。

通过观察2021年8月弱口令攻击态势发现，RDP和MYSQL弱口令攻击整体无较大波动。MSQQL属于正常的波动范围。

6 勒索病毒关键词

以下是本月上榜活跃勒索病毒关键词统计，数据来自360勒索病毒搜索引擎。

- devos：该后缀有三种情况，均因被加密文件后缀会被修改为devos而成为关键词。但月活跃的是phobos勒索病毒家族，该家族的主要传播方式为：通过暴力破解远程桌面口令成功后手动投毒。

- hauhitec：属于CryptoJoker，由于被加密文件后缀会被修改为hauhitec而成为关键词。通过“匿隐” 僵尸网络进行传播。

- eking：属于phobos勒索病毒家族，由于被加密文件后缀会被修改为eking而成为关键词。该家族主要的传播方式为：通过暴力破解远程桌面口令成功后手动投毒。

- LockBit：LockBit勒索病毒家族，由于被加密文件后缀会被修改为lockbit而成为关键词。该家族主要的传播方式为：通过暴力破解远程桌面口令成功后手动投毒。

- hoop：属于Stop勒索病毒家族，由于被加密文件后缀会被修改为hoop而成为关键词。该家族主要的传播方式为：伪装成破解软件或者激活工具进行传播。

- Makop：该后缀有两种情况, 均因被加密文件后缀会被修改为makop而成为关键词:

- 属于Makop勒索病毒家族，该家族主要的传播方式为：通过暴力破解远程桌面口令成功后手动投毒。

- 属于Cryptojoker勒索病毒家，通过“匿隐” 进行传播。

- reqg:同hoop。

- nooa：同hoop。

- orkf: 同hoop。

- encrypt：该后缀被很多家族均使用过，但在本月活跃的是ech0Raix勒索软件，由于被加密文件后缀会被修改为encrypt而成为关键词。该家族针对网络存储设备NAS进行攻击，主要通过弱口令攻击以及漏洞攻击进行传播。

7 解密大师

从解密大师本月解密数据看，解密量最大的是GandCrab，其次是CryptoJoker。使用解密大师解密文件的用户数量最高的是被Stop家族加密的设备，其次是被Crysis家族加密的设备。

8 安全防护建议

9 时间线