【独家】猎影实验室起底Kuiper勒索组织并支持解密

Kuiper勒索组织最早出现于2023年9月，窃取了大量受害者的各种敏感文件数据，包括PDF、文档、表格和图片等文件类型，目前已有国内资产受到该勒索组织攻击的影响。

猎影实验室通过还原其入侵过程，揭示了该组织的技术手段、策略和程序工具。以下是该组织的特征：

图：Kuiper勒索组织窃取的某国财政部金融情报中心资料

此外，猎影实验室发现Kuiper试图仿冒Facebook进行网络钓鱼，可推测使用仿冒钓鱼网站来获取用户访问权限是该组织的感染方式之一。

图：Kuiper试图仿冒Facebook页面

基于现有的信息，我们对Kuiper勒索组织的基本情况进行了梳理，概览如下：

图：Kuiper勒索信样例

对Kuiper勒索攻击过程的剖析和归纳，总体上可以分为五个主要阶段：初步扫描、获取访问权限、控制主机、数据窃取与勒索软件部署。

图：Kuiper勒索组织攻击流程示意图

整个攻击过程涉及到了多种开源安全工具和应用程序的运用，以下是我们整理的各个阶段所使用工具或者采取的方式：

Kuiper勒索组织展现出了卓越的跨平台开发技能，其具备在Windows、Linux和MacOS系统下实施加密的能力，并且设置了避免加密的目录。

在加密方面，Kuiper采用了两种加密方法，首选使用AES加密算法，同时也支持配置使用ChaCha算法。它采用了一种间歇性加密策略，根据文件大小的不同分为一般文件加密和大文件加密两种模式。

在大文件加密模式中，每次加密区块大小的50%。此外，根据块的大小，它进一步划分为普通块加密和快速块加密两种模式。对于普通块加密，每次读取1MB的数据，而在快速块加密中，每次读取2MB的数据。这种灵活的加密模式使得Kuiper可以更有效地应对不同类型和大小的文件，提高了加密的效率和适应性。

普通加密和快速加密的区别，在于普通加密一次读取1MB，快速加密一次读取2MB数据，如果文件扩展名在特殊文件策略当中，则采用快速加密。

加密数据后，使用RSA非对称加密算法，将AES/ChaCha密钥进行加密并写入加密文件。