被设计成仅在特定企业环境中运行的Snake勒索软件

近期，威胁全球企业的Snake勒索软件正在散播。虽然目前在韩国尚未有确认的案例，但由于出现了针对德国、意大利和日本等企业的攻击，因此韩国国内的企业也需要提高警惕。

Snake勒索软件是用Golang编写额。使用Golang编写的恶意代码一直在稳定增长，近期传播的恶意代码正在使用混淆技术来妨碍分析。如下所示，Snake勒索软件的所有函数名也均更改为随机字符串。

代码混淆的函数名

去年年底确认的Snake勒索软件与一般的勒索软件相似，在运行时无需特别的条件即可进行加密。但是，从今年5月份开始确认的样本都会确认当前运行环境是否是企业网络内部。

最近针对本田公司的样本首选查询mds.honda.com域名来检查是否能解析到IP地址。即使收到了IP地址，也会检查其地址是否是170.108.71.15。也就是说，近期的Snake勒索软件仅针对特定企业，而不适用于一般的沙盒环境。

检查域名/IP地址的例行程序

根据目标企业的不同，从5月份开始确认的样本检查的条件也有所不同。

• 企业名：费森尤斯(Fresenius)
  DNS查询地址：ads.fresenius.com
  IP检查：10.2.10.4
• 企业名：意大利国家电力公司(Enel)
  DNS查询地址：enelint.global
  IP检查：10.16.173.233
• 企业名：本田(Honda)
  DNS查询地址：mds.honda.com
  IP检查：170.108.71.15

此后，存在第二个条件。如下所示，通过WMI查询对DomainRole进行检查，并根据结果桥接会有所不同。

DomainRole检查

DomainRole可获得如下所示的值，并能确认是否为 Domain Controller 服务器。

如果值小于或等于3，则执行勒索软件行为。在进行文件加密之前，先设置防火墙以阻止入站（inbound）和出站（outbound）连接。

> netsh advfireall set all > netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound

> netsh advfirewall set allprofiles state on​

并且它还终止了多个服务和进程。终止对象不仅有Adobe、MSSQl、MSExchange等正常程序，还有许多安全程序。

终止对象服务目录

接下来，删除卷影副本以及加密。但是，即使完成加密，也不会生成勒索笔记。

已加密的文件

仅当先前的DomainRole条件语句中的结果值大于3时才能生成勒索笔记，并且不进行加密。即，在 Domain Controller 的情况下，域控制器服务器不进行加密，仅在C:\Decrypt-Your-Files.txt路径和桌面生成文件名为Decrypt-Your-Files.txt的勒索笔记并结束。

[诊断文件]

- Trojan/Win32.FileCoder.C3866073
- Trojan/Win32.SnakeRansom.C4118506
- Trojan/Win32.SnakeRansom.R335473
- Trojan/Win32.SnakeRansom.R339638

[诊断行为]

- Malware/MDP.SystemManipulation.M1566
- Malware/MDP.Ransom.M1171