新勒索软件“Money Message”定向攻击国际知名企业

近年，数量惊人的勒索软件组织如雨后春笋般涌现，勒索攻击是全球网络安全面临的重大威胁之一。近日，安恒信息猎影实验室在日常监测运营中发现，新勒索软件MoneyMessage连续攻陷多家大型企业，窃取数据并索要巨额赎金。在此次的MoneyMessage勒索事件中出现了针对受害者的定向攻击样本，表明勒索组织在攻防博弈过程中不断进化，愈发专业化和系统化。

本次监测运用了安恒在线云沙盒。它拥有勒索场景化能力，对勒索等恶意软件的行为能够进行深度分析和检测，关联海量威胁情报，通过多项特征锁定勒索家族、整合出勒索后缀、钱包地址、联系邮箱、信息网站、勒索信文件内容等关键信息，给出是否能够解密的信息提示。

MoneyMessage勒索采用ECDH和ChaCha20组合的方式加密受害系统上的文件，并嵌入json格式的配置文件来灵活设置加密策略。该种组合的加密方案若无对应的密钥，则无法解密。此外，MoneyMessage勒索还通过内置的账户密码尝试登陆远程主机，并在内网进行横向感染，扩大勒索危害。该勒索加密执行结束后并不改变加密文件的后缀名，但创建一个名为money_message.log的勒索信文件用于提醒受害者，在勒索信内容中包含了该组织的暗网博客链接，表示不支付赎金则在其数据泄露网站公布窃取的数据。

截止4月12日，在勒索组织的博客上显示了有多家大型企业受到攻击，其中包括年收入近10亿美元的孟加拉国家航空公司(Biman airlines)，还有世界知名计算机硬件提供商微星国际（MSI）。MSI在全球120多个国家拥有广泛的业务，是全球前三大主板厂商和显卡生产商之一。MoneyMessage在其博客中声称若不支付赎金，则公开泄露从微星国际窃取的源代码、BIOS开发框架和私钥。