Coffee勒索软件持续活跃，安天发布解密工具

1.概述

---

近日，安天CERT（CCTGA勒索软件防范应对工作组成员）监测到针对国内的Coffee勒索软件持续活跃。该勒索软件最早出现于2022年1月，主要通过钓鱼邮件、QQ群文件等方式进行传播。

Coffee勒索软件的攻击者使用中文编写钓鱼邮件、勒索信，并提供在国内购买加密货币支付赎金的详细中文教程，对国内用户具有很强的针对性。该勒索软件使用“白加黑”方式加载恶意模块，并且采用“DDR”(Dead Drop Resolvers)技术，利用合法Web服务下载后续恶意功能载荷，规避安全产品检测。该勒索软件还会对桌面快捷方式进行劫持，并利用受害者的QQ聊天工具进一步传播。

安天智甲终端防御系统（简称IEP）可实现对该勒索软件的有效查杀和对用户终端的切实防护，安天现已发布该勒索软件解密工具。

Coffee勒索软件解密工具下载链接：https://www.antiy.com/tools.html

特别致谢：
       哈尔滨工业大学网络安全应急小组
       CCTGA勒索软件防范应对工作组

2.事件对应的ATT&CK映射图谱

---

该起攻击行动样本技术特点分布图如下：

图2-1 事件对应的ATT&CK映射图谱

本次事件中，攻击者使用的技术点如下表所示：

表2-1 事件对应ATT&CK技术行为描述表

3.攻击流程

---

攻击者投放压缩包格式的钓鱼邮件附件或QQ群文件，诱导受害者解压并执行压缩包中的快捷方式。快捷方式目标使用Unicode编码，隐藏实际指向的恶意程序csrts.exe。恶意程序运行后，会利用“白加黑”方式，使用白文件csrts.exe加载恶意模块Myou.dll，然后从托管平台等途径下载后续恶意功能载荷并加载，执行文件加密、快捷方式劫持、利用受害者QQ传播等恶意行为。

图3-1 攻击流程图

4.防护建议

---

针对该勒索软件，安天建议采取如下防护措施：

4.1 企业防护

（1） 安装终端防护：安装反病毒软件。建议安天智甲用户开启勒索病毒防御工具模块（默认开启）；

（2） 接收QQ群文件要确认发送来源是否可靠。建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行；

（3） 部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

（4） 灾备预案：建立安全灾备预案，确保备份业务系统可以快速启用；

（5） 安天服务：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；安天7*24小时服务热线：400-840-9234。

4.2 邮件传播防护

（1） 接收邮件时要确认发送来源是否可靠，避免打开可疑邮件中的附件；

（2） 建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行。安天追影威胁分析系统（PTA）采用深度静态分析与沙箱动态加载执行的组合机理，可有效检出分析鉴定各类已知与未知威胁。

安天智甲终端防御系统（简称IEP）可实现对该勒索软件的有效查杀和对用户终端的切实防护。

图4-1 安天智甲有效防护

图4-2 安天智甲阻止加密行为

5.勒索软件概览

---

表5-1 勒索软件概览

6.样本分析

---

6.1 样本标签

表6-1 样本标签

6.2 采用“DDR”(Dead Drop Resolvers)技术下载恶意功能载荷

压缩包中使用快捷方式作为诱饵，快捷方式中使用Unicode编码，隐藏实际指向的目标文件路径csrts.exe。双击该快捷方式后，会调用该程序运行。

图6-1 执行恶意程序的快捷方式

利用“白加黑”方式，使用带有数字签名的白文件csrts.exe加载恶意模块Myou.dll。

图6-2 csrts.exe的数字签名

将自身及Myou.dll复制到%Appdata%目录下并执行。

图6-3 复制自身到%Appdata%目录

采用“DDR”(Dead Drop Resolvers)技术，从Gitee（架设在国内的基于Git的代码托管平台）、IPFS（去中心化的文件存储系统）等途径下载RTLib.dll并加载，该文件为后续的恶意功能载荷。

图6-4 下载并加载模块

图6-5 攻击者在Gitee平台存放的恶意载荷

样本会访问https://visitor-badge.laobi.icu/badge?page_id=dayXXX.nobody.com，用于统计受害者数量。根据网站数据显示，2022年2月18日感染数量激增。

6.3 使用RC4算法进行数据加密

若%Appdata%目录下，存在“*-RSA.txt”文件，则读取文件内容初始字符串，否则生成随机的小写GUID字符串保存至“<生成另一个大写GUID>-RSA.txt”，并依此生成8个字符长度的加密密钥。其中，密钥前四个字符会参与组成加密后文件的文件名。

图6-7 生成加密密钥

若满足如下条件之一，样本会执行文件加密操作：

① 存在某安全软件进程；

② 收到攻击者的加密指令；

③ 当前时间距离%Appdata%\*-RSA.txt文件创建时间大于等于4天。

图6-8 文件加密前提条件

使用RC4对称加密算法对文件进行加密，样本只加密文件前2,097,152字节（2MB）的数据，加密后的文件末尾会添加0x24、0x21两个字节的标志位。

图6-9 加密文件

加密功能只针对指定后缀名的文件，如下表所示。

表6-2 加密文件后缀名

加密后的文件名格式为：原文件名.coffee.密钥前四个字符.原文件后缀名。例如，“发言稿.docx”某次被加密后的文件名为“发言稿.coffee.UV2v.docx”。

图6-10 生成加密后的文件名

从XML字符串中获取RSA公钥，加密RC4密钥作为勒索信中的解密密码。

图6-11 RSA公钥

在被加密文件的路径下生成名为“请阅读我.RSA.txt”的勒索信，勒索信内容包括操作指南、解密所需的解密密码等内容。

图6-12 勒索信

Coffee勒索软件向受害者索要价值500 USDT（泰达币，一种将加密货币与法定货币美元挂钩的虚拟货币）的ZEC币，并提供了详细的中文支付指南，指导受害者如何进行安装数字钱包、购买虚拟货币、支付赎金等操作。

图6-13 勒索信中提供的操作指南

6.4 通过劫持桌面快捷方式实现持久化

样本将自身复制到桌面正常快捷方式指向的程序目录下，文件名为正常程序名后接不可见字符“\u200e”，并修改正常快捷方式指向该文件。用户从桌面快捷方式执行程序时，实际执行的为恶意程序。（分析过程中该功能未启用）

图6-14 修改快捷方式

劫持快捷方式的程序列表如下。

表6-3 感染程序列表

6.5 通过发送QQ文件及消息扩大传播范围

样本会尝试将QQ窗口置于前台，模拟QQ文件及消息发送操作，利用受害者系统中的QQ软件进一步传播。

图6-15 模拟发送QQ消息

发送的QQ文件、消息如下。

图6-16 发送的QQ文件、消息

7.IoCs

---

MD5：

AA877144EDCEF2E8D5A8D37D7EA0D4B6(csrts.exe)

313BC92DCE801C2EC316C57EA74DD92A(Myou.dll)

D88075B52E78EF0A1CA1C4258031D5A9(r.jpg)

ZEC收款地址：

zs1rwqlxjhjaya307y2ejydheq09cvhj2p4ssgnwcv2apqvryh5e48jt29sr9uy3s3tek3s2e4u6l4

URL：

https://gitee.com/temphi/chinese_chess/

https://gitee.com/tangren0526x/zarm/

https://gitee.com/youke0429/leadshop/

https://gitee.com/wul6688/shopsn/

https://gitee.com/zhaol5242/wxGameRank/

https://gitee.com/zhangl5642/aistudio.-wpf.-diagram/

http://ipfs.cf-ipfs.com/ipns/none.sbs/*

https://ipfs.fleek.co/ipns/none.sbs/*

http://cf-ipfs.com/ipns/none.sbs/*

https://none.sbs.ipns.ipfs.overpi.com/*

http://dweb.link/ipns/none.sbs/*

https://gateway.pinata.cloud/ipns/none.sbs/*

附录：关于中国互联网网络安全威胁治理联盟勒索软件防范应对专业工作组

---

国家互联网应急中心（CNCERT/CC）联合国内头部安全企业成立“中国互联网网络安全威胁治理联盟勒索软件防范应对专业工作组”（简称“CCTGA勒索软件防范应对工作组”），从勒索软件信息通报、情报共享、日常防范、应急响应等方面开展勒索软件防范应对工作，并定期发布勒索软件动态至官方网站（https://www.cert.org.cn/publish/main/44/index.html）或微信公众号（国家互联网应急中心CNCERT）