Kraken勒索軟件主要針對(duì)Windows、Linux/VMware ESXi系統(tǒng)發(fā)起攻擊，其獨(dú)特行為是會(huì)先對(duì)目標(biāo)設(shè)備進(jìn)行測(cè)試，以此確定在不造成系統(tǒng)過載的前提下，數(shù)據(jù)加密的最快速度。

據(jù)思科Talos團(tuán)隊(duì)的研究人員介紹，Kraken的核心特征是通過創(chuàng)建臨時(shí)文件，在全量數(shù)據(jù)加密和部分?jǐn)?shù)據(jù)加密兩種模式間自主選擇。

該勒索軟件于2025年初出現(xiàn)，是HelloKitty勒索軟件運(yùn)營(yíng)活動(dòng)的延續(xù)，主要以大型企業(yè)為攻擊目標(biāo)，通過數(shù)據(jù)竊取實(shí)施“雙重勒索”。

在該團(tuán)伙的泄密網(wǎng)站上，已列出來自美國(guó)、英國(guó)、加拿大、巴拿馬、科威特和丹麥等國(guó)家的受害者信息。

Kraken網(wǎng)站上的多處表述，以及贖金通知中的相似內(nèi)容，均表明其與已停運(yùn)的HelloKitty勒索軟件存在關(guān)聯(lián)。HelloKitty曾在2021年聲名鵲起，后因源代碼泄露嘗試品牌重塑。

除勒索軟件運(yùn)營(yíng)外，Kraken團(tuán)伙還推出了一個(gè)名為“The Last Haven Board”的新型網(wǎng)絡(luò)犯罪論壇，號(hào)稱可提供安全的通信與信息交換服務(wù)。

Kraken在暗網(wǎng)上的敲詐門戶網(wǎng)站

Kraken攻擊鏈條

根據(jù)思科的觀測(cè)，Kraken勒索軟件的攻擊流程通常如下：

1. 初始滲透：攻擊者首先利用暴露在公網(wǎng)的資產(chǎn)中的SMB漏洞發(fā)起攻擊，獲取初始立足點(diǎn)。

2. 權(quán)限獲取與工具部署：入侵者提取管理員賬號(hào)憑證，通過遠(yuǎn)程桌面協(xié)議（RDP）重新接入目標(biāo)環(huán)境，并部署Cloudflared和SSHFS工具。

3. 隧道搭建與數(shù)據(jù)竊?。篊loudflared用于在受害者主機(jī)與攻擊者基礎(chǔ)設(shè)施間建立反向隧道，SSHFS則通過掛載遠(yuǎn)程文件系統(tǒng)實(shí)現(xiàn)數(shù)據(jù)竊取。

4. 橫向移動(dòng)與攻擊鋪墊：攻擊者借助持續(xù)存在的Cloudflared隧道和RDP權(quán)限，在已入侵網(wǎng)絡(luò)中橫向移動(dòng)至所有可訪問的設(shè)備，竊取有價(jià)值數(shù)據(jù)，為部署勒索軟件二進(jìn)制文件做準(zhǔn)備。

Kraken感染鏈

加密模式動(dòng)態(tài)設(shè)定

研究人員表示，當(dāng)加密指令發(fā)出后，Kraken會(huì)對(duì)每臺(tái)目標(biāo)設(shè)備進(jìn)行性能基準(zhǔn)測(cè)試：

1. 測(cè)試流程：創(chuàng)建含隨機(jī)數(shù)據(jù)的臨時(shí)文件，在計(jì)時(shí)狀態(tài)下對(duì)其進(jìn)行加密運(yùn)算，計(jì)算加密效率后刪除該臨時(shí)文件。

2. 模式選擇：根據(jù)測(cè)試結(jié)果，勒索軟件自動(dòng)決定對(duì)設(shè)備數(shù)據(jù)執(zhí)行全量加密或部分加密。

Kraken感染鏈

3. 設(shè)計(jì)目的：思科Talos指出，這種設(shè)備性能評(píng)估機(jī)制通常與攻擊最后階段同步快速推進(jìn)，既能造成最大破壞，又能避免因資源占用過高觸發(fā)安全警報(bào)。

在啟動(dòng)實(shí)際加密前，Kraken會(huì)刪除系統(tǒng)的卷影副本和回收站文件，并停止運(yùn)行中的備份服務(wù)。

多平臺(tái)加密模塊解析

·Windows版本

思科解釋，Windows版Kraken包含四個(gè)加密模塊：

-SQL數(shù)據(jù)庫(kù)模塊：通過注冊(cè)表項(xiàng)識(shí)別Microsoft SQL Server實(shí)例，定位數(shù)據(jù)庫(kù)文件目錄并驗(yàn)證路徑后，加密SQL數(shù)據(jù)文件。

-網(wǎng)絡(luò)共享模塊：通過WNet API枚舉可訪問的網(wǎng)絡(luò)共享資源，忽略ADMIN$和IPC$共享，加密其他所有可訪問共享中的文件。

-本地驅(qū)動(dòng)器模塊：掃描可用驅(qū)動(dòng)器盤符，針對(duì)可移動(dòng)磁盤、本地固定磁盤和遠(yuǎn)程驅(qū)動(dòng)器，通過獨(dú)立工作線程加密其內(nèi)容。

-Hyper-V模塊：通過內(nèi)置PowerShell命令列出虛擬機(jī)，獲取虛擬磁盤路徑，強(qiáng)制停止運(yùn)行中的虛擬機(jī)，再加密相關(guān)虛擬磁盤文件。

·Linux/ESXi版本

該版本會(huì)先枚舉并強(qiáng)制終止運(yùn)行中的虛擬機(jī)以解鎖磁盤文件，隨后采用與Windows版相同的基準(zhǔn)測(cè)試邏輯，執(zhí)行多線程全量或部分加密。

攻擊善后與贖金要求

加密完成后，系統(tǒng)會(huì)自動(dòng)執(zhí)行生成的“bye_bye.sh”腳本，清除所有日志、Shell歷史記錄、Kraken勒索軟件二進(jìn)制文件，最終刪除腳本本身。

被加密文件會(huì)被添加“.zpsc”擴(kuò)展名，受影響目錄中會(huì)生成贖金通知文件（文件名“readme_you_ws_hacked.txt”）。

Kraken 索賠信

思科透露，在已觀測(cè)到的案例中，該團(tuán)伙曾索要100萬美元比特幣作為贖金。與Kraken勒索軟件攻擊相關(guān)的完整入侵指標(biāo)（IoCs）可在該GitHub代碼庫(kù)中查詢。

參考及來源：https://www.bleepingcomputer.com/news/security/kraken-ransomware-benchmarks-systems-for-optimal-encryption-choice/