什么是古巴勒索软件？

古巴勒索软件又名 "菲德尔"，于 2019 年底首次被发现，2022 年崭露头角。古巴勒索软件的影响逐年翻番，危害了数百名受害者--2022 年，它收取的赎金超过 6000 万美元，促使 CISA 和 FBI 发布紧急警报。古巴勒索软件基于 Tor-dot-onion的官方网站以古巴民族主义为主题，尽管有情报显示该组织的成员为俄罗斯人：通信中包含典型的俄语拼写错误。古巴勒索软件隶属于规模较小但影响巨大的威胁行为体 RomCom 和 Industrial Spy。

古巴使用的标准商业软件打包技术被认为没有国家支持的恶意软件那么复杂，这表明古巴很可能是一小撮追求利润的人才的产物。"打包 "是指将软件和所需库压缩成单一的二进制可执行文件，难以逆向工程或被反病毒扫描仪检测到。

古巴采用大猎杀策略，有选择性地部署，目标是金融服务、政府、医疗保健、关键基础设施和 IT 行业的少数高知名度组织。报告显示，古巴运营商在支付赎金后会可靠地交付解密包，解密受害者的文件，但他们还采用双重勒索策略，据悉会公布拒绝支付赎金的受害者的被盗数据和文件。

古巴勒索软件如何运行

古巴 "通常是通过第一阶段的Hancitor 载入器恶意软件投放的，该恶意软件通过网络钓鱼攻击、暴露的漏洞或窃取或暴力获取的 RDP 凭据获得访问权限。为了锁定目标文件，"古巴 "使用对称加密算法 ChaCha20，然后使用 RSA 公钥对解密密钥进行附加和加密，并持有与之匹配的私钥。

值得注意的是，在古巴的袭击中发现了各种工具、战术和技巧。以下是古巴战术和技术的不完全清单：

通过使用 SOCKS5 连接的 SystemBC 恶意软件与指挥和控制 (C2) 服务器通信
利用 Microsoft Exchange 漏洞渗透网络邮件服务器
使用 PowerShell、SystemBC、Mimikatz、Cobalt Strike 平台和 cmd.exe等内置工具在网络中横向移动
使用 PSEXEC 将有效载荷转移到新入侵的系统中
移除网络共享访问控制
在被入侵系统上创建新用户，以便持续访问
更改防火墙规则，允许 RDP 连接使用 3389 端口
禁用端点检测与响应 (EDR)和防病毒安全产品
利用 Windows 通用日志文件系统 (CLFS) 驱动程序窃取管理员凭据
使用定制下载器 BUGHATCH、反恶意软件杀手 BURNTCIGAR 和 Metasploit 框架攻击系统
利用自带漏洞驱动程序 (BYOVD) 技术规避防御和绕过安全系统
通过 Veeam 备份服务利用漏洞 CVE-2023-27532 访问存储的凭据

古巴勒索软件攻击的迹象

CISA 和联邦调查局发布了破坏指标（IOCs），以帮助识别古巴的各种有效载荷组件，包括常用文件名和安装路径、C2 IP 地址和哈希签名。古巴将组件文件放置在Windows临时目录（C:\windows\temp）和ASP.NET根目录（C:\inetput\wwwroot\aspnet_client）中，并使用多种可执行文件类型：

ASP.NET (.aspx)
PowerShell (.ps1)
批处理脚本 (.bat)
动态链接库 (.dll)
二进制文件 (.bin)

古巴的文件也可以使用被入侵主机 IP 地址的最后一个八位位组命名，例如在 IP 地址为 192.168.1.253 的系统上命名为 253.ps1 和 253.bat。

古巴加密受害者的文件后，会附加一个.cuba 文件扩展名，并在每个文件夹中创建一个名为"!!解密常见问题!!.txt "的文件。赎金说明中包含一条简短信息和一个用于与攻击者通信的电子邮件地址。

如何防范古巴勒索软件攻击

古巴勒索软件使用多种攻击技术，因此建议采用纵深防御的方法来对付这种恶毒的对手。应对古巴勒索软件攻击的防御措施包括

制定密码政策，规定强大的密钥空间，为所有关键服务启用多因素身份验证
现代身份和访问管理（IAM）工具
在所有端点上安装高级端点安全产品，以检测入侵迹象 (IOC)，并采取防御措施阻止恶意有效载荷的执行
不断更新所有操作系统和软件，定期对所有网络基础设施进行漏洞扫描和渗透测试，尽快修复发现的任何漏洞
执行安全方面的最小特权原则，包括取消对管理共享和其他服务的不必要访问权限
分段网络以及 NIPS 和 NIDS，以监控网络活动的异常行为
通过禁用命令行和脚本活动以及权限和不需要的服务，加固包括员工工作站和服务器在内的所有端点，以减少 "靠天吃饭"（LOTL）式攻击的可能性
可靠的备份策略，包括离线、加密和不可更改的数据备份

CylanceOPTICS 防止古巴勒索软件

CylanceOPTICS^®利用人工智能（AI）提供设备上的威胁检测和修复，通过根源分析、智能威胁捕猎以及自动检测和响应功能来防止安全事件的发生。我们的端点检测和响应 (EDR) 方法可有效消除响应延迟。这可能是轻微安全事件与大范围失控事件之间的区别。

了解更多

古巴勒索软件