勒索病毒
勒索集團 Albabat 橫掃多系統，GitHub 助攻升級
Trend Research 發現了新的 Albabat 勒索病毒版本，該版本似乎會攻擊 Windows、Linux 和 macOS 裝置。此外，我們也揭露該集團使用 GitHub 來簡化其勒索病毒攻擊行動。
Save to Folio
重点摘要
- Trend Research 發現了新的 Albabat 勒索病毒版本。開發這些新的版本，意味著勒索病毒集團可能打算將攻擊目標從 Windows 擴大至 Linux 和 macOS。此外，研究也顯示該集團使用 GitHub 來簡化攻擊行動。
- 公司應隨時保持警覺以防範像 Albabat 這樣的勒索病毒威脅，因為一旦讓它們攻擊得逞，使得駭客取得關鍵的資料並用來勒索，公司很可能將面臨商譽損失、營運中斷，以及財務損失。
- 要防範 Albabat 勒索病毒，公司應建置嚴格的機敏資料存取控管、定期更新和修補系統，並且做好資料備份。
Albabat 勒索病毒已進化至能夠攻擊多種作業系統
向来以赚钱為目标的 勒索病毒集團近期開始變得活躍，推出了新的勒索病毒版本。其早期版本出現於 2023 年底和 2024 年初，我們的威脅追蹤團隊最近發現了 2.0.0 版和 2.5 版，不僅會攻擊 Microsoft Windows，還會蒐集 Linux 和 macOS 上的系統資訊與硬體資訊。我們的團隊發現了多個先前從未偵測過的 Albabat 勒索病毒變種。這些新版本會利用 GitHub REST API 來擷取它們的組態設定資料，使用「Awesome App」作為「User-Agent」字串。這些組態設定裏面含有關於勒索病毒行為與運作參數的重要細節。值得注意的是，這些變種都屬於 Albabat 2.0 版。
我们将其组态设定解码之后，发现了以下细节。
這個 Albabat 版本會忽略以下資料夾：Searches、AppData、$RECYCLE.BIN、System Volume Information、windows.old、steamapps、perflogs、ansel、tmp、node_modules、cache、vendor、target、Mozilla、venv、env、Chrome、google-chrome、pypoetry、vimfiles、viminfo、site-packages、scoop、go 以及 temp。?
此外，这个版本会将下列副档名的档案加密： ~$、.src、.ico、.cur、.theme、.themepack、.bat、.com、.cmd、.cpl、.prf、.icls、.idx、.mod、.pyd、.vhdx、._pth、.hta、.mp3、.CHK、.pickle、.pif、.url、.ogg、.tmp、.dat、.exe、.lnk、.win、.vscdb、.bin、.cab、.inf、.lib、.tcl、.cat、.so、.msi、.vpk、.vc、.cur、.ini、.bik、.sfx、.xnb、.ttf、.otf、.woff、.woff2、.vfont、.resource、.N2PK、.log、.pkg、.desktop、.dll、.pkr、.arc、.sig、.bk2、.arz、.swf、.qt、.wma、.mp2、.vdf、.pdb、.nfo、.whl、.mui、.srm、.smc、.dic、.lock、.pyc、.TAG、.locale、.store、.sdi、.library-ms、.acf、.po 以及 .mo。?
但會略過以下檔案：ntuser.dat、ntuser.ini、iconcache.db、Thumbs.db 和 .DS_Store。?
同时也会终止以下处理程序：taskmgr.exe、processhacker.exe、regedit.exe、code.exe、excel.exe、powerpnt.exe、winword.exe、msaccess.exe、mspub.exe、msedge.exe、virtualboxvm.exe、virtualbox.exe、chrome.exe、cs2.exe、steam.exe、postgres.exe、mysqlworkbench.exe、outlook.exe、mysqld.exe、windowsterminal.exe、powershell.exe、cmd.exe、sublime_text.exe、microsoft.photos.exe 以及 photosapp.exe。
組態設定資料也顯示了勒索病毒從受害電腦蒐集到的資料將儲存在哪裡，它會連線到以下網址的 PostgreSQL 資料庫：
postgres://postgres.<username>:<password>@aws-0-us-west-1.pooler.supabase[.]com:5432/postgres
勒索病毒使用了一个资料库来追踪感染与付款情况，蒐集到的资讯可协助骇客提出赎金要求、监控感染情况，以及贩卖受害者的资料。
此外，組態設定當中還包含了 Linux 和 macOS 系統的指令，顯示駭客已開發出針對這些平台的二進位檔案。
GitHub 帳號用於提供組態設定與必要元件
GitHub 儲存庫 billdev.github.io 是用來為勒索病毒儲存及提供組態設定檔案。雖然勒索病毒使用的儲存庫目前設定為私密狀態，但它還是可透一個我們在 Fiddler 連線中看到的認證金鑰來存取。
進一步調查這個 GitHub 帳號之後，我們發現其網頁是在 2024 年 2 月 27 日建立，这表示网页已经建立超过一年。其帐号是註册在「Bill Borguiann」名下，这很可能是个别名或假名。
根據提交 (commit) 記錄顯示，勒索病毒的開發工作仍在進行，使用者主要是修改組態設定。提交用的電子郵件地址是 billdev@morke[.]org，最近一次提交的时间是 2025 年 2 月 22 日。
根据提交记录显示，2024 年 8 月和 9 月的活动大幅增加。尤其在两个重要时段有大量的提交动作：00：00 至 04：00 以及 12：00 至 16：00。从这个行為模式可看出骇客在这些时段内应该非常专注地在工作，如下图所示。
一项值得注意的发现就是一个名為「2.5.x」的资料夹，这可能意味着有一个更新的勒索病毒版本。由於网路上目前的最新版本是 2.0，因此这强烈显示 2.5 版是目前正在開發的版本。?
我们在「2.5.x」这个目录中找不到勒索病毒二进位档案，反而找到一个 2.5 版勒索病毒的 config.json 档案。这个组态设定档中可看到新加入的比特幣 (Bitcoin)、乙太幣 (Ethereum)、Solana、BNB 等虚拟加密货币的钱包。这些钱包目前尚未侦测到任何交易。
资安建议
隨時掌握勒索病毒威脅 (如 Albabat) 並監控入侵指標 (IoC) 是主動式資安防禦的必要條件。這麼做能及早偵測威脅、強化資安措施、支援鑑識調查，以及遏止駭客集團的活動。對研究人員來說，追蹤 IoC 能獲得有關駭客攻擊模式的寶貴洞見，有助於制定更有效的威脅防範策略。
此外，公司也可採取以下資安最佳實務原則：
- 定期备份：所有关键资料要随时备份并小心保管，并且定期测试復原程序以确保万一遭到攻击，资料能迅速復原。
- 网路分割：實施网路分割來避免勒索病毒在您的公司內部擴散。將機敏資料與關鍵系統隔離，就能避免大規模的損害發生。
- 修补与更新系统：定期更新及修补应用程式软体、作业系统以及其他应用程式，确保骇客可能攻击的漏洞都已消除。
- 使用者教育训练和资安意识：定期為员工举办教育训练，让员工有能力分辨网路钓鱼攻击与可疑连结。
採用 Trend Vision One? 的主動式防護
Trend Vision One??是唯一將资安曝险管理、資安營運以及強大的多層式防護集中在一起的 AI 驅動公司網路資安平台。這套全方位的方法能協助您預測及防範威脅，讓您在所有數位資產上加速實現主動式防護的成果。它憑著數十年的網路資安領導地位，以及業界首創的 Trend Cybertron 主動式網路資安 AI，為您帶來經得起考驗的具體成果：減少 92% 的勒索病毒風險，以及縮短 99% 的偵測時間。資安領導人可評量自己的資安狀況，向所有利害關係人展示資安的持續改善。有了 Trend Vision One，您就能消除資安盲點，專心處理最重要的問題，讓資安晉升為支援您創新的策略合作伙伴。
Trend Vision One 威脅情報
要隨時掌握持續演變的威脅，Trend Vision One 客戶可透過 Intelligence Reports 以及 Threat Insights 取得各種情報與威脅洞見。Threat Insights 可幫助客戶在威脅發生之前便提前掌握，並對新興的威脅預先做好準備，提供有關駭客、惡意活動及駭客技巧的完整資訊。善用這些情報，客戶就能主動採取步驟來保護自己的環境、防範風險，並且有效回應威脅。
Trend Vision One Intelligence Reports 應用程式 [IoC 掃描]
- 础濒产补产补迟：使用 GitHub 來簡化勒索病毒的攻擊行動，提供組態設定與元件
Trend Vision One Threat Insights 應用程式?
- 新兴威胁：
追踪查询
Trend Vision One Search 應用程式
Trend Vision One 客戶可以使用 Search 應用程式來尋找或追蹤本文提到的惡意指標，看看是否也出現在自己的環境中。
侦测用来蒐集系统资讯的指令列命令
eventSubId: 2 AND processCmd: /cmd.+wmic (cpu|csproduct|os|nic).+get (name|caption|displayName|MACAddress)/
除此之外，Trend Vision One 客戶還可啟用?Threat Insights 權利來取得更多追踪查询。
入侵指標 (IoC)?
| SHA1 雜湊碼 | 侦测名称 |
| 1cc2d1f2a991c19b7e633a92b1629641c019cdeb? | Ransom.Win64.ALBABAT.THBBEBE? |
| c7c52fdaecf325dfaf6eda14e0603579feaed40a | Ransom.Win64.ALBABAT.THBBEBE? |
| 8a3ea65147a156d381d8f1773e91eb8e0f6b1e40 | Ransom.Win64.ALBABAT.THBBEBE? |
| 8de54cad9d6316679580c91117b484acb493ab72 | Ransom.Win64.ALBABAT.THBBEBE? |
| d67dc8c4232a3943a66608d62874923e9a3fb628 | Ransom.Win64.ALBABAT.THBBEBE? |