电脑装配网

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

 人阅读 | 作者xiaolin | 时间:2022-12-18 14:12

介绍

美国联邦调查局IC3(网络犯罪投诉中心)曾在去年的报告中指出,2018年全年勒索邮件的数量增加了242%,其中大部分是“性勒索”,损失总计8300万美元。

性勒索往往是一封要求敲诈付款的电子邮件,威胁说如果收不到钱就会暴露接收人的私密视频和信息,此外,你的电脑可能也被发送者当成了垃圾邮件制造机,在你毫不知情的情况下源源不断地送到受害者手里。

近日,Check Point Research的研究人员发现了这么一类僵尸网络——Phorpiex,它目前操作着超过五十万台受感染主机,向上百万人发送过性勒索邮件。

Phorpiex(又名Trik)僵尸网络活跃了近十年,过去Phorpiex主要通过分发其他恶意软件(包括GandCrab,Pony,Pushdo)来进行加密货币挖掘活动,而近期的Porpiex又添加了一种新形式——以大规模色情邮件进行创收。

在Check Point监控的5个月期间,记录到有超过14个比特币(BTC)转移到Phorpiex活动钱包,价值超过11万美元。虽然听起来可能不是很多,但Phorpiex的维护成本相当低,以平均每月22,000美元的收入而言也算是很高的回报率了。

性勒索邮件

Phorpiex僵尸网络使用垃圾邮件机器人从C&C服务器下载邮件地址数据库,随机选择一个地址,然后由几个硬编码的字符串组成一条消息。垃圾邮件机器人可以产生大量的垃圾邮件,每小时多达30,000封,每次行动影响人数最多可达2700万人。

近期Phorpiex活动中,攻击者开始把受害者的密码附加到电子邮件中,这对于受害者来说无疑加深了他们的恐惧,让攻击者的目的更易达成。

下面是Phorpiex垃圾邮件机器人创建的勒索邮件示例:

来自: Save Yourself

主题:我记录了你–██████

嗨,我知道你的密码之一是:██████

你的计算机感染了我的私人恶意软件,因为你的浏览器未更新/未打补丁,访问一些被我放置了iframe的网站而自动感染上病毒,想了解更多信息,请google“Drive-by exploit”。

恶意软件能使我完全访问你的所有帐户(比如上面的密码),完全控制计算机,还可以通过网络摄像头监视你。

我收集了你的所有私人数据,还通过网络摄像头记录了你全部信息!

之后,我已经不留痕迹地删除了恶意软件,而这封邮件是从某个被黑的服务器发送的,你找不到我。

我能向你所有的额联系人发布你的视频及私人数据。

阻止我的唯一方法是,支付800美元的比特币(BTC)。

与我将要发布的关于你的内容相比,这是一个非常划算的买卖!

您可以在以下位置轻松购买比特币:www.paxful.com,www.coingate.com,www.coinbase.com,或者检查您附近的比特币ATM机,或通过Google查找其他交换机。

您可以将比特币直接发送到我的钱包,或者先在这里创建自己的钱包:www.login.blockchain.com/en/#/signup/,然后接收并发送给我。

我的比特币钱包是:1Eim8U3kPgkTRNSFKN49jgz9Wv4A1qmcjR

复制并粘贴我的钱包(cAsE-sEnSEtiVE)

你只有3天的付款时间。

我能看到你有没有读取邮件,所以不要装作没看到。

如果你收到这封邮件多次,付款后就可以忽略它。

收到付款后,我将删除所有内容,你可以像以前一样过着和平的生活。记得下次要更新浏览器哦!

在2019年的Phorpiex活动中,垃圾邮件机器人是最终payload之一。Phorpiex垃圾邮件机器人没有自己的持久性机制,由其他Phorpiex模块下载执行。

技术细节

垃圾邮件机器人运行前会执行检查和初始化步骤。首先,为了防止运行多个实例,它尝试创建一个具有特定名称的互斥对象,这个名字是硬编码在样本中,但每个样本都有一个唯一的互斥对象名称:

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

图1:垃圾邮件机器人互斥对象的名称

如果互斥对象已经存在,则垃圾邮件机器人将停止运行。否则,它将继续初始化步骤:垃圾邮件机器人删除替代文件流“:Zone.Identifier”,并通过在注册表项下创建新值来添加防火墙异常:

SYSTEM CurrentControlSet Services SharedAccess Parameters

FirewallPolicy StandardProfile AuthorizedApplications List

垃圾邮件机器人将值“<path_to_spam_bot>:*:Enabled:<hardcoded_ name>”添加到此项。例如:

%TEMP%28764.exe:*:Enabled: WDrvConfiguration

最后查询域“ yahoo.com”或“ aol.com”的MX DNS条目,并尝试通过端口25连接到其SMTP服务器,如果SMTP服务器不可访问则停止运行:

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

图2:检查是否可以访问Yahoo SMTP服务器

电子邮件地址数据库

垃圾邮件机器人与其C&C服务器使用未加密的HTTP通信。以下用户代理标头虽然不是Phorpiex垃圾邮件机器人所独有的,但可用于执行HTTP请求:

Mozilla/5.0 (windowsnt10.0;Win64;x64;rv:67.0) Gecko/20100101 Firefox/67.0,并使用URL发送GET HTTP请求:

hxxp:// <C&C服务器> / <硬编码路径> /n.txt或hxxp:// <C&C服务器> / <硬编码路径> /p.txt

例子:

hxxp://193.32.161[.]69/111/n.txt

对此请求的响应包含N个存储在C&C服务器上的电子邮件地址数据库。后续请求被发送来下载这些数据库,并将它们保存在扩展名为“.jpg”的%TEMP%目录下。

无限循环中,恶意软件会生成以下格式的URL:

hxxp:// <C&C服务器> / <硬编码路径> / <rand> .txt

<rand>是1到N之间的随机整数。

要下载的电子邮件数据库的最终URL如下:

hxxp: / / 193.32.161 69/111/135.txt

下载的数据库保存在%temp%文件夹中,文件名由随机数字和“.jpg”扩展名组成。例如:

%temp%5173150314183010.jpg

下载的数据库是一个文本文件,包含多达20,000个电子邮件地址。在各类活动中,我们观察到C&C服务器上有325到1363个电子邮件数据库。因此,一个垃圾邮件运动覆盖了多达2700万潜在的受害者。该文件的每一行包含一个电子邮件地址和一个以“:”分隔的密码,如下所示:

下载的数据库是一个文本文件,最多包含20,000个电子邮件地址。在各种活动中,我们在C&C服务器上观察到有325至1363个电子邮件数据库。因此,一场垃圾邮件运动最多可以覆盖2700万潜在受害者。该文件的每一行都包含一个电子邮件地址和一个以“:”分隔的密码,如下所示:

user1@bigpond.com:secretpassword1

user2@gmail.com:secretpassword2

user3@yahoo.com:secretpassword3

user4@rambler.ru:secretpassword4

垃圾邮件机器人总共创建了15,000个线程来从一个数据库发送垃圾邮件。每个线程从下载的文件中随机抽取一行。所有垃圾邮件线程结束后,将下载下一个数据库文件。如果考虑到延迟,我们可以估计该bot每小时可以发送约30,000封电子邮件:

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

图3:创建用于发送垃圾邮件的线程

散布垃圾邮件

为了发送电子邮件,垃圾邮件机器人使用SMTP协议的简单实现。SMTP服务器的地址来自电子邮件地址的域名。建立与SMTP服务器的连接并收到邀请消息后,垃圾邮件机器人将使用自己的外部IP地址(使用icanhazip.com服务获取)发送HELO / EHLO SMTP消息。

然后垃圾邮件机器人试图产生具有以下格式的有效随机域名:“ {4个随机数字} .com”

使用DNS查询检查域的有效性。这导致在联系SMTP服务器之前生成大量DNS请求:

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

图4:由Phorpiex垃圾邮件机器人产生的大量DNS请求。

如果域名成功解析,则将其用作发件人的电子邮件地址。发件人电子邮件的第一部分(“ @”之前)是根据硬编码的单词和2个随机数字生成的。发件人的主机名,IP地址和伪造的SMTP服务器的域名也是随机值,如下图所示:

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

图5:Phorpiex垃圾邮件机器人SMTP通讯示例

要设置主题字段,垃圾邮件机器人会将用户名或密码连接到随机选择的字符串(可能因样本而异):

肆虐的性勒索邮件,躺赚的Phorpiex botnet幕后人员

图6:Phorpiex垃圾邮件机器人使用的电子邮件主题

因此,如果我们假设john_doe@example.com是受害者的电子邮件地址,则该电子邮件的主题可能是 “I recorded you – john_doe”。

收入

威胁行为者的实际收益有多少呢?Check Point通过对2019年4月以来提取的比特币钱包发现,共14个以上的BTC被转移到了这些钱包中。

通过这些钱包的收款交易数量,我们还可以估算受此活动影响的受害者总数。结论是在五个月的时间里,大约有150名受害者支付了勒索款项。尽管收到的付款数量很少,但这仍然意味着这种简单的欺诈手段是成功的。

另一方面,数据库中的密码通常与受害者的电子邮件账户无关,数据价值相当低。这些数据库以低价出售,甚至可以免费访问。于是Phorpiex的幕后人员们想出了一种方法,利用如此低质量的数据来赚取可观的利润。

结论

泄露的凭证列表是一种常见且廉价的商品,其中包含的密码通常与其链接的电子邮件地址不匹配,但资深的僵尸网络Phorpiex操作人员却能利用它们和受害者的畏惧心理长期且轻松地创造收入。这种方法的诞生可能也跟Phorpiex曾经分发的Gandcrab的终止运营有关,或者纯粹觉得简单好用,但无论如何,目前运营着超过500,000台受感染主机的Phorpiex,现在还在源源不断地传播着成千上万的性勒索邮件。

 

 


文章标签:

本文链接:『转载请注明出处』