Coffee
警惕程度 ★★★
影响平台: Windows
病毒执行体描述
Coffee勒索软件的攻击者使用中文编写钓鱼邮件、勒索信，并提供在国内购买加密货币支付赎金的详细中文教程，对国内用户具有很强的针对性。该勒索软件使用“白加黑”方式加载恶意模块，并且采用“DDR”(Dead Drop Resolvers)技术，利用合法Web服务下载后续恶意功能载荷，规避安全产品检测。该勒索软件还会对桌面快捷方式进行劫持，并利用受害者的QQ聊天工具进一步传播。
攻击者投放压缩包格式的钓鱼邮件附件或QQ群文件，诱导受害者解压并执行压缩包中的快捷方式。快捷方式目标使用Unicode编码，隐藏实际指向的恶意程序csrts.exe。恶意程序运行后，会利用“白加黑”方式，使用白文件csrts.exe加载恶意模块Myou.dll，然后从托管平台等途径下载后续恶意功能载荷并加载，执行文件加密、快捷方式劫持、利用受害者QQ传播等恶意行为。
采用“DDR”(Dead Drop Resolvers)技术下载恶意功能载荷
压缩包中使用快捷方式作为诱饵，快捷方式中使用Unicode编码，隐藏实际指向的目标文件路径csrts.exe。双击该快捷方式后，会调用该程序运行。
利用“白加黑”方式，使用带有数字签名的白文件csrts.exe加载恶意模块Myou.dll。
将自身及Myou.dll复制到%Appdata%目录下并执行。
采用“DDR”(Dead Drop Resolvers)技术，从Gitee（架设在国内的基于Git的代码托管平台）、IPFS（去中心化的文件存储系统）等途径下载RTLib.dll并加载，该文件为后续的恶意功能载荷。
本会访问https://visitor-badge.laobi.icu/badge?page_id=dayXXX.nobody.com，用于统计受害者数量。根据网站数据显示。
使用RC4算法进行数据加密
若%Appdata%目录下，存在“*-RSA.txt”文件，则读取文件内容初始字符串，否则生成随机的小写GUID字符串保存至“<生成另一个大写GUID>-RSA.txt”，并依此生成8个字符长度的加密密钥。其中，密钥前四个字符会参与组成加密后文件的文件名。
若满足如下条件之一，样本会执行文件加密操作：
①存在某安全软件进程；
②收到攻击者的加密指令；
③当前时间距离%Appdata%\*-RSA.txt文件创建时间大于等于4天。
使用RC4对称加密算法对文件进行加密，样本只加密文件前2,097,152字节（2MB）的数据，加密后的文件末尾会添加0x24、0x21两个字节的标志位。
加密功能只针对指定后缀名的文件，如下表所示。
加密后的文件名格式为：原文件名.coffee.密钥前四个字符.原文件后缀名。例如，“发言稿.docx”某次被加密后的文件名为“发言稿.coffee.UV2v.docx”。
从XML字符串中获取RSA公钥，加密RC4密钥作为勒索信中的解密密码。
在被加密文件的路径下生成名为“请阅读我.RSA.txt”的勒索信，勒索信内容包括操作指南、解密所需的解密密码等内容。
Coffee勒索软件向受害者索要价值500 USDT（泰达币，一种将加密货币与法定货币美元挂钩的虚拟货币）的ZEC币，并提供了详细的中文支付指南，指导受害者如何进行安装数字钱包、购买虚拟货币、支付赎金等操作。
通过劫持桌面快捷方式实现持久化
样本将自身复制到桌面正常快捷方式指向的程序目录下，文件名为正常程序名后接不可见字符“\u200e”，并修改正常快捷方式指向该文件。用户从桌面快捷方式执行程序时，实际执行的为恶意程序。（分析过程中该功能未启用）
劫持快捷方式的程序列表如下。
通过发送QQ文件及消息扩大传播范围
样本会尝试将QQ窗口置于前台，模拟QQ文件及消息发送操作，利用受害者系统中的QQ软件进一步传播。
发送的QQ文件、消息如下。
预防和清除：
不要点击不明网站；打开不明邮件附件；定时经常更新杀毒软件病毒数据库，最好打开杀毒软件的病毒数据库自动更新功能。关闭电脑共享功能，关闭允许远程连接电脑的功能。安装最新的系统补丁。
LokiBot
警惕程度 ★★★
影响平台:Windows
攻击者利用钓鱼邮件的方式投递恶意载荷，主题为“请求基础产业报价”的报价单，以此诱导受害者解压并执行压缩包中的LokiBot窃密木马，导致用户的隐私和信息泄露。
LokiBot窃密木马执行后，会自动收集受害者的浏览器数据、电子邮件、远程连接凭据等数据并回传至攻击者服务器，造成受害者数据泄露。LokiBot还支持接收C2命令、执行下载其他恶意代码等功能，对受害者数据产生更多威胁。
攻击者投放钓鱼邮件，诱导受害者解压并执行邮件附件中的窃密木马。该木马执行后，会窃取浏览器、电子邮件等重要数据回传至指定的C2服务器，然后等待C2指令进行下一步操作，C2指令包括再次窃取数据、下载并执行插件、升级自身、自我删除等。
攻击者利用钓鱼邮件的方式投递名为“SGN-INC-27049.pdf.7z”的压缩包文件，主题为“请求基础产业报价”的报价单，以此诱导受害者解压并执行压缩包中的LokiBot窃密木马，实施窃密行动。
户点击附件后会从指定URL下载LokiBot窃密木马的压缩包，解压执行后将会感染该窃密木马。域名attach.mail.daum.net为某韩国邮件服务商用于提供邮件附件下载服务的域名。
使用ReZer0（别称：CyaX-Sharp）加载器，该加载器含有多层嵌套加载的.NET载荷，使用图片隐写术隐藏数据，最终会将载荷镂空注入到新创建的自身进程中执行。
通过对比API函数名称的哈希值获取所需的API地址。
LokiBot特色哈希算法如下。
启动后，首先检查-u参数，若存在则延迟10秒执行，该参数用于样本自身升级。
使用WSAStartup函数初始化网络对象，并创建互斥体。互斥体名称为设备识别号的MD5哈希值大写前24个字符，若无法获取则为随机10位字符串。互斥体创建成功后的整体运行流程如下。
构建函数数组并依次执行数组中的函数，每个函数均包含针对某软件的窃密功能。
详细的窃密范围如下表所示。
在内存中解密C2地址“http://178.128.244.245/search.php?key=c7efe16273fb99ba59033ba0f61e25db”。
回传时使用的User Agent字段为“Mozilla/4.08(Charon; Inferno)”。
将自身移动或复制到%Appdata%内的子文件夹并设置为隐藏文件，子文件夹名称为计算机硬件ID的MD5哈希值第8~13位，文件名为该MD5哈希的13~18位。
使用SHRegSetPathW函数在注册表中设置自启动项，但样本实际设置的注册表路径为“HKEY_CURRENT_USER\<C2地址>”，并非自启动的“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run”，疑似为攻击者在设置C2地址时出现的字符串修改错误。
根据C2指令进行进一步操作，支持的功能包括再次窃取数据、下载并执行插件、升级自身、自我删除等。
预防和清除：
不要点击不明网站；打开不明邮件附件；定时经常更新杀毒软件病毒数据库，最好打开杀毒软件的病毒数据库自动更新功能。关闭电脑共享功能，关闭允许远程连接电脑的功能。安装最新的系统补丁。
钓鱼网站提示：
1、假冒亚马逊类钓鱼网：
https://www-drv.com/site/tkqcyrr0mdjbxcscn6agiq/page/
危害：骗取用户邮箱账号及密码信息。
2、假冒PDF类钓鱼网：
http://www.capelini.com.br/adobeCom/inc/
危害：骗取用户账号及密码信息。
3、假冒Paypal类钓鱼网：
http://www.skblibrary.org.in/cottonlibrary/a
危害：骗取用户账号及密码信息。
4、假冒腾讯游戏类钓鱼网站:
http://www.dnf233.com/
危害：骗取用户信用卡号及密码信息。
5、假冒Gmail类钓鱼网站
http://www.ilona.com/wcmilona/wp-includes/SimplePie/Data/
危害：骗取用户邮箱账号及密码信息。
请勿打开类似上述网站，保持计算机的网络防火墙打开。
以上信息由上海市网络与信息安全应急管理事务中心提供