报告：解析勒索软件发展历史及暗网六大RaaS平台

来自CSE CybSec ZLab 恶意软件实验室的安全专家在上周三为我们带来了一份题为《ZLAB MALWARE ANALYSIS REPORT: RANSOMWARE-AS-A-SERVICE PLATFORMS》（译作：《ZLAB恶意软件分析报告：勒索软件即服务平台》）的分析报告，详尽解析了勒索软件的发展历史、勒索软件即服务商业模式以及当今暗网中最主要的六大RaaS平台。

在下文中，我们将为大家呈现这份分析报告的完整内容，让大家对RaaS有一个更全面的了解。

引言

经过多年的发展，暗网已经孕育出了许多新的非法商业模式。除了毒品和支付卡数据传统的的非法商品外，地下黑客论坛还出现了其他类型的服务，包括黑客服务和恶意软件开发。这些平台的出现，使得即使不具备任何专业知识的网络犯罪分子也能够构建出属于自己的了勒索软件并将其传播。

勒索软件从实质上来讲就是一段恶意代码，它能够通过锁定设备或者加密文件来阻止受害者的正常访问，并要求支付赎金。当勒索软件被成功安装在受害者的设备上之后，它会搜索并多顶敏感文件和数据，包括财务数据、数据库和个人文件。换句话来说，开发勒索软件的目的就是为了让受害者的设备无法正常使用。受害者最终只有两种选择：在并不能保证能够获取原始文件的情况下支付赎金，或者断开设备与互联网的连接。

勒索软件的发展历史

第一个勒索软件（AIDS Trojan）可以追溯到1989年，当时有2万张号称包含“艾滋病信息介绍”的软盘被分发给了国际卫生组织国际艾滋病大会的与会者。在受害者遭遇90次设备重启后，该软件会隐藏目录并在受感染设备上加密文件。赎金金额被定为189美元，受害者被要求必须向巴拿马邮政信箱里存入所要求的金额。

在经过10多年之后，也就是在2005年5月，GpCode、TROJ.RANSOM.A、Archiveus、Krotten等勒索软件开始出现。随着新的匿名支付方式（如比特币）在2008年底的出现，勒索软件也开始了采用了新的支付方式。

许多勒索软件家族如CryptoLocker、TeslaCrypt和 Locky 都在全球范围内感染了大量系统，但 WannaCry 勒索软件攻击到目前为止仍被认为是所有网络攻击中最具破坏性的。

在被发现后的几个小时内，WannaCry 利用 SMB漏洞感染了超过23万台机器。尽管它的这种类似蠕虫的行为令人出乎意料，但WannaCry依然使用了传统的方法来对受害者的文件进行加密，并要求支付300美元赎金。

在过去的10多年中被检测到的勒索软件样本总体可以分为两类：

锁定型勒索软件：这种勒索软件会锁定受感染设备，以阻止受害者的使用
加密型勒索软件：这种勒索软件会加密文件、目录和硬盘

第一种类型的勒索软件主要在2008年至2011年期间被使用，目前已被大多数网络犯罪分子所抛弃。因为即便不支付赎金，消除感染也是非常简单的。事实上，这种勒索软件有一个很明显的弱点。它只会显示一个拒绝访问设备的窗口，但这种锁定很容易就能够被绕过。

第二种类型的勒索软件必然不会存在这个问题，因为它会直接作用于受害者的文件并拒绝受害者使用系统。显然，受害者无法访问被加密文件中所包含的信息。

在之后出现的勒索软件几乎都是采用第二种类型勒索软件所使用的加密方法，但它们涉及更为高级的传播手段、逃避检测和反分析技术，如Locky和WannaCry。

显然，勒索软件的构建需要特定的先进技能，但巨大利益推动了新服务的兴起，使得网络犯罪分析无需具体任何知识即可构建勒索软件。这也就是所谓的勒索软件即服务（Ransomware as a Service，RaaS），接下来就让我们来看看这种RaaS商业模式。

勒索软件即服务（RaaS）

RaaS商业模式的兴起使得攻击者无需任何技术专业知识，就可以毫不费力地发起网络敲诈活动，这也是导致新的勒索软件市场泛滥的原因。

勒索软件即服务，也就是勒索软件销售商及其客户的盈利模式。使用这种方法的勒索软件销售商可以获取到新的感染媒介，并有可能通过传统方法（如垃圾邮件或劫持网站）接触到他们无法直接接触的新受害者。RaaS客户可以通过勒索软件即服务门户轻松获取到勒索软件，只需配置一些功能并将其分发给不知情的受害者即可。

当然，RaaS平台通常不能够在我们常用的互联网上找到，它们只能够隐藏在互联网的黑暗面，即暗网。

通过使用非传统搜索的引擎浏览暗网，你可以找到很多提供勒索软件即服务的网站。每一个网站都为他们的勒索软件提供了不同的功能，这包括允许用户选择加密阶段所要使用的文件扩展名、修改要求受害者支付的赎金金额以及其他技术功能。

此外，除了使用RaaS平台之外，购买定制恶意软件还可以通过犯罪论坛或网站进行，你还可以雇佣黑客来构建属于自己恶意软件。从历史上看，这种商业模式一直存在，但通常专用于网络攻击，如间谍活动、账户黑客攻击和网站入侵。当黑客开始明白RaaS平台也可以盈利时，他们才开始提供这种特定的服务。

这类服务的供应主要通过两种方式提供：雇用某人根据客户的要求来编写勒索软件，或直接使用RaaS平台。

CSE CybSec ZLab恶意软件实验室的安全专家对暗网上主要的RaaS平台进行了有趣的分析，其中包括：

RaaSberry

RaaSberry提供了可以随时分发的定制勒索软件包。这些软件包预先编制了一个由客户提供的比特币地址，平台创建者不会从客户的受害者那里获得任何形式的付款。

一旦勒索软件在受害者的设备上执行，它将加密由客户创建时指定的某些类型的文件。它会检索所有本地驱动器和映射的网络驱动器，并使用即时生成的唯一265位AES密钥对文件进行加密。然后，使用唯一的RSA密钥对AES密钥进行加密并上传。

加密完成后，受感染设备桌面壁纸将更改为带有付款指示的图片。每个文件夹中都有一个文本文件，即赎金票据。客户可以选择生成多个版本的数据票据，这包括英文、西班牙文，中文、印地文、阿拉伯文、葡萄牙文、俄文、日文、德文、意大利文、越南文、韩文、法文、泰米尔文和旁遮普文。

在受害者付费后，AES密钥将勒索软件直接提供以允许解密。尽管许多勒索软件都要求受害者下载一个单独的解密器，但一旦命令和控制（C&C）服务器提供AES密钥，RaaSberry就会通过内置的代码进行解密。如果客户没有订阅命令和控制服务，也可以通过AES密钥手动进行解密，或者通过电子邮件提供解密服务。这个网站主要由几个部分组成：关于、登录、注册和支持。其中，“关于”部分介绍了如何构建个人勒索软件。