BlackMatter - 竣盟科技

美國要線索!懸賞1000萬美元，決心追捕DarkSide勒索軟體的幕後駭客

Posted on 2021 年 11 月 5 日2021 年 11 月 5 日 by blogadmin

美國國務院(The Department of State)懸賞最高 1000萬美元，以獎勵能夠識別或定位Darkside幕後關鍵領導成員的資訊提供者。根據國務院 11月4日發布的新聞稿，該部門還提供最高 500 萬美元的獎金，獎勵在任何國家逮補或定罪參與DarkSide勒索軟體事件的人。通過提供這一懸賞，美國表明其致力於保護世界各地的勒索軟體受害者，免受網路犯罪分子的利用。美國期待那些窩藏勒索軟體罪犯的國家願意為受勒索軟體影響的受害者企業和組織伸張正義。

美國政府官員指出，DarkSide 是 2021 年 5 月對 Colonial Pipeline 的勒索軟體攻擊的幕後黑手，該攻擊導致該公司關閉了約 5,500 英里的管道，其中包含輸送美國東岸使用的 45% 的燃料，造成停工數日，導致油價飆升、民眾恐慌性購買(Panic buying)，最後Colonial Pipeline支付了440 萬美元，而後美國司法部通過獲得加密貨幣錢包的存取權收回了其中的大部分贖金。

據新聞稿，此獎金也將適用於DarkSide勒索軟體的更名品牌(Rebrand) BlackMatter勒索軟體，當勒索軟體在攻擊一個高度敏感的組織後開始感受到執法部門的壓力時，他們通常會以不同的名稱重新命名，過去也有其他勒索軟體進行了更名。包括：

GandCrab–> REvil

Maze –>Egregor

Bitpaymer–> DoppelPaymer–>Grief

Nemty –> Nefilim –> Karma

據了解，懸賞的獎金由國務院的跨國有組織犯罪獎勵計劃 (the State Department’s Transnational Organized Crime Rewards Program; TOCRP) 提供，旨在打擊跨國有組織犯罪。迄今為止，TOCRP 已經支付了超過 1.35 億美元的獎勵，官員們表示，自 1986 年以來，已有超過 75 名跨國犯罪分子和毒販等經過TOCRP獎勵計劃被繩之以法。

為遏止重大基礎設施遭網攻和勒索軟體事件的激增，美國國務院7 月也曾提出Rewards for Justice(正義獎勵)計畫。

BlackMatter 勒索軟體利用名為Exmatter的竊密工具，加速竊取受害公司的數據

Posted on 2021 年 11 月 3 日2021 年 11 月 3 日 by blogadmin

根據資安公司賽門鐵克的安全研究人員的觀察，BlackMatter已開始在攻擊中利用一種新的竊密工具，加速竊取受害公司的數據。被稱為Exmatter的自訂義工具允許操作BlackMatter 勒索軟體的駭客組織輕鬆定位受感染系統中的有價值數據，表明他們旨在加快攻擊的速度。

據了解，Exmatter 從選定的目錄中竊取特定類型的檔案，並在勒索軟體本身在受感染系統上執行之前將它們上傳到攻擊者控制的伺服器。研究人員表示，這種將數據源(Data source)縮減到僅被視為最有利可圖或業務最關鍵的數據源，旨在加快整個竊取過程，相信是為了讓駭客可以在被中斷之前完成他們的攻擊階段。

Exmatter被編譯為.NET 可執行工具，如果發現特定的command line參數，則嘗試隱藏其視窗，然後繼續收集系統上的所有驅動器名稱和檔案路徑，不包括特定目錄、具有特定屬性的檔和大小小於1，024位元組的檔。Exmatter旨在對選定的檔案類型（如 PDF、Word 檔、spreadsheets和 PowerPoint）進行滲透，並以 LastWriteTime 優先處理要滲透的檔案類型。一旦滲透完成，Exmatter 將覆蓋並刪除受害者電腦中的任何痕跡。

賽門鐵克在報告中表示，攻擊者一直致力於改進 Exmatter，迄今為止觀察到該工具的多種變體，表明其開發人員試圖改進其功能，以盡可能加快數據竊取過程。

自 2021 年 7 月以來，BlackMatter 已被用於攻擊全球多個組織，包括美國的關鍵基礎設施實體。

BlackMatter 與 Coreid 網路犯罪組織有關聯，該組織也經營 Darkside 勒索軟體。在過去的 12 個月中，該組織一直在進行各種引人注目的攻擊，例如 2021 年 5 月對殖民地管道的攻擊。

與大多數勒索軟體參與者一樣，與 Coreid 相關的攻擊會竊取受害者的數據，然後該組織威脅要發布這些數據，以進一步迫使受害者支付贖金。賽門鐵克總結道，Exmatter竊密工具是由Coreid本身或是其會員建立的仍有待觀察，但其發展表明數據盜竊和勒索仍然是該組織的核心重點。

有關Exmatter的入侵指標Indicators of compromise (IOCs):

URL:

https://159.89.128.13/data/

https://157.230.28.192/data/

IPv4:

165.22.84.147

157.230.28.192

159.89.128.13

SHA 256:

fcaed9faa026a26d00731068e956be39235487f63e0555b71019d16a59ea7e6b

8eded48c166f50be5ac33be4b010b09f911ffc155a3ab76821e4febd369d17ef

325ecd90ce19dd8d184ffe7dfb01b0dd02a77e9eabcb587f3738bcfbd3f832a1

SHA 256:

58e77aa4207d1f3ae808215c447839ef8b081609

347b3921b0660986bc0ce4d1a41aa77f04377a37

BlackMatter勒索軟體攻擊了日本的跨國企業 Olympus

Posted on 2021 年 9 月 15 日2021 年 9 月 15 日 by blogadmin

日本Olympus在一份聲明中表示，正在調查上週影響其部分 EMEA（歐洲、中東、非洲）IT系統的網路安全事件，Olympus在全球擁有 31,000 多名員工，是一家跨國公司，專門銷售攝影設備、錄音設備和一系列科學和醫療技術，如超聲波和顯微鏡工具等。

據知情人士透露，Olympus在 9 月 8 日凌晨開始，發現了被感染的電腦上留下來自 BlackMatter 勒索軟體組織的勒索信。信中寫道:“您的網路已加密，目前無法運行，如果您付費，我們將為您提供解密程式。” 勒索信上還包括一個通過 Tor 瀏覽器訪問的網站的網址，根據資安公司Emsisoft的威脅分析師 Brett Callow，勒索信中的網站與 BlackMatter 組織有關，已知的是BlackMatter 使用該瀏覽器與受害者進行通訊。

BlackMatter 是一個相對較新的勒索軟體即服務(Ransomware as a Service; RaaS)組織，於 2021 年 7 月底浮出水面，被認為是 DarkSide 勒索軟體的更名(Rebrand)提供租用基礎設施(包含勒索軟體)的存取權限給其會員。根據研究人員在BlackMatter的一些攻擊後收集到的樣本，隨後得以證實 BlackMatter 勒索軟體的加密程式與 DarkSide 使用的自訂的程式相同。

自BlackMatter出現以來，資安公司Emsisoft 已記錄了 40 多起歸因於 BlackMatter 的勒索軟體攻擊，相信實際的數字可能更多。BlackMatter 勒索軟體組織的操作與其他勒索軟體無異，通常會先從受害公司網路中竊取數據，再對其進行加密，如果受害公司不付贖金或談判破裂，就會威脅在暗網上發佈從受害公司盜來的數據和檔案。但目前在BlackMatter的揭秘網站上仍未看到有關Olympus 的頁面。

有關BlackMatter勒索軟體的入侵指標(Indicator of compromise -IOCs):

IPv4:

51.79.243.236

206.188.197.206

Domain:

paymenthacks.com

SHA 1:

379ebd1eff6f8685f4ff72657626bf6df5383d87

72ed32b0e8692c7caa25d61e1828cdb48c4fe361

10d6d3c957facf06098771bf409b9593eea58c75

MD5:

ba375d0625001102fc1f2ccb6f582d91

a55bc3368a10ca5a92c1c9ecae97ced9

3f9a28e8c057e7ea7ccf15a4db81f362

SHA 256:

6a7b7147fea63d77368c73cef205eb75d16ef209a246b05698358a28fd16e502

e48c87a1bb47f60080320167d73f30ca3e6e9964c04ce294c20a451ec1dff425

2c323453e959257c7aa86dc180bb3aaaa5c5ec06fa4e72b632d9e4b817052009

在REvil和Darkside消聲匿跡後，BlackMatter勒索軟體來接班

Posted on 2021 年 7 月 29 日2021 年 7 月 29 日 by blogadmin

Key Points:

*BlackMatter聲稱結合了Darkside、REvil和LockBit勒索軟體的最佳功能

*攻擊目標為收入超過 1 億美元或以上的公司

*願意支付高達十萬美元購買大型企業的網路存取權

*BlackMatter表示不會攻擊醫院、關鍵基礎設施、非營利組織和政府組織

在DarkSide 和 REvil消失後，又一個新的勒索軟體出現了，名為BlackMatter的勒索軟體的誕生是由 Recorded Future 的研究人員發現，BlackMatter將自己宣傳為DarkSide和REvil的精神延續，雖稱其唯一的興趣是錢，但聲稱不會攻擊屬於以下六個行業:

* 醫院

* 關鍵基礎設施（核電站、發電廠、水處理設施）

* 石油和天然氣工業（管道、煉油廠）

* 國防工業

* 非營利公司

* 政府部門

並承諾如果這些行業的任何公司受到他們的攻擊，將免費向受害實體提供解密工具。

據報導，BlackMatter的背後駭客已在兩個俄羅斯駭客論壇Exploit 和 XSS上發布招募會員的廣告。儘管自5月以來兩個論壇上都禁止了勒索軟體的廣告，但 BlackMatter並未直接以勒索軟體即服務（RaaS）做廣告，而是發布了招募Initial access broker的駭客服務廣告，Initial access broker用於描述擁有被駭企業網路存取權的人，BlackMatter 提供 3,000 至 100,000 美元的價格買企業的網路存取權。一旦獲得此類網路存取權限，BlackMatter將接管目標的內部系統以運作其檔案加密的payload。

根據廣告，BlackMatter想與可以提供企業網路入侵初期(Initial Access)存取權的經紀人(broker)合作，條件是目標企業的年收入須為 1 億美元或以上，目標網路須有 500 到 15,000 台主機，並且位於美國、英國、加拿大或澳洲。

據報導BlackMatter的背後駭客吹噓他們能夠加密不同的操作系統版本和架構。這包括 Windows 系統（via SafeMode）、Linux（Ubuntu、Debian、CentOS）、VMWare ESXi 5+ 虛擬端點、NAS設備（如 Synology、OpenMediaVault、FreeNAS 和 TrueNAS）等。根據Recorded Future的研究人員觀察到的證據，認為 BlackMatter 與 Darkside 之間存在關聯，但BlackMatter是否也與REvil有的關聯，仍需要更多的時間去調查和研究。