Kraken勒索软件分析
字数 1945 2025-08-19 12:41:54
Kraken勒索软件深度分析与防御指南
1. Kraken勒索软件概述
Kraken Cryptor是一种勒索软件即服务(RaaS)模式的恶意软件，最早于2018年8月出现在地下论坛。该勒索软件具有以下核心特征：
- 使用C# (.NET 3.5)编写，大小约85KB
- 全自动化操作流程
- 采用混合加密算法，每个文件使用唯一密钥
- 具备反调试和反取证能力
- 采用RaaS商业模式，开发者与分支成员分成
2. 技术特性分析
2.1 加密机制
- 混合加密算法：结合多种加密方式实现更安全快速的加密
- 文件处理：
- 可设置文件大小限制进行选择性加密
- 为加密文件添加随机扩展名以绕过终端保护系统
- 非系统盘文件可使用扩展绕过模式
2.2 传播方式
-
初始传播途径：
- 伪装成安全软件(SuperAntiSpyware)传播
- 通过Fallout Exploit Kit漏洞利用工具包传播
- 地下论坛有偿账户推广
-
UAC绕过技术：
- 利用Windows Event Viewer实现用户账户控制绕过
- 技术细节参考：Fileless UAC Bypass
2.3 反分析技术
- 自我保护：
"C:\Windows\System32\cmd.exe" /C ping 127.0.0.1 -n 3 > NUL&&del /Q /F /S "C:\Users\Administrator\AppData\Local\Temp\krakentemp0000.exe" - 反取证措施：
- 使用SysInternals的SDelete工具彻底删除文件
- 执行参数：
sdelete.exe -c -z C - 操作包括：
- 用0覆盖驱动空闲空间
- 删除影子卷副本
- 关闭系统恢复选项
- 300秒后强制重启系统
3. 商业模式分析
3.1 RaaS运营模式
-
版本更新：分支成员每15天可获取更新版本以规避杀毒软件检测
-
解密流程：
- 受害者请求免费解密测试
- 分支成员将样本文件和密钥发送至支持服务
- 开发者解密后返回分支成员
- 分支成员转发解密文件给受害者确认
- 支付赎金后分支成员获取完整解密密钥
-
收益分配：
- v1版本：开发者25%
- v2版本：开发者20%（鼓励发展下线）
- 加入费用：50美元
3.2 地理限制
开发者明确禁止在以下国家使用：
亚美尼亚、阿塞拜疆、白俄罗斯、爱沙尼亚、格鲁吉亚、伊朗、
哈萨克斯坦、吉尔吉斯斯坦、拉脱维亚、立陶宛、摩尔多瓦、
俄罗斯、塔吉克斯坦、土库曼斯坦、乌克兰、乌兹别克斯坦
注：实际感染数据显示部分排除国家仍有感染案例
4. 攻击者分析
-
身份特征：
- 论坛ID：ThisWasKraken
- 联系方式：
- Jabber: thiswaskraken@exploit[.]im
- 支持邮箱: teamxsupport@protonmail[.]com
- 语言特征：俄语帖子存在明显翻译痕迹，英语能力优于俄语但仍有错误
-
洗钱方式：
- 主要使用BitcoinPenguin在线赌博网站
- 父钱包地址：3MsZjBte81dvSukeNHjmEGxKSv6YWZpphH
- 选择原因：无需会员身份验证
5. 版本演进分析
5.1 版本识别
通过PDB路径发现早期版本编译信息：
C:\Users\Krypton\source\repos\UAC\UAC\obj\Release\UAC.pdb
5.2 版本特征
研究人员共发现9个版本，主要版本差异：
| 版本特性 | v1系列 | v2.0.7 |
|---|---|---|
| 反AV保护 | 有 | 增强 |
| 反取证能力 | 基础 | 增强 |
| 国家排除列表 | 固定 | 可配置 |
| 可配置性 | 低 | 高 |
| 数据收集API | 无 | 新增 |
5.3 v2.0.7新增功能
-
数据收集API：
- 受害者数量统计API
- 隐藏服务统计数据API
- 硬编码的Onion URL
-
信息收集范围：
状态、操作系统、用户名、硬件ID、IP地址、国家、城市、 语言、硬盘数量、硬盘类型、硬盘名称、硬盘容量、空闲空间、 权限级别、操作类型、测试标志
6. 基础设施分析
- 下载域名：blasze[.]tk (v1.2-v2.04)
- 防护措施：使用Cloudflare防御DDoS攻击
- 地理限制：特定国家无法访问该域名
7. 防御建议
7.1 预防措施
-
软件限制：
- 禁用非必要的.NET 3.5组件
- 限制从Temp目录执行文件
-
系统加固：
- 监控Event Viewer的异常调用
- 限制对注册表的修改权限
- 禁用自动运行功能
-
备份策略：
- 实施3-2-1备份原则(3份副本，2种介质，1份离线)
- 保护卷影副本免受删除
7.2 检测指标
-
网络指标：
- blasze[.]tk域名访问
- 特定Tor隐藏服务通信
-
文件指标：
- 临时目录中的随机名可执行文件
- SDelete工具异常使用
-
行为指标：
- 短时间内大量文件加密操作
- 系统恢复设置的异常修改
7.3 应急响应
- 隔离感染主机
- 保留内存转储：可能包含加密密钥
- 不要支付赎金：助长勒索软件生态
- 联系专业安全团队：尝试恢复可能性
8. 总结
Kraken勒索软件代表了RaaS模式的发展趋势，具有高度模块化和可配置性。其技术特点包括先进的加密方案、反分析技术和数据销毁能力。防御需要多层防护策略，重点在于预防、检测和响应能力的全面提升。