近期，接到大量Linux系统用户反馈，电脑中的文件被勒索软件加密，被加密后的文件后缀均为.L0CK3D。经分析，这些用户感染的均是隶属于Cerber家族的勒索软件。本轮攻击主要是通过Confluence 数据中心和服务器中的不当授权漏洞进行传播（漏洞编号为CVE-2023-22518）。受该漏洞影响而遭到攻击的平台，覆盖了Linux与Windows等主流服务器操作系统。而需要特别说明的是，360主动防御系统可在默认状态下对“利用该漏洞的攻击”进行拦截，部署360主动防御系统的平台无需担心。
CVE-2023-22518漏洞简述
根据披露，当前Confluence 数据中心和服务器的所有版本，均受此不当授权漏洞影响。该漏洞允许未经身份验证的攻击者重置 Confluence，并创建 Confluence 实例管理员帐户。利用这个新创建的帐户，攻击者可以执行 Confluence 实例管理员可用的所有管理操作，从而导致系统机密性、完整性和可用性的完全丧失。
漏洞的详细信息可参考Confluence 官网：
此漏洞最初于2023年10月31日被公布，而360安全大脑监控到，利用该漏洞所展开的在野攻击，最早出现在2023年11月1日（仅在漏洞被公布的1天后）。
CVE-2023-22518攻击详情
根据360安全大脑捕获的攻击信息显示，攻击者会通过该Confluence漏洞调起cmd进程并创建powershell进程来加载攻击载荷。如下图所示，此步骤的漏洞触发操作便会被360主动防御系统直接拦截。
对上述脚本进行解码后得到的内容如下：
而根据上述代码中的下载信息，可获取到tmp.48脚本，其代码内容如下：
根据代码分析，该脚本被执行后首先会定义一个名为Download_Execute的函数来构造一个.NET WebClient对象，并进行一些基本的参数初始化操作。之后，脚本会检查当前的Confluence服务器是否应使用指定的代理服务器。如果需要，脚本将使用该 Web 客户端下载指定的文件。否则，脚本将使用Internet Explorer组件对象模型 (COM) 来下载脚本。
随后，脚本便会下载Cerber勒索软件的主体功能文件，并将其保存到临时文件夹中，进而命名为svcPrvinit.exe。完成后，附加参数“-b 9”以达到静默执行该进程而不显示窗口的目的。
脚本的最后一行调用前文中定义的Download_Execute函数访问地址：193.176.179.41下载Cerber勒索病毒文件tmp.48.txt。
Cerber勒索软件简述
下面我们以Windows平台样本为例，对此次传播的勒索软件进行简要说明。
样本基本信息
所属家族：Cerber
病毒名称：Win32/Ransom.Generic.HwoCB9cA
文件名：svcPrvinit.exe
MD5：7415347d5ea5f0db29ec95a4a61aba90
勒索修改后缀：L0CK3D
加密算法：
ChaCha20
AES
RC4
勒索信文件：read-me3.txt
勒索方式：多重勒索
勒索网址：
http://j3qxmk6g5sk3zw62i2yhjnwmhm55rfz47fdyfkhaithlpelfjdokdxad.onion/
勒索信内容：
勒索页面：
勒索软件功能
勒索软件落地后，会首先创建互斥体：hsfjuukjzloqu28oajh727190。
而后会收集即时通信软件的各类配置信息，并尝试获取本地FTP与ＶＮＣ客户端软件的登录凭据。之后，软件还会检查当前系统中是否安装了压缩软件，并尝试获取浏览器历史记录与cookie密码，以及检查是否有安装邮件客户端。显然勒索软件打算以此来尽可能挖掘本地的各类通信数据内容。
一切初始化与检查工作完成后，勒索软件便会对本地磁盘和网络共享中的文件进行加密，并同步向各个主要目录中释放勒索信文档。
一切完成后，软件还会删除系统中的磁盘卷影副本，来防止受害用户对被加密的数据进行回复。最终，勒索软件会删除自身来最大化地隐其形迹。
IOCs
MD5
7415347d5ea5f0db29ec95a4a61aba90
IP
193.176.179.41
193.43.72.11
45.145.6.112
193.43.72.11
