Mega密码重置阻止Black Kingdom勒索软件

在最近针对Microsoft Exchange服务器的ProxyLogon攻击中，研究人员发现Black Kingdom勒索软件，该勒索软件目前通过简单的密码重置被阻止，至少暂时是这样。

Emsisoft公司威胁分析师Brett Callow告诉SearchSecurity，Black Kingdom被设计为生成加密密钥，并将其上传到云存储服务Mega。但是，他补充说，如果勒索软件无法访问Mega，则默认为静态本地密钥。在最近的攻击中的某些时候，Black Kingdom似乎无法加密目标系统，并且在某些情况下默认为静态密钥。

Callow说：“有人将密码更改为Mega帐户，这意味着勒索软件无法访问该密码，并恢复为使用硬编码密钥，这意味着我们可以帮助人们恢复其数据，因为我们拥有硬编码密钥。”

尽管目前尚不清楚密码何时被更改，但Callow在周一早上将有关消息告知SearchSecurity（SearchSecurity同意不立即发布信息，以避免让Black Kingdom威胁者知道其勒索软件已被破坏）。

Sophos公司下一代技术工程总监Mark Loman在博客文章中，谈到该勒索软件与Mega的内在联系。Loman告诉SearchSecurity，因为存在静态密钥加密器，所以也可以用该静态密钥解密。他还确认该勒索软件无法连接到Mega。

“目前，该勒索软件无法连接到Mega，因为我尝试过用户名和密码。因此，这意味着，如果目前有Black Kingdom勒索软件攻击受害者，他们可能受到另一种新版本的攻击，或者使用其他用户名或凭据，你可以使用静态密钥解密，但仍然需要解密器。”

Callow在电子邮件中解释说，目前情况仍然如此，并且当前版本的Black Kingdom仍是恐吓软件；威胁研究人员对Black Kingdom的早期报道称，该勒索软件实际上并未对系统进行加密，尽管Loman在博客中指出，至少有一名受害者已经支付赎金。

Callow说，这可能意味着攻击者已经放弃将Black Kingdom变成直接的勒索软件活动。“攻击者可能遇到技术或其他问题，因此他们决定将其转换为恐吓软件，希望仍然能够赚到一些钱。”

Loman说，这是他第一次看到Mega用于存储加密密钥，并且，通常勒索软件会使用公共/私有RSA方案。他补充说，大型勒索软件组通常在数据渗透过程中使用Mega和Dropbox等文件存储服务，因为这些服务通常不会被防火墙阻止。

Mega是由Megaupload的创始人Kim Dotcom于2013年创立，在前一年，Megaupload因涉嫌盗版和侵犯版权的指控而被美国司法部查封；Dotcom在2015年与Mega断绝关系。

Loman表示，Black Kingdom密钥存储并不能说明Mega存在道德问题，因为该站点无法可行地立即进行检测。

Mega执行主席Stephen Hall在电子邮件中告诉SearchSecurity：“我们不会记录特定的勒索软件可能导致上传到Mega。我们只是立即关闭上传者的帐户，以防止受影响数据的进一步传播。”

Black Kingdom是针对易受攻击的Microsoft Exchange服务器的最新威胁，随着本月初披露的四个零日漏洞的影响继续扩展。在上周二，威胁情报供应商Kryptos Logic在其ProxyLogon扫描期间报告100,000个活跃的Web Shell。