Yurei：新型勒索软件组织的技术剖析

关键要点

• Yurei是9月5日首次被发现的新兴勒索软件组织，首个泄露受害者是斯里兰卡一家食品制造公司
• 该组织采用双重勒索模式：加密受害者文件并窃取敏感数据，要求支付赎金以解密并承诺不公开被盗信息
• Check Point Research确定Yurei的勒索软件仅对开源勒索软件家族Prince-Ransomware进行了微小修改
• Yurei的勒索软件存在可能通过卷影副本实现部分恢复的缺陷，但该组织主要依赖基于数据盗窃的勒索
• 自9月5日列出第一个受害者以来，受害者数量已增至三个，表明其操作快速增长
• 调查显示威胁行为者可能源自摩洛哥

Yurei勒索软件分析

Check Point Research于9月5日发现了一个新的勒索软件组织。该组织自称Yurei（日本民间传说中的一种幽灵），最初在其暗网博客上列出了一名受害者——一家斯里兰卡食品制造公司。这些博客被勒索软件组织用来列出受害者，显示入侵证据（如内部文档截图），并提供安全聊天界面供受害者与操作者谈判。

在运营的最初几天，又列出了两名新受害者，分别来自印度和尼日利亚，截至9月9日总数为三个。

Yurei勒索软件使用Go编程语言编写。虽然Go语言恶意软件并不罕见，但仍对某些防病毒厂商的检测构成挑战。结合比C或C++更简单的开发体验以及跨平台编译能力，Go继续成为恶意软件开发者的有吸引力选择。

在这种情况下，威胁行为者犯了一个错误：没有从二进制文件中剥离符号。因此，函数和模块名称被保留，通过这些可以清楚地看到Yurei的勒索软件主要基于名为Prince-Ransomware的开源勒索软件（目前在GitHub上仅作为重新上传提供），仅进行了微小修改。相同的勒索软件代码库已被其他行为者使用，例如CrazyHunter案例。

受害者被提供谈判.onion页面，受害者和威胁行为者可以在其中沟通并协商解密和删除被盗数据的价格，以及保证不发布公司文件。

技术分析

如前所述，Yurei是使用Go编写的开源Prince-Ransomware的分支，仅进行了微小修改。在高层，勒索软件采取以下操作：

• 枚举所有驱动器
• 并行加密每个驱动器上的文件并添加.Yurei扩展名
• 尝试设置壁纸
• 等待并监控新附加的网络驱动器然后加密

加密

文件使用ChaCha20算法加密，并附加.Yurei扩展名。勒索软件为每个文件生成随机ChaCha20密钥和随机nonce，然后使用ECIES和攻击者的公钥加密两者。加密文件然后存储加密的密钥、nonce和文件内容，用||字符分隔。

开源起源

勒索软件的作者没有实现任何反分析功能，例如混淆，反而在分发的二进制文件中包含了符号。

相同的模块名称filewalker、encryption和configuration也被开源Prince-Ransomware使用。

进一步检查更改壁纸的代码证实了Yurei基于Prince-Ransomware的怀疑。

Yurei保留了相同的PowerShell命令集，未作更改。

第一个命令应该从远程URL下载壁纸并保存为%TEMP%目录中的Wallpaper.png。下一个命令然后编译.NET程序集以调用SystemParametersInfo和SPI_SETDESKWALLPAPER来设置当前壁纸。

通常，勒索软件将壁纸设置为某种Logo或勒索票据。有趣的是，Yurei开发者没有提供要下载的壁纸。因此，恶意软件通过PowerShell运行下载命令，由于缺少URL而出错。由于在后续PowerShell命令中将壁纸设置为不存在的文件，Windows回退将背景设置为单一颜色，例如黑色。

检查GitHub上的构建器源代码显示，二进制文件附带符号是因为构建器没有设置适当的链接器标志来从二进制文件中剥离它们。威胁行为者可能根本没有接触构建器代码。

Yurei的修改

虽然大部分源代码未被修改，但枚举要加密的文件和驱动器的代码与GitHub上公开可用的版本略有不同。虽然原始存储库使用单线程加密，但Yurei利用goroutine（Go的并发机制）并发加密每个驱动器：

加密完成后，恶意软件进入一个新例程，持续监控新的网络驱动器以添加到加密队列：

虽然没有证据表明这是AI辅助开发，但即使是较低技能的开发者也可以使用大型语言模型的简单提示轻松执行对现有代码库的这些类型的修改。

卷影副本恢复

尽管威胁行为者修改了代码库，但Yurei勒索软件仍然存在一个主要缺陷：它不删除现有的卷影副本。卷影副本是文件或整个卷的备份快照，如果启用，由卷影复制服务生成。勒索软件通常以这些副本为目标并删除它们，以阻止受害者使用Windows的内置恢复选项。

由于Yurei不包含此功能，如果启用了卷影副本，受害者可以将文件恢复到先前的快照，而无需与Yurei谈判。这种疏忽再次显示了该威胁行为者在其操作中缺乏复杂性。因此，强烈建议激活VSS并持续对系统进行快照作为针对Yurei等威胁的保护措施。然而，勒索软件组织越来越转向基于数据盗窃的勒索，因此这仅有助于操作恢复，但不能保护免受勒索。正如Yurei在其博客上所述，受害者支付赎金的主要压力点是数据泄露的威胁。这对企业有重大影响，并且在例如Midcity Marketing的情况下，也可能影响食品安全和国家供应链。

追踪威胁行为者

查看VirusTotal上的样本显示所有样本首次提交自摩洛哥。一个样本不包含票证ID，表明这可能是一个测试构建，可能由开发者自己上传。威胁行为者可能使用VirusTotal作为测试其勒索软件检测率的手段，再次表明我们正在处理一个低技能的行为者。

当我们分析.onion页面的HTML源代码时，发现了一个阿拉伯语注释：

可用样本的路径工件都将本地路径列为D:\satanlockv2*，表明可能与SatanLockv2勒索软件有关。查看SatanLockv2的其他样本，它们首次从摩洛哥上传，并且也基于Prince-Ransomware。

因此，我们以低置信度评估威胁行为者基于摩洛哥。

结论

Yurei展示了威胁行为者如何轻松地将开源勒索软件项目武器化，仅进行最小修改，使低级威胁行为者能够进入勒索软件业务，而无需必要的开发技能甚至投入太多精力。通过重用Prince-Ransomware的代码库，该组织成功快速启动操作，但也继承了其缺陷，最显著的是未能删除卷影副本。这种疏忽使得在启用VSS的环境中能够部分恢复。然而，随着勒索软件组织越来越关注基于数据盗窃的勒索，这种缺陷对勒索软件操作的成功没有关键影响。

虽然开源恶意软件是一种威胁，但它也为防御者提供了检测和缓解这些变体的机会。然而，Yurei成功在几个受害者上运行了他们的操作，这表明即使是低投入的操作仍然可以导致成功。

防护措施

Check Point威胁仿真和Harmony端点全面覆盖攻击策略、文件类型和操作系统，并保护免受本报告中描述的攻击和威胁。

入侵指标

勒索票据

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82

--== Yurei ==--
亲爱的管理层，

如果您正在阅读此消息，这意味着：

├─ 贵公司的内部基础设施已全部或部分被入侵。
├─ 您的所有备份——虚拟和物理的——以及我们可以访问的所有内容已被完全擦除。
└─ 此外，我们在加密之前已经外泄了大量贵公司的数据。

我们完全理解锁定您的内部资源所造成的损害。现在，让我们放下情绪，尝试建立建设性对话。

您需要知道的

├─ 与我们打交道将为您节省很多——我们没有兴趣在财务上摧毁您。
├─ 我们将彻底分析您的财务状况、银行对账单、收入、储蓄和投资，并提出合理要求。
├─ 如果您有活跃的网络保险，请告知我们——我们将指导您如何正确使用它。
└─ 拖延谈判只会导致交易失败。

支付好处

├─ 支付给我们可以节省时间、金钱和精力——您可以在大约24小时内重回正轨。
├─ 我们的解密器在所有文件和系统上完美工作——您可以随时请求测试解密。
└─ 尝试自行恢复可能导致永久性文件丢失或损坏——在这种情况下，我们将无法提供帮助。

安全报告和独家信息

├─ 我们在协议后提供的报告和第一手见解是无价的。
└─ 没有任何完整的网络审计能够揭示我们用于访问您的数据和基础设施的具体漏洞。

发生了什么

├─ 您的网络基础设施已被入侵。
├─ 关键数据已被外泄。
└─ 文件已被加密。

您不应该做什么

├─ 不要重命名、修改或删除加密文件。
├─ 不要关闭系统或运行防病毒软件——这可能导致不可逆的损坏。
└─ 不要浪费时间与数据恢复公司合作——他们无法帮助您。

我们通常窃取的有价值数据

├─ 数据库、法律文件和个人信息
├─ 审计报告、SQL数据库
├─ 财务文件：对账单、发票、会计数据
├─ 工作文件和公司通信
├─ 任何备份解决方案
└─ 机密文件

待办清单（最佳实践）

├─ 尽快通过我们的实时聊天联系我们（仅限此方式）。
├─ 购买我们的解密工具——没有其他方法可以恢复您的数据。
├─ 避免第三方谈判代表或恢复服务。
└─ 不要尝试使用公共解密工具——您可能面临永久性数据丢失的风险。

责任

├─ 违反此要约条款将导致：
│    - 删除您的解密密钥
│    - 立即出售或公开披露您泄露的数据
│    - 通知监管机构、竞争对手和客户

---

**聊天：** Yurei
聊天：hxxp://fewcriet5rhoy66k6c4cyvb2pqrblxtx4mekj3s5l4jjt4t4kn4vheyd.onion/chat/<VICTIM-GUID/chat.php
您的票证ID：<TICKET-ID>
博客：hxxp://fewcriet5rhoy66k6c4cyvb2pqrblxtx4mekj3s5l4jjt4t4kn4vheyd.onion

---

感谢您的关注。

---

**重要说明：**

- 重命名、复制或移动加密文件可能破坏密码并使解密不可能。
- 使用第三方恢复工具可能不可逆地损坏加密文件。
- 关闭或重启系统可能导致启动或恢复错误，并进一步损坏加密数据。