勒索軟件作為最具破壞性且傳播廣泛的一種惡意軟件，旨在加密目標(biāo)設(shè)備上的文件，阻止目標(biāo)訪(fǎng)問(wèn)，并索要贖金以換取解密密鑰。本月，破壞性勒索事件依舊高發(fā)，攻擊手段層出不窮、贖金規(guī)模也是屢創(chuàng)新高。
本月國(guó)內(nèi)遭受勒索病毒攻擊的地區(qū)分布圖如下所示，江蘇、上海、浙江、廣東最為嚴(yán)重，其它地區(qū)也遭受到不同程度的攻擊。從整體區(qū)域分布上來(lái)看，攻擊者更傾向于經(jīng)濟(jì)發(fā)達(dá)地區(qū)和人口密集地區(qū)。原因可能為經(jīng)濟(jì)發(fā)達(dá)地區(qū)更具有贖金交付能力，而人口密集地區(qū)數(shù)據(jù)被破壞后可能造成更嚴(yán)重的社會(huì)負(fù)面影響。
從行業(yè)劃分來(lái)看，數(shù)據(jù)價(jià)值較高的教育、互聯(lián)網(wǎng)、醫(yī)療、制造業(yè)等行業(yè)延續(xù)了以往的高占比。
下圖是美創(chuàng)第59號(hào)實(shí)驗(yàn)室對(duì)勒索病毒監(jiān)測(cè)后所計(jì)算出的7月份勒索病毒家族流行度占比分布圖，將近50%的勒索軟件攻擊是由三種最常見(jiàn)的勒索軟件變種（Phobos、Mallox、BeijngCrypt）進(jìn)行的。
下圖為勒索病毒傳播的各種方式的占比情況。根據(jù)統(tǒng)計(jì)可以看出，勒索病毒的主要攻擊方式依然以遠(yuǎn)程桌面入侵為主，其次利用網(wǎng)站掛馬和高危漏洞等方式傳播，整體攻擊方式呈現(xiàn)多元化的特征。
Phobos勒索軟件從2019年開(kāi)始在全球流行，并一直保持著很高的活躍度，并常年占據(jù)勒索病毒榜單前三，其不斷推出新變種，并頻繁通過(guò)RDP暴破、釣魚(yú)郵件等方式對(duì)企業(yè)單位及個(gè)人用戶(hù)進(jìn)行攻擊，使受害者遭受數(shù)據(jù)財(cái)產(chǎn)的嚴(yán)重?fù)p失，影響十分惡劣。
Mallox（又被稱(chēng)作Target Company）最早出現(xiàn)于2021年7月中旬，并在2021年12月開(kāi)始進(jìn)入國(guó)內(nèi)。其采用RaaS（勒索軟件即服務(wù)）模式運(yùn)營(yíng)，將企業(yè)作為其攻擊目標(biāo)。Mallox病毒主要針對(duì)企業(yè)的Web應(yīng)用發(fā)起攻擊，包括Spring Boot、Weblogic、通達(dá)OA等，在拿下目標(biāo)設(shè)備權(quán)限后還會(huì)嘗試在內(nèi)網(wǎng)中橫向移動(dòng)，獲取更多設(shè)備的權(quán)限，危害性極大。
BeijngCrypt勒索家族最早出現(xiàn)于2020年7月初，主要通過(guò)暴力破解遠(yuǎn)程桌面口令后手動(dòng)投毒。該病毒早期傳播因修改文件后綴為“.beijing”而被命名為BeijngCrypt，之后出現(xiàn)的變種會(huì)將被加密文件后綴修改為“.520”和“.360”。攻擊者向受害者索要4500美元到5000美元不等的等價(jià)虛擬貨幣作為贖金。
本月，鄭州某企業(yè)遭Makop勒索病毒攻擊。Makop勒索病毒憑借其高級(jí)的加密算法，迅速將企業(yè)服務(wù)器上的數(shù)據(jù)文件都加密上了“.[MyFile@waifu.club].mkp”后綴，導(dǎo)致所有數(shù)據(jù)都無(wú)法打開(kāi)及訪(fǎng)問(wèn)。該企業(yè)在發(fā)現(xiàn)攻擊后，立即采取措施加以遏制。1.Makop勒索病毒以某種方式進(jìn)入計(jì)算機(jī)后，會(huì)更改Windows注冊(cè)表、刪除卷影副本、打開(kāi)/寫(xiě)入/復(fù)制系統(tǒng)文件、生成后臺(tái)運(yùn)行的進(jìn)程、加載各種模塊等。2.企業(yè)需要加強(qiáng)自身的信息安全管理能力——尤其是弱口令、漏洞、文件共享和遠(yuǎn)程桌面的管理，以應(yīng)對(duì)勒索病毒的威脅。位于浙江的某企業(yè)稱(chēng)其遭到Mallox勒索病毒攻擊。該企業(yè)在發(fā)現(xiàn)攻擊后關(guān)閉了其所有IT系統(tǒng)，以防止攻擊蔓延。經(jīng)過(guò)排查，被感染的機(jī)器中的所有文件都被添加了“.malox”后綴，并且已無(wú)法正常打開(kāi)。此外，攻擊者還留下了名為“FILE RECOVERY.txt”的贖金票據(jù)，并威脅受害者，如果不支付贖金，數(shù)據(jù)將永久丟失或銷(xiāo)毀。
在線(xiàn)點(diǎn)評(píng)：
1.Mallox勒索病毒運(yùn)行后迅速加密數(shù)據(jù)庫(kù)文件，導(dǎo)致文件不可用，影響業(yè)務(wù)運(yùn)行，同時(shí)還會(huì)嘗試在內(nèi)網(wǎng)中橫向移動(dòng)，獲取更多設(shè)備的權(quán)限并進(jìn)一步擴(kuò)散。
Mallox 勒索病毒混合應(yīng)用了Chacha20和AES-128算法，可在短時(shí)間內(nèi)加密主機(jī)中的文件。BeijngCrypt勒索病毒家族攻擊江蘇某企業(yè)
位于江蘇的某企業(yè)遭到BeijngCrypt勒索病毒攻擊，在攻擊期間，勒索軟件操控者設(shè)法獲得對(duì)內(nèi)部服務(wù)器的控制權(quán)后下發(fā)勒索病毒文件，勒索病毒運(yùn)行后迅速加密數(shù)據(jù)庫(kù)文件，并在文件名后添加“.halo”后綴，導(dǎo)致文件不可用，影響了部分業(yè)務(wù)的運(yùn)行。
1.“.halo”病毒屬于BeijngCrypt勒索病毒家族的2023年最新變種。
2.勒索病毒通常通過(guò)電子郵件、惡意軟件下載、漏洞利用和惡意廣告等方式傳播。
勒索軟件具有強(qiáng)破壞性。一旦運(yùn)行起來(lái)，用戶(hù)很快就會(huì)發(fā)現(xiàn)其特征，如部分進(jìn)程突然結(jié)束、文件不能打開(kāi)、文件后綴被篡改、屏保壁紙被更換等。當(dāng)我們已經(jīng)確認(rèn)感染勒索病毒后，應(yīng)當(dāng)及時(shí)采取必要的自救措施。之所以要進(jìn)行自救，主要是因?yàn)椋旱却龑?zhuān)業(yè)人員的救助往往需要一定的時(shí)間，采取必要的自救措施，可以減少等待過(guò)程中，損失的進(jìn)一步擴(kuò)大。
（一）隔離中招主機(jī)
當(dāng)確認(rèn)服務(wù)器已經(jīng)被感染勒索病毒后，應(yīng)立即隔離被感染主機(jī)，防止病毒繼續(xù)感染其他服務(wù)器，造成無(wú)法估計(jì)的損失。隔離主要包括物理隔離和訪(fǎng)問(wèn)控制兩種手段，物理隔離主要為斷網(wǎng)或斷電；訪(fǎng)問(wèn)控制主要是指對(duì)訪(fǎng)問(wèn)網(wǎng)絡(luò)資源的權(quán)限進(jìn)行嚴(yán)格的認(rèn)證和控制。物理隔離常用的操作方法是斷網(wǎng)和關(guān)機(jī)。斷網(wǎng)主要操作步驟包括：拔掉網(wǎng)線(xiàn)、禁用網(wǎng)卡，如果是筆記本電腦還需關(guān)閉無(wú)線(xiàn)網(wǎng)絡(luò)。加策略防止其他主機(jī)接入，關(guān)閉感染主機(jī)開(kāi)放端口如 445、135、139、3389 等。修改感染主機(jī)及同局域網(wǎng)下所有主機(jī)密碼，密碼采用大小寫(xiě)字母、數(shù)字、特殊符號(hào)混合的長(zhǎng)密碼。
（二）排查業(yè)務(wù)系統(tǒng)
在已經(jīng)隔離被感染主機(jī)后，應(yīng)對(duì)局域網(wǎng)內(nèi)的其他機(jī)器進(jìn)行排查，檢查核心業(yè)務(wù)系統(tǒng)是否受到影響，生產(chǎn)線(xiàn)是否受到影響，并檢查備份系統(tǒng)是否被加密等，以確定感染的范圍。
（三）聯(lián)系專(zhuān)業(yè)人員
在應(yīng)急自救處置后，建議第一時(shí)間聯(lián)系專(zhuān)業(yè)的技術(shù)人士或安全從業(yè)者，對(duì)事件的感染時(shí)間、傳播方式、感染家族等問(wèn)題進(jìn)行排查。
面對(duì)嚴(yán)峻的勒索病毒威脅態(tài)勢(shì)，美創(chuàng)第59號(hào)實(shí)驗(yàn)室提醒廣大用戶(hù)，勒索病毒以防為主，注意日常防范措施，以盡可能免受勒索病毒感染：
① 及時(shí)給辦公終端和服務(wù)器打補(bǔ)丁，修復(fù)漏洞，包括操作系統(tǒng)以及第三方應(yīng)用的補(bǔ)丁，防止攻擊者通過(guò)漏洞入侵系統(tǒng)。
② 盡量關(guān)閉不必要的端口，如139、445、3389等端口。如果不使用，可直接關(guān)閉高危端口，降低被漏洞攻擊的風(fēng)險(xiǎn)。
③ 不對(duì)外提供服務(wù)的設(shè)備不要暴露于公網(wǎng)之上，對(duì)外提供服務(wù)的系統(tǒng)，應(yīng)保持較低權(quán)限。
④ 企業(yè)用戶(hù)應(yīng)采用高強(qiáng)度且無(wú)規(guī)律的密碼來(lái)登錄辦公系統(tǒng)或服務(wù)器，要求包括數(shù)字、大小寫(xiě)字母、符號(hào)，且長(zhǎng)度至少為8位的密碼，并定期更換口令。
⑤ 數(shù)據(jù)備份保護(hù)，對(duì)關(guān)鍵數(shù)據(jù)和業(yè)務(wù)系統(tǒng)做備份，如離線(xiàn)備份，異地備份，云備份等， 避免因?yàn)閿?shù)據(jù)丟失、被加密等造成業(yè)務(wù)停擺，甚至被迫向攻擊者妥協(xié)。
⑥ 敏感數(shù)據(jù)隔離，對(duì)敏感業(yè)務(wù)及其相關(guān)數(shù)據(jù)做好網(wǎng)絡(luò)隔離。避免雙重勒索病毒在入侵后輕易竊取到敏感數(shù)據(jù)，對(duì)公司業(yè)務(wù)和機(jī)密信息造成重大威脅。
⑦ 盡量關(guān)閉不必要的文件共享。
⑧ 提高安全運(yùn)維人員職業(yè)素養(yǎng)，定期進(jìn)行木馬病毒查殺。
⑨ 部署美創(chuàng)數(shù)據(jù)庫(kù)防火墻，可專(zhuān)門(mén)針對(duì)RushQL數(shù)據(jù)庫(kù)勒索病毒進(jìn)行防護(hù)。
⑩ 安裝諾亞防勒索軟件，防御未知勒索病毒。
為了更好地應(yīng)對(duì)已知或未知勒索病毒的威脅，美創(chuàng)通過(guò)對(duì)大量勒索病毒的分析，基于零信任、守白知黑原則，創(chuàng)造性地研究出針對(duì)勒索病毒的終端產(chǎn)品【諾亞防勒索系統(tǒng)】。諾亞防勒索在不關(guān)心漏洞傳播方式的情況下，可防護(hù)任何已知或未知的勒索病毒。以下為諾亞防勒索針對(duì)勒索病毒的防護(hù)效果。
美創(chuàng)諾亞防勒索可通過(guò)服務(wù)端統(tǒng)一下發(fā)策略并更新。默認(rèn)策略可保護(hù)office文檔【如想保護(hù)數(shù)據(jù)庫(kù)文件可通過(guò)添加策略一鍵保護(hù)】。
無(wú)諾亞防勒索防護(hù)的情況下：
在test目錄下，添加以下文件，若服務(wù)器中了勒索病毒，該文件被加密，增加統(tǒng)一的異常后綴，并且無(wú)法正常打開(kāi)。
開(kāi)啟諾亞防勒索的情況下：
雙擊執(zhí)行病毒文件，當(dāng)勒索病毒嘗試加密被保護(hù)文件，即test目錄下的文件時(shí)，諾亞防勒索提出警告并攔截該行為。
查看系統(tǒng)上被測(cè)試的文件，可被正常打開(kāi)，成功防護(hù)惡意軟件對(duì)被保護(hù)文件的加密行為。
開(kāi)啟堡壘模式的情況下：
為保護(hù)系統(tǒng)全部文件，可一鍵開(kāi)啟諾亞防勒索的堡壘模式。堡壘模式主要針對(duì)亞終端，例如ATM機(jī)，ATM機(jī)的終端基本不太會(huì)更新，那么堡壘模式提供一種機(jī)制：任何開(kāi)啟堡壘模式之后再進(jìn)入終端的可執(zhí)行文件都將被阻止運(yùn)行，從而實(shí)現(xiàn)諾亞防勒索的最強(qiáng)防護(hù)模式。
運(yùn)行在堡壘模式下，執(zhí)行該病毒，立刻被移除到隔離區(qū)，因此可阻止任何已知或未知勒索病毒的執(zhí)行。
浙公網(wǎng)安備 33010502006954號(hào) 
