上周末，Windows實用程序開發軟件IObit遭到了黑客的一次大范圍的攻擊，一種奇怪的勒索軟件DeroHE在此次攻擊中被傳播給了該論壇成員。

IObit是一個軟件開發軟件，以Windows系統優化和反惡意軟件程序(例如Advanced SystemCare)而聞名。

[[380192]]

上周末，IObit論壇成員開始收到聲稱來自IObit的電子郵件，稱他們有權免費獲得一年的軟件許可證，這是成為論壇成員的一項特殊待遇。

電子郵件中包含一個“立即獲取”鏈接，該鏈接重定向到hxxps：//forums.iobit.com/promo.html。此頁面已不再存在，但是在受到攻擊時，它正在hxxps：//forums.iobit.com/free-iobit-license-promo.zip分發文件。

該壓縮文件[VirusTotal]包含來自合法IObit License Manager程序的數字簽名文件，但IObitUnlocker.dll被替換為如下所示的未簽名的惡意版本。

當IObit License Manager.exe運行時，將執行惡意的IObitUnlocker.dll，從而將DeroHE勒索軟件安裝到C:\Program Files (x86)\IObit\iobit.dll [VirusTotal]并執行它。

由于大多數可執行文件都使用IOBit的證書簽名，并且zip文件托管在其站點上，因此用戶在安裝勒索軟件時都會認為這是合法的促銷活動。

根據IOBIT論壇和其他論壇的報告，這是一次針對所有論壇成員的廣泛攻擊。

DeroHE勒索軟件

此后，BleepingComputer分析了勒索軟件，以說明在受害者計算機上執行時會發生什么。

首次啟動時，勒索軟件將添加一個名為"IObit License Manager"的Windows自動運行程序，該程序將在登錄Windows時啟動"rundll32 "C:\Program Files (x86)\IObit\iobit.dll",DllEntry"命令。

Emsisoft分析師Elise van Dorp(之前也分析了勒索軟件)表示，勒索軟件添加了以下Windows Defender排除項，以允許DLL運行。

• @WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath=\"
• @WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath=\"\Temp\\"
• @WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionExtension=\".dll\"
• @WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionProcess=\"rundll32.exe\"

勒索軟件現在將顯示一個消息框，顯示這是IObit License Manager發出的消息，上面寫著：“請稍等。它可能需要比預期更長的時間。請保持計算機運行或打開屏幕!”勒索軟件會顯示此警報，以防止受害者在勒索軟件完成之前關閉其設備。

在加密受害者時，它會將.DeroHE擴展名附加到加密文件中。

每個加密文件還將在文件末尾附加一個信息字符串，如下所示。如果支付了贖金，勒索軟件可能會使用此信息來解密文件。

{"version":"3","id":"dERiqiUutvp35oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavVVSdyEzaViULtCRPxzRwRCKZ2j2ugCg5r9SrERKe7r5DVpU8kMDr","parts":[{"size":193536,"esize":193564,"offset":0,"rm":"Phj8vfOREkYPKA9e9qke1EIYOGGciqkQBSzfzg=="}],"ext":".png"} 

在Windows桌面上，DeroHE勒索軟件將創建兩個名為FILES_ENCRYPTED.html的文件，其中包含所有加密文件的列表以及READ_TO_DECRYPT.html贖金單。

贖金票據的標題為“ Dero同態加密”，并推廣了一種稱為DERO的加密貨幣。這張票據告訴受害者將200個硬幣(價值約100美元)發送到所列地址，以獲取解密器。

勒索單上附有勒索軟件的Tor地址，http://deropayysnkrl5xu7ic5fdprz5ixgdwy6ikxe2g3mh2erikudscrkpqd.com，可用于付款。

特別有趣的是，Tor網站指出，IObit可以發送10萬美元的DERO硬幣來解密所有受害者，因為攻擊者認為這都要歸咎于IObit。

“告知iobit.com向我們發送100000(十萬)枚DERO硬幣到這個地址。

dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavVVSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu” 

DeroHE Tor付款網站指出：“付款到帳后，所有加密的計算機(包括您的計算機)都將被解密。您的計算機受到感染都要歸咎于IOBIT。”

目前正在分析勒索軟件的弱點，尚不清楚是否可以免費解密。

此外，還不清楚威脅者是否會如愿以償，并在付款后提供解密器。

IObit論壇可能已受到威脅

為了創建虛假的推廣頁面并進行惡意下載，攻擊者可能會入侵IObit的論壇并獲得對管理帳戶的訪問權限。

這時，論壇似乎仍然受到威脅，就像您訪問丟失的頁面并返回404錯誤代碼一樣，該網頁將顯示用于訂閱瀏覽器通知的對話框。訂閱后，您的瀏覽器將開始收到桌面通知，宣傳成人網站、惡意軟件和其他有害內容。

此外，如果您單擊頁面上的任意位置，將打開一個新標簽，顯示成人網站的廣告。其他網頁部分似乎也受到了攻擊，因為單擊論壇鏈接會將您重定向到相似的成人頁面。

攻擊者通過在所有未找到的頁面上注入惡意腳本來破壞論壇，如下所示。

BleepingComputer向IObit提出了與這次攻擊有關的問題，但沒有得到回復。

本文翻譯自：

https://www.bleepingcomputer.com/news/security/iobit-forums-hacked-to-spread-ransomware-to-its-members/