Kann勒索软件分析报告

Kann勒索软件分析报告总结

勒索软件流行态势概述

• 勒索软件自2015年以来持续高发，2024年整体传播趋势平稳，未出现单一勒索家族大规模爆发。
• 全球安全厂商和用户防范意识提升，但国内形势依然严峻，Web漏洞被广泛利用，政企单位受攻击风险增加。
• 2024年国内多个金融、能源领域企业及跨国企业遭遇勒索攻击，360反勒索服务处理2151例求助，发现77个新勒索家族。

Kann勒索软件再度活跃

• Kann勒索软件采用混合加密策略（RC4 + AES-CBC-256 + RSA-4096），文件扩展名“.kann”。
• 勒索软件存在密钥管理缺陷，可通过GPU或CPU算力进行密钥暴力破解实现解密。

Kann勒�索样本分析

• 密钥与加密：生成42位随机密钥（KEY16+26），实际使用AES密钥16位、RC4密钥8位。
• 加密流程：RC4加密文件内容，再用AES-CBC-256加密前2000字节，RSA加密密钥及机器名。
• 文件处理：小文件（<2MB）跳过，中等文件一次性加密，大文件分块处理（100MB）。
• 环境检测：排除特定进程、目录和文件扩展名（如“.Lock”、“.DEVOS”）。
• 收尾工作：删除卷影副本，禁用启动恢复功能，调用cipher工具擦除已删除文件数据。

数据解密

• Kann勒索软件密钥生成存在缺陷，可利用GPU（如GeForce GTX1660Ti）或CPU（如Intel i9）进行暴力破解。
• 360解密大师支持解密“.kann”和“.xmrdata”文件，已成功帮助用户解密数据。

安全防范建议

1. 定期备份数据，存放在隔离设备或云端。
2. 及时更新系统与软件补丁。
3. 提高安全意识，警惕可疑邮件和链接。
4. 建立应急响应机制，及时隔离受感染设备。
5. 安装可靠的安全软件，定期查杀和监控。

勒索软件应急处置清单

• 检查中招情况（设备、文件特征）。
• 控制勒索蔓延（网络隔离、端口控制、物理隔离、密码策略）。
• 排查关键节点（感染时间、样本收集、日志分析、账户检查）。

IOCs与HASH

• HASH：EF8ABC56F5A741A441AD53CC596171777A90DC7DF8BA4B3D65D2FBFB6639F8FDE
• EMAIL：kanndata#tutanota.com, kanndata#cock.li

参考文献

• 解密算法优化参考了NVIDIA GPU加密文献及学术论文。