警惕！Cerber新变种L0CK3D勒索软件 借助漏洞多平台传播

2023-11-08

近期，接到大量Linux系统用户反馈，电脑中的文件被勒索软件加密，被加密后的文件后缀均为.L0CK3D。经分析，这些用户感染的均是隶属于Cerber家族的勒索软件。本轮攻击主要是通过Confluence 数据中心和服务器中的不当授权漏洞进行传播（漏洞编号为CVE-2023-22518）。受该漏洞影响而遭到攻击的平台，覆盖了Linux与Windows等主流服务器操作系统。而需要特别说明的是，360主动防御系统可在默认状态下对“利用该漏洞的攻击”进行拦截，部署360主动防御系统的平台无需担心。

CVE-2023-22518漏洞简述

根据披露，当前Confluence 数据中心和服务器的所有版本，均受此不当授权漏洞影响。该漏洞允许未经身份验证的攻击者重置 Confluence，并创建 Confluence 实例管理员帐户。利用这个新创建的帐户，攻击者可以执行 Confluence 实例管理员可用的所有管理操作，从而导致系统机密性、完整性和可用性的完全丧失。

漏洞的详细信息可参考Confluence 官网：

https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html

此漏洞最初于2023年10月31日被公布，而360安全大脑监控到，利用该漏洞所展开的在野攻击，最早出现在2023年11月1日（仅在漏洞被公布的1天后）。

CVE-2023-22518攻击详情

根据360安全大脑捕获的攻击信息显示，攻击者会通过该Confluence漏洞调起cmd进程并创建powershell进程来加载攻击载荷。如下图所示，此步骤的漏洞触发操作便会被360主动防御系统直接拦截。

对上述脚本进行解码后得到的内容如下：

而根据上述代码中的下载信息，可获取到tmp.48脚本，其代码内容如下：

根据代码分析，该脚本被执行后首先会定义一个名为Download_Execute的函数来构造一个.NET WebClient对象，并进行一些基本的参数初始化操作。之后，脚本会检查当前的Confluence服务器是否应使用指定的代理服务器。如果需要，脚本将使用该 Web 客户端下载指定的文件。否则，脚本将使用Internet Explorer组件对象模型 (COM) 来下载脚本。

随后，脚本便会下载Cerber勒索软件的主体功能文件，并将其保存到临时文件夹中，进而命名为svcPrvinit.exe。完成后，附加参数“-b 9”以达到静默执行该进程而不显示窗口的目的。

脚本的最后一行调用前文中定义的Download_Execute函数访问地址：193.176.179.41下载Cerber勒索病毒文件tmp.48.txt。

Cerber勒索软件简述

下面我们以Windows平台样本为例，对此次传播的勒索软件进行简要说明。

样本基本信息

所属家族：Cerber

病毒名称：Win32/Ransom.Generic.HwoCB9cA

文件名：svcPrvinit.exe

MD5：7415347d5ea5f0db29ec95a4a61aba90

勒索修改后缀：L0CK3D

加密算法：

ChaCha20

AES

RC4

勒索信文件：read-me3.txt

勒索方式：多重勒索

勒索网址：

http://j3qxmk6g5sk3zw62i2yhjnwmhm55rfz47fdyfkhaithlpelfjdokdxad.onion/

勒索信内容：

勒索页面：

勒索软件功能

勒索软件落地后，会首先创建互斥体：hsfjuukjzloqu28oajh727190。

而后会收集即时通信软件的各类配置信息，并尝试获取本地FTP与ＶＮＣ客户端软件的登录凭据。之后，软件还会检查当前系统中是否安装了压缩软件，并尝试获取浏览器历史记录与cookie密码，以及检查是否有安装邮件客户端。显然勒索软件打算以此来尽可能挖掘本地的各类通信数据内容。

一切初始化与检查工作完成后，勒索软件便会对本地磁盘和网络共享中的文件进行加密，并同步向各个主要目录中释放勒索信文档。

一切完成后，软件还会删除系统中的磁盘卷影副本，来防止受害用户对被加密的数据进行回复。最终，勒索软件会删除自身来最大化地隐其形迹。

IOCs

MD5

7415347d5ea5f0db29ec95a4a61aba90

IP

193.176.179.41

193.43.72.11

45.145.6.112

193.43.72.11