勒索软件攻击发展出加装VM以躲避防毒侦测的新手法

安全厂商Sophos发现一只勒索软件，会在进入受害电脑时安装VM（virtual machine）以避免被防毒软件侦测到。

Sophos最近侦测到这只名为Ragnar Locker的勒索软件，会在Windows XP VM环境下执行Oracle VirtualBox，以便在防毒软件侦测不到的“安全环境”中，执行其勒索软件。

研究人员指出，Ragnar Locker背后的骇客组织一向在植入勒索软件前，先从目标电脑上窃取资料。四月间骇客已经对葡萄牙能源（Energias de Portugal）网络发动攻击，声称窃取了10TB敏感公司资料，并勒索1580枚比特币（约1100万美元）的赎金，否则将公布这批资料。

过去的攻击中，Ragnar Locker骇客组织会先利用代管服务供应商的系统漏洞，或攻击Windows Remote Desktop Protocol（RDP）连线以便骇入目标网络。在取得受害者网域的管理员权限，窃取资料后，攻击者即利用原生的Windows管理员工具，像是PowerShell或Windows群组原则物件（Group Policy Objects，GPO）在网络内横向移动，最后进入Windows用户及服务器。

而在近日的攻击下，研究人员发现，Ragnar Locker骇客就是利用GPO程序执行Microsoft Installer (msiexec.exe)，传输参数后，从远端Web服务器悄悄下载并安装122MB未签章过的MSI套件。这个套件包含二个档案，一是旧版Oracle VirtualBox hypervisor，是来自2009年8月5日的Sun xVM VirtualBox 3.0.4。另一个则是Windows XP SP3精简版（名为MicroXP v0.82）映像档，名为micro.vdi，这个档案内含49KB的Ragnar Locker勒索软件执行档。

此外该MSI档还部署可执行档、批次档及其他档案。做了种种准备后，骇客利用一个脚本程式关闭电脑上的安全侦测及通知服务，使其本机磁盘、可移除磁盘、网络磁盘机门户大开，而主要应用程序、数据库及备份应用程序等也都解除设防，最后让Ragnar Locker得以全部加密。

由于所有动作都来自VirutalBox这支App的合法程序，因而主机上防毒软件无从拦截侦测。安全厂商还观察到VM内的勒索软件完全针对每台机器独家编译而成。研究人员说，Ragnar Locker的案例显示，勒索软件的攻击手法已经来到新的境界。

之前安全产业也发现，勒索软件已经衍生出关闭防毒软件、或是迫使电脑进入安全模式以避免被侦测等高阶能力。