阖家团聚的春节假期刚过，在大家正纷纷整理假期心情以饱满的精神迎接复工的日子里，360安全智脑也检测和接收到一批春节期间受到勒索攻击的集中反馈。经分析，春节期间的这波勒索攻击大多为一款名为LvtLocker的勒索软件所为，而该勒索软件的攻击目标主要是国内某知名的NAS设备系统。

通过对360的大数据分析研判，发现此次勒索软件入侵事件主要是通过两种途径进入到受害用户的NAS设备中：

1. 利用该NAS设备系统中存在的一些RCE漏洞，比如下面一些漏洞，允许未经身份验证的用户获取root权限：

- CVE-2020-28188

- CVE-2022-24989

- CVE-2022-24990

2. 直接通过弱口令暴力破解，之后登录投毒。

LvtLocker勒索软件本体

LvtLocker属于Babuk勒索软件的变种。与目前主流的其它勒索软件家族类似，LvtLocker勒索软件同样是在代码中，内置了一套用于加密数据的RSA公钥（与之对应用于解密的私钥则在作者手中）。在软件开始运行后，会在受害者机器中利用ECC算法生成一对密钥，并利用 这套内置的RSA公钥对本地生成的ECC私钥进行加密。

在完成密钥的初始化操作后，软件会判断当前的运行权限是否为root账户。若是则将其实加密路径视之为系统根目录。

不过勒索软件还是对一些系统关键目录进行了规避，如：/proc、/boot、/sys、/run、/dev等目录。

而在核心的文件加密部分，勒索软件会首先生成一个ChaCha20的流密钥。

随后，自然也是调用ChaCha20对称加密算法对文件进行加密，用对称加密算法来对文件实施加密属于目前主流勒索软件的“惯例”，这 样做主要是为了保证加密的效率。

在加密操作执行完成后，勒索软件会在被加密的文件后附加.lvt的扩展名用于标记其已被加密。

此外，勒索软件会释放勒索信文件README_lvt.txt与受害者识别id文件README_lvt_PersonalKey.txt。这两个文件的内容完全一致。

根据捕获到的勒索软件样本看，当前版本的LvtLocker索要的赎金金额为0.01个比特币（当前价格约为3700元人民币）。

SSH Agent工具

在捕获到的样本中，除了勒索软件主体程序外，还有一个SSH代理工具。该样本本身并不会执行加密操作，但会在运行后搜集当前设备的基本信息并以HTTP请求的形式发送至远端服务器用于记录。接收用户信息的URL如下：

hxxp://80.92.205.181/jquery.js

目前该URL处于404状态

本轮攻击主要针对NAS类设备，也提醒大家，在使用各类网络设备时，不可掉以轻心，同样应该做好网络防护，以防设备被黑客攻击，造成数据泄露和数据丢失。

我们给出如下几点建议：

1. 及时更新NAS系统的安全补丁。

2. 为NAS设备设置强度较高的登录口令（长口令+大小写字母+数字+符号）。

3. 定期更换NAS登录口令。

4. 若系统允许，应禁用root账户（或admin等系统默认管理员账户）登录。

5. 善用系统内置的防火墙功能，对频繁尝试登录失败的IP执行自动封禁。

6. 减少并停用非必要的对外服务，关闭相应的端口。

MD5

349dd0a75d5cebe1d3ffd620bca4ff7f

e30a5d6336f7180479270369472d653e

IP & URL (Network)

80.92.205.181

download.linuxenc.top

2024年02月22日 360高级威胁研究分析中心发布通告

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT推出了安全通告特制版报告订阅服务，以便用户做资料留存、传阅研究与查询验证。

今后特制报告将不再提供公开下载，用户可扫描下方二维码进行服务订阅。