勒索软件即服务与 IAB 产业浅析

2021 年 11 月 15 日
本文字数：3778 字
阅读完需：约 12 分钟

前言：

勒索软件即服务 Ransomware-as-a-Service (RaaS)是当前全球勒索软件攻击势头急剧上升的背景下出现一种服务模式。同其他 Saas 解决方案类似，RaaS 模式已经成为一种成熟软件商业模式。RaaS 的出现大大降低了勒索攻击的技术门槛，勒索软件开发者可以按月或一次性收费提供给潜在用户(犯罪组织)。这些犯罪组织，只需要购买勒索软件来执行勒索攻击，获利后按比例支付赎金给勒索软件供应商。然而随着犯罪方式的演变，传统的勒索方式需要犯罪者“亲力亲为”，即勒索团伙需要自己发送钓鱼邮件或者自己寻找目标系统漏洞来植入勒索软件，这样大大消耗了时间和精力，RaaS 组织需要更加直接的“大门”或者中间人去做入侵,于是 Initial Access Brokers(IAB)业务就变得活跃起来。

图 1- 勒索软件即服务（RssS）产业模式图

IAB 产业现状

IAB（Initial Access Brokers-初始访问代理业务）是指攻击者通过多种方式获得的受害者网络资产初始化访问权限，而后将其出售给犯罪组织实施犯罪的中间人行为，犯罪组织通常为勒索软件团伙或其附属机构。“初始访问权限”不仅泛指 RDP、VPN、Webshell、SSH 权限这些可以直接进入目标网络的权限，还有一些未授权访问的资产、数据库资产、系统用户的账户权限等，也包括可利用的企业系统、网络设备，如 Citrix、Fortinet、ESXI 和 Pulse Secure 的历史漏洞和权限。攻击者可以将这些系统的权限放到黑客论坛售卖，有时候还可以多次售卖给不同勒索软件组织，这些攻击者可以和勒索软件供应商形成供需关系，两者通过匿名的 IM 通信，最后通过数字货币支付达成交易。通过黑客论坛，勒索软件运营商组织可购买 IAB 后直接植入勒索软件达成勒索目标，可以节省勒索组织在受害者网络环境中入侵的时间和精力以及各种成本，这样勒索软件攻击者可以将所有时间和精力集中在“改善”勒索软件有效载荷和与他们的附属机构协调操作上，同时可以在暗网论坛上指定需要的权限类型与目标行业，IAB 的出现为 RaaS 提供了极大的便利。

图 2- RaidfForums 上卖家出售数据库信息的帖子

图 3- RaidForums 上买家购买手机数据库数据的帖子

在利益的驱动下，RaaS 与 IAB 的交易越来越密切，值得关注的是：根据 Digital Shadows 统计，IAB 交易的热点行业权限 top5 为零售行业、金融行业、科技行业与工业制造业(如医药制造)，科技行业的初始访问代理权限平均价格最高为 13,607 美元。

图 4- DigitalsShadows 统计 2020 年 IAB 的热点行业及价格

IAB 初始访问权限获取方法

那么黑客通常是怎样获取有效的 IAB 的呢？我们结合威胁情报网站 ke-la.com 分析过 IAB 的几个趋势以及威胁情报网站 curatedintel.org 提供的资料，研究分析后归纳出如下图所示的 IAB 初始权限获取路径图。

图 5- IAB 初始权限获取路径图

通过上图我们可以看到，IAB 产业初始权限获取方法主要分为以下几个路径：

1．以目标漏洞为途径：攻击者通过黑客搜索引擎来获取受害者对外暴露的资产，之后进行 ip 探测，域名探测，端口开放探测（如 RDP 端口）以及漏洞扫描，类似于红蓝对抗中攻击队前期对目标的资产梳理和信息搜集，期间会用到各类黑客搜索引擎如 Shodan、Censys，在确定目标资产后进行漏洞扫描，漏洞扫描过程主要探测是否存在一些知名软件的历史 CVE 漏洞，相关软件产品如 VPN 产品 SecureVPN、云桌面常用的 Citrix 软件、虚拟化产品 Vmware、微软系列的 Exchange、负载均衡设备 F5 以及路由器设备 Cisco 等。黑客一旦探测到相应产品存在的漏洞，就发起攻击，攻击成功后可获取目标权限，之后可以进行内网横向，植入后门等操作，最终获取有效的初始访问权限。具体使用到的漏洞如下图所示。

图 6- IAB 产业常用 CVE 漏洞

2. 以社会工程学为途径：在信息窃取活动中主要以获得目标门户网站登录相关的 MFA 验证码（多因子校验的秘钥或验证码）为主，攻击方式不限于语音电话钓鱼、短信钓鱼、近源攻击、伪造商业合作钓鱼等一系列社会工程学攻击，这些攻击手段层出不穷，较为值得关注是电话钓鱼，国外专注于人员安全意识培训和钓鱼模拟攻击服务的公司 Terranova 有总结到相关社工策略：“第一种常见的策略是一些网络犯罪分子使用强硬的语言，表示他们正在帮助受害者避免刑事指控；第二种常见的策略是犯罪分子留下威胁性的语音邮件，告诉收件人立即回电，否则受害者可能会被逮捕，银行账户被关闭，或者会发生更糟糕的事情。在网络犯罪分子使用威胁和令人信服的语言下让受害者觉得别无选择，受害者只能提供犯罪分子想要的信息。”

图 7- Terranova 对 Vishing 的解读

3. 以售卖信息的地下市场为途径：使用在地下市场上出售的用户信息获得访问权限，黑客通过著名论坛 OGuser 购买到关于受害者目标用户身份的访问权限后尝试登录受害者的相关网站。

图 8- OGuser 上的账户交易服务

4. 以第三方数据泄露为途径：使用来自第三方数据泄露的凭证获取访问权限，拿到相关泄露数据后，与上述第三种方式不同，第三方泄露数据需要“二次加工”，可以通过密码喷洒，撞库攻击，暴力破解等方式尝试登录受害者系统来获取目标系统访问权限。

图 9- DeHashed 论坛数据泄露交易

5. 使用网络钓鱼活动获取访问权限：以邮件钓鱼为主，通过恶意邮件投递一些恶意软件，如 RedLine Stealer (RedLine Stealer 是一种恶意软件，该恶意软件从浏览器收集信息，例如保存的凭据：自动填充的数据和信用卡信息等)，Vidar( Vidar 是一种基于 Arkei 的分叉恶意软件)，Taurus(Taurus 是一种基于 C/C++实现的信息窃取恶意软件),LokiBot(也称为 Lokibot、Loki PWS 和 Loki-bot，使用特洛伊木马恶意软件来窃取敏感信息，例如用户名、密码、加密货币钱包和其他凭据)等，这些钓鱼方式大部分都是以恶意文档为载荷,当受害者打开文档后利用宏去执行或下载被加密后的 Shellcode，之后建立 C2 信道进行长期控制窃取信息，相关细节如下图。Malpedia 对这些软件都有解释和记录，有兴趣同学可在 Malpedia 上查询。黑客在受害者不小心中招了相关恶意软件后可直接获得目标的初始访问代理权限。