本文來(lái)自嘶吼網(wǎng)，作者/布加迪。
大多數(shù)開(kāi)展索軟件活動(dòng)的網(wǎng)絡(luò)犯罪分子都備受關(guān)注。他們不僅遭到執(zhí)法部門(mén)和安全公司的調(diào)查，就連他們從技術(shù)上傳播惡意軟件的方式以及惡意軟件在受感染計(jì)算機(jī)上運(yùn)行和工作的方式也受到嚴(yán)密調(diào)查。
SentinelOne公司的一份新報(bào)告披露了一些勒索軟件組織采用的一種新技術(shù)，這種最近在外頭盛行的技術(shù)名為“間歇性加密”（intermittent encryption）。
什么是間歇性加密？
這個(gè)術(shù)語(yǔ)可能令人困惑，因此立即予以澄清似乎很重要：間歇性加密不是旨在加密所選擇的完整文件，而是選擇性加密文件中的部分字節(jié)。
據(jù)研究人員聲稱(chēng)，間歇性加密讓攻擊者可以更有效地規(guī)避使用統(tǒng)計(jì)分析來(lái)檢測(cè)當(dāng)前勒索軟件感染的系統(tǒng)。這種分析基于操作系統(tǒng)文件輸入和輸出操作的強(qiáng)度，即基于文件的已知版本與可疑修改版本之間的相似性。因此，間歇性加密降低了文件輸入/輸出操作的強(qiáng)度，在某個(gè)特定文件的非加密版本和加密版本之間表現(xiàn)出極高的相似性，因?yàn)槲募兄挥幸恍┳止?jié)被更改。
間歇性加密還具有在很短的時(shí)間內(nèi)加密較少內(nèi)容但仍導(dǎo)致系統(tǒng)無(wú)法使用的好處，這使得在感染時(shí)間和加密內(nèi)容時(shí)間之間檢測(cè)勒索軟件活動(dòng)變得更困難了。
針對(duì)使用不同文件大小的BlackCat勒索軟件的研究表明，間歇性加密為威脅分子在速度方面帶來(lái)了顯著優(yōu)勢(shì)。
LockFile勒索軟件是2021年年中第一個(gè)使用間歇性加密的惡意軟件系列，不過(guò)現(xiàn)在有幾個(gè)不同的勒索軟件系列也在使用它。
哪些威脅組織在使用間歇性加密？
同樣重要的是要知道間歇性加密在眾多地下論壇中變得越來(lái)越流行，地下論壇在大力宣傳間歇性加密，以吸引更多的買(mǎi)家或勒索軟件組織加盟機(jī)構(gòu)。
•Qyick勒索軟件
SentinelOne的研究人員報(bào)告，他們?cè)诎稻W(wǎng)的一個(gè)流行犯罪論壇上看到了一個(gè)名為Qyick的新型商業(yè)勒索軟件所打的廣告。名為lucrostm的廣告商此前被發(fā)現(xiàn)在兜售其他軟件，比如遠(yuǎn)程訪(fǎng)問(wèn)工具（RAT）和惡意軟件加載程序，并出售Qyick，價(jià)格從0.2個(gè)比特幣到約1.5個(gè)比特幣不等，具體取決于買(mǎi)家想要的功能選項(xiàng)。Lucrostm作出的保證之一是，如果勒索軟件系列的二進(jìn)制文件在購(gòu)買(mǎi)后六個(gè)月內(nèi)被安全解決方案檢測(cè)出來(lái)，未檢測(cè)到的新勒索軟件樣本將給予60%至80%的大幅折扣。
該勒索軟件是用Go語(yǔ)言編寫(xiě)的，據(jù)開(kāi)發(fā)人員聲稱(chēng)，這有望加快勒索軟件的運(yùn)行，此外使用間歇性加密（圖1）。
圖1.網(wǎng)絡(luò)犯罪地下論壇上的Qyick勒索軟件廣告（來(lái)源：SentinelOne）
Qyick仍然是一種正在開(kāi)發(fā)中的勒索軟件。雖然它現(xiàn)在沒(méi)有將數(shù)據(jù)外泄的功能，但未來(lái)版本將讓控制者可以執(zhí)行任意代碼，主要用于此目的。
•PLAY勒索軟件
該勒索軟件于2022年6月首次露面。它根據(jù)當(dāng)前文件的大小使用間歇性加密。它以十六進(jìn)制加密0x100000字節(jié)塊（十進(jìn)制為1048576字節(jié)），并根據(jù)文件大小加密兩個(gè)、三個(gè)或五個(gè)塊。
•Agenda勒索軟件
這個(gè)勒索軟件是另一種用Go語(yǔ)言編寫(xiě)的勒索軟件。它支持控制者可以配置的幾種不同的間歇性加密方法。
第一種方法名為“skip-step”，讓攻擊者可以加密文件的每X MB（兆字節(jié)），跳過(guò)指定MB數(shù)量的部分。第二種方法名為“fast”，允許只加密文件的前N MB部分。最后一種方法名為“percent”，允許只加密文件的一部分。
•Black Basta勒索軟件
這個(gè)勒索軟件自2022年4月以來(lái)一直充當(dāng)勒索軟件即服務(wù)（RaaS）。它是用C++語(yǔ)言編寫(xiě)的，其運(yùn)營(yíng)團(tuán)伙一直將它與雙重勒索結(jié)合使用，如果受害者不支付贖金，就揚(yáng)言要泄露數(shù)據(jù)。
Black Basta的間歇性加密方法每加密64個(gè)字節(jié)，就跳過(guò)192個(gè)字節(jié)，如果文件大小不到4KB。如果文件大于4KB，該勒索軟件每加密64個(gè)字節(jié)，就跳過(guò)128個(gè)字節(jié)，而不是跳過(guò)192個(gè)字節(jié)。
•BlackCat/ALPHV
BlackCat又叫ALPHV，是一種用Rust語(yǔ)言開(kāi)發(fā)的勒索軟件，被用作RaaS模式。該威脅組織很早就擅長(zhǎng)使用勒索手段，比如通過(guò)數(shù)據(jù)泄露或分布式拒絕服務(wù)（DDoS）攻擊來(lái)威脅其受害者。
BlackCat勒索軟件為控制者提供了幾種不同的加密模式，從完全加密到集成間歇性加密的模式：它提供僅加密文件前N個(gè)字節(jié)的功能，或者每加密N個(gè)字節(jié)就跳過(guò)X個(gè)字節(jié)的功能。
它還擁有更高級(jí)的加密功能，比如將文件分成不同大小的塊，只加密每個(gè)塊的前P個(gè)字節(jié)。
除了間歇性加密，BlackCat還包含一些盡可能加快速度的邏輯功能：如果被感染的計(jì)算機(jī)支持硬件加速，該勒索軟件使用AES（高級(jí)加密標(biāo)準(zhǔn)）進(jìn)行加密。要不然，它就使用完全用軟件實(shí)現(xiàn)的ChaCha20算法。
如何防范這種威脅？
建議始終確保操作系統(tǒng)及在其上面運(yùn)行的所有軟件是最新版本，并打上補(bǔ)丁，避免受到常見(jiàn)漏洞的影響。
還建議在勒索軟件在一臺(tái)或多臺(tái)計(jì)算機(jī)上被植入之前，部署安全解決方案以嘗試檢測(cè)威脅。
如果有可能，應(yīng)盡量部署多因素身份驗(yàn)證，以便攻擊者無(wú)法僅使用憑據(jù)就能訪(fǎng)問(wèn)可以運(yùn)行勒索軟件的網(wǎng)絡(luò)部分。
應(yīng)該提高每個(gè)用戶(hù)的安全意識(shí)，尤其是電子郵件方面的意識(shí)，因?yàn)殡娮余]件是勒索軟件最常用的感染途徑之一。
本文翻譯自：https://www.techrepublic.com/article/ransomware-makes-use-of-intermittent-encryption-to-bypass-detection-algorithms/
