標題：新的Rorschach勒索軟件是迄今速度最快的解密器

一家總部位於美國的公司遭到網絡攻擊之後，惡意軟件研究人員發現了一種似乎具有“獨特技術功能”的新型勒索軟件，他們將其命名為Rorschach。

研究人員觀察到的功能之一是加密速度：據研究人員的測試結果顯示，Rorschach憑此速度成為如今最快速的勒索軟件威脅。

分析師們發現，黑客在利用一款威脅檢測和事件響應工具存在的弱點之後，在受害者網絡上部署了惡意軟件。

Rorschach的細節網絡安全公司Check Point的研究人員在應對美國一家公司的安全事件時發現，Rorschach是通過Cortex XDR中的簽名組件使用DLL側加載技術部署的，Cortex XDR是知名網絡安全公司Palo Alto Networks 的一款擴展檢測和響應產品。

攻擊者使用Cortex XDR轉儲服務工具（cy.exe）版本7.3.0.16740來側加載Rorschach加載器和注入器（winutils.dll），這導致將勒索軟件的攻擊載荷“config.ini”投放到記事本（Notepad）進程中。

加載器文件具有類似UPX的反分析保護機制，而主攻擊載荷通過使用VMProtect軟件對部分代碼進行虛擬化處理來防止逆向工程和檢測。

Check Point聲稱，Rorschach在Windows域控制器上執行時會創建一個組策略，以傳播到域中的其他主機。

在攻陷機器之後，惡意軟件會刪除四個事件日誌（應用程序日誌、安全日誌、系統日誌和Windows Powershell日誌），以清除其痕跡。

圖1. 攻擊鏈（圖片來源：Check Point）

雖然帶有硬編碼配置，但Rorschach支持可以擴展功能的命令行參數。

Check Point特別指出，這些選項是隱藏的，如果不對惡意軟件進行逆向工程分析，就無法訪問。以下是研究人員發現的一些參數：

圖2. Check Point 破解的參數

Rorschach的加密過程只有當受害者的機器用獨聯體（CIS）之外的語言加以配置時，Rorschach才會開始加密數據。

加密方案結合了curve25519算法和eSTREAM cipher hc-128算法，遵循間歇加密趨勢，這意味著它只對文件進行部分加密，從而提高了處理速度。

圖3. Rorschach的加密方案（圖片來源：Check Point）

研究人員特別指出，Rorschach 的加密例程表明“通過I/O完成端口高效地實現線程調度”。

Check Point表示：“此外，為了加快速度，似乎格外重視編譯器優化，大部分代碼進行了內聯處理。所有這些因素使我們認為，我們面對的可能是外面速度最快的勒索軟件之一。”

為了了解Rorschach的加密速度有多快，Check Point在一台六核CPU機器上搭建了含有220000個文件的測試環境。

Rorschach花了4.5分鐘來加密數據，而被認為最快的勒索軟件家族的LockBit v3.0卻用了7 分鐘才完成加密。

在鎖定係統之後，惡意軟件投放一封勒索函，其格式類似Yanlowang勒索軟件所用的勒索函。

據研究人員聲稱，這個惡意軟件的以前版本使用了類似DarkSide的勒索函。

Check Point表示，這種相似性可能導致其他研究人員將不同版本的Rorschach誤認為是DarkSide，後者於2021年更名為BlackMatter，並於同年銷聲匿跡。

圖4. Rorschach投放的最新勒索函（圖片來源：Check Point）

BlackMatter的成員後來策劃了ALPHV/BlackCat勒索軟件行動，該行動於2021年11月啟動。

Check Point評估後認為，Rorschach從一些在線洩露的主要勒索軟件家族（Babuk、LockBit v2.0和DarkSide）借鑒了更好的功能。

除了自我傳播能力外，該惡意軟件還“提高了勒索攻擊的門檻”。

目前，Rorschach勒索軟件的運營商仍然不得而知，也沒有什麼品牌，這種情況在勒索軟件領域很少見。