勒索软件 BlackBasta 2.0 的科技演变

研究人员发现 BlackBasta 勒索软件开始使用全新的样本文件。新版本的 BlackBasta 相比旧版本更新了许多代码（包括文件加密算法与库文件），拥有更低的引擎检出率。恶意样本的大部分字符串都已经经过混淆，文件名也已经随机化，这阻碍反病毒引擎与 EDR 等安全产品的检测。

BlackBasta 2.0 版本中给最重要的部分就是对加密算法的修改。最初，BlackBasta 勒索软件使用非对称 4096 位 RSA 公钥与对称 ChaCha20 算法进行加密。而且，RSA 算法是通过 GNU 多精度算术库（GMP）实现的。而在最新的 BlackBasta 2.0 中，加密算法已经被椭圆曲线（ECC）和 XChaCha20 算法所取代。并且，算法实现转而使用 Crypto++。新版本使用的椭圆曲线算法为 secp521r1，内嵌的公钥为：

da:28:10:db:f5:ae:12:08:cf:dd:1f:10:80:48:00:

32:38:1d:23:40:0c:ca:05:2c:5c:d2:79:1d:ae:8f:

0a:74:a1:1c:79:b3:0c:38:21:aa:94:1a:4f

ASN1 OID: secp521r1

NIST CURVE: P-521

writing EC key

-----BEGIN PUBLIC KEY-----

MIGbMBAGByqGSM49AgEGBSuBBAAjA4GGAAQAUh/Ys2W3nDC9+hyIzHd3gfZQndkX

jRfY+jqMsPJvhyEMlduU9Zy//crwjRlqnC+fS5YgMZVBVD6SQ+170YGMWHgBLjG4

AnrBuX8vtLK6qt/taKLf65BKT9ooENv1rhIIz90fEIBIADI4HSNADMoFLFzSeR2u

jwp0oRx5sww4IaqUGk8=

-----END PUBLIC KEY-----

BlackBasta 2.0 在加密过程中使用被成为 DHIES 的加密模式，利用 Crypto++ 中的椭圆曲线集成加密方式（ECIES）生成每个文件的 XChaCha20 与基于哈希的消息认证码（MHAC）。

为了提高加密速度，BlackBasta 根据文件大小使用 XChaCha20 对文件进行不同策略的加密。如果件小于 5000 字节，则整个文件将以 64 字节为单位进行加密。如果文件大于 64 字节且不是 64 字节的偶数倍，则不会加密最后的 64 字节块。如果文件小于 1GB，BlackBasta 会交替加密 64 字节块并跳过 128 字节，直到文件末尾。

（编辑：银川站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!