研究人员发现Hive勒索软件加密漏洞，可恢复95%以上密钥

研究人员发现了Hive 勒索软件使用的加密算法中的一个漏洞，该漏洞允许他们在不知道加密文件的私钥的情况下解密数据。

自 2021 年 6 月以来，Hive 勒索软件操作一直处于活跃状态，它提供勒索软件即服务 Hive，并采用双重勒索模式威胁要在HiveLeaks 上发布从受害者那里窃取的数据。

2021 年 4 月，联邦调查局 (FBI)发布了关于 Hive 勒索软件攻击的紧急警 ，其中包括与该团伙活动相关的技术细节和危害指标。

根据区块链分析公司 Chainalysis 发布的一份 告，Hive 勒索软件是 2021 年收入排名前 10 位的勒索软件之一。该组织使用了多种攻击方法，包括恶意垃圾邮件活动、易受攻击的 RDP 服务器和泄露的 VPN 凭据。

“Hive 勒索软件使用混合加密方案，但使用自己的对称密码来加密文件。通过分析发现的加密漏洞，我们能够在没有攻击者私钥的情况下恢复生成文件加密密钥的主密钥。作为我们实验的结果，加密文件已根据我们的机制使用恢复的主密钥成功解密。” 来自国民大学（韩国）研究人员发表的论文，“据我们所知，这是第一次成功尝试解密 Hive 勒索软件。我们通过实验证明，使用我们建议的方法可以恢复超过 95% 的用于加密的密钥。”

学术团队设计的技术能够恢复 95% 以上的用于加密过程的密钥，如下图所示：

专家详细介绍了 Hive 勒索软件为受害者文件生成和存储主密钥的过程。勒索软件生成 10MiB 的随机数据，并将其用作主密钥。该恶意软件从要加密的每个文件的主密钥 1MiB 和 1KiB 数据的特定偏移中提取并用作密钥流。偏移量存储在每个文件的加密文件名中。这意味着专家能够确定存储在文件名中的密钥流的偏移量并解密文件。

The experts detailed the process used by Hive ransomware to generate and store master key for victim files. The ransomware generates 10MiB of random data, and uses it as a master key. The malware extracted from a specific offset of the master key 1MiB and 1KiB of data for each file to be encrypted and uses as a keystream. The offset is stored in the encrypted file name of each file. This means that experts were able to determine the offset of the keystream stored in the filename and decrypt the file.

“Hive 勒索软件通过使用每个文件不同的随机密钥流对数据进行异或运算来加密文件。我们发现这个随机密钥流完全可以猜测到。” 道还提到，”Hive 勒索软件会为每个文件生成一个随机出现的数据加密密钥流 (EKS)，并通过 EKS 与文件进行异或来加密文件。但是，EKS 是使用从先前创建的主密钥中提取的两个密钥流创建的，在加密过程中，仅对文件的一部分而不是整个区域进行加密。”

测试结果证明了该方法的有效性，恢复92%的主密钥成功解密了大约72%的文件，恢复96%的主密钥成功解密了大约82%的文件，而恢复了主密钥98% 成功解密了大约 98% 的文件。