imtoken钱包最新版下载安装|勒索病毒案例
六年间全球十大勒索攻击事件盘点:没有底线全是算计_腾讯新闻
六年间全球十大勒索攻击事件盘点:没有底线全是算计_腾讯新闻
六年间全球十大勒索攻击事件盘点:没有底线全是算计
自2017年WannaCry席卷全球以来,勒索软件攻击不断演变,并逐渐形成产业化,其攻击规模、影响及破坏效果进一步扩大,已经对全球制造、金融、能源、医疗、政府组织等关键领域造成严重影响,在某些事件中,攻击者挟持关键基础设施进而索要高额赎金,甚至可能影响国家的正常运作能力。
根据《2022年年中网络威胁报告》显示,仅2022年1-6月全球就记录了2.361亿次勒索软件攻击,还有报告称,80%的网络安全领导者认为勒索软件是对公共安全的重大威胁,并预测勒索软件损害将从2015年的3.25亿美元增长至2031年的2650亿美元。
种种迹象都指向一个事实:勒索软件攻击愈演愈烈,无论是个人、企业还是组织都随时可能沦为下一个受害者。同时,随着企业数字化转型的推进,供应链安全风险日益严峻,勒索攻击手法持续进化,多重勒索成为常态,勒索攻击对产业安全威胁有增无减。
为更好了解勒索软件攻击的技术演进与发展态势,深入洞察网络犯罪分子的动机和策略,本文将盘点近六年来全球范围内十大勒索软件攻击事件,以期为企业建立事前防护、事中持续监测、事后快速响应及安全加固的全流程勒索软件防护体系提供价值参考。
01 WannaCry席卷全球——勒索病毒首次引发全球关注
2017年5月,WannaCry勒索软件攻击席卷全球,至少150个国家和地区、30万名用户、超过10万台电脑遭到了勒索病毒攻击、感染,造成损失超过80亿美元,影响金融、能源、医疗等众多行业。
中国部分Windows操作系统用户遭受感染,校园网用户首当其冲,大量实验室数据和毕业设计被锁定加密;部分大型企业的应用系统和数据库文件被加密后无法正常工作,影响巨大。至此,勒索软件攻击正式走入大众视野并引发全球关注。
02 NotPetya剑指基础设施 ——史上破坏力最强的勒索攻击之一
2017年6月,NotPetya被用于发动了一次针对乌克兰基础设施的大爆破,仅基辅就有4家医院、6家电力公司、2个机场、超过22家乌克兰银行受到打击,零售商和交通运输业的ATM和卡支付系统,以及几乎每一家联邦机构均受波及。
源自对本地会计软件包MeDoc的更新,这场恶意攻击的辐射范围是全世界。攻击者利用EternalBlue和Mimikatz漏洞搭配出了一个致命组合,迅速席卷欧美,俄罗斯、波兰、法国、意大利、英国、德国和美国等60多个国家和地区的港口、工厂和办公室等设施。据美国白宫统计,NotPetya给全球经济造成了超过100亿美元的损失,成为历史上最广泛、最具破坏性的国际网络攻击事件之一。
03 Bad Rabbit伪装突袭 ——首次敲响数据安全防护警钟
2017年10月,新型勒索病毒Bad Rabbit突袭东欧,俄罗斯、乌克兰、保加利亚、土耳其、日本和其它多国的组织机构受到影响,为企业数据安全防护敲响了警钟。Bad Rabbit通过伪装成Adobe Flash Player安装程序诱骗用户下载运行,感染后会使用弱口令攻击局域网中的其它机器。据统计,全球共有超过200家机构和企业受到了攻击,包括基辅地铁、敖德萨机场、国际文传电讯社在内的一些乌克兰、俄罗斯公司及基础设施受灾严重。
04 GandGrab围猎大型企业 ——最为活跃的勒索病毒之一
2018年1月,GandGrab勒索家族首次出现,通过暗网的RaaS模式向病毒传播者分发勒索病毒,主要通过邮件进行传播,采用RSA+ASE加密的方式进行加密,文件无法还原。GandCrab是首个使用达世币(DASH)作为赎金的勒索病毒,也是2018年也是最为活跃的病毒之一。其传播方式之多,包括弱口令爆破、钓鱼邮件攻击、网页挂马攻击、水坑攻击等;更新速度之快,在1年时间内更新了5个大版本,数个小版本;波及范围之广,影响了罗纳尼亚、巴西、印度等数十国家地区,全球累计超过150万用户受到感染;积累黑产利润之高,面世以来竟积累了高达20亿美金。
05 SamSam昂贵一击 ——创下最高恢复成本
2018年3月,一款名为SamSam的勒索软件导致亚特兰大市多个城市在线服务中断,众多内部应用软件和面向客户的应用软件因服务器宕机而无法正常使用,包括客户用于支付账单或访问法院相关信息的一些应用软件,造成损失达数百万美元。此外,有报道称,亚特兰大勒索软件的恢复成本高达1700万美元,是2018年美国所有地方政府遭受的最为昂贵的攻击之一。
06 Demant受重创 ——创下最高网络保险赔偿的攻击事件之一
2019年9月,全球最大的助听器制造商之一Demant遭受勒索软件攻击。尽管该公司已经通过关闭多个站点和业务部门中的IT系统来限制事件的进一步发酵,但整个价值链的关键业务流程仍然受到事件的影响,包括研发,生产和分销。这些中断的累积影响将对该公司2019全年造成将近上亿美元的损失,该金额本来会更高,但该公司预计会收到1460万美元的网络保险赔偿。这是NotPetya勒索软件爆发之后造成最重大损失的网络安全事件之一。
07 DoppelPaymer双重勒索攻击 ——影响最广泛的多重勒索手段
2020年3月,特斯拉、波音、洛克希德·马丁公司和SpaceX等行业巨头的零件供应商Visser Precision遭受勒索软件DoppelPaymer攻击。该公司的军事装备数据、账单及付款数据、供应商信息及相关保密协议以及一些法律文书等内容被窃取并被加密,随后被索要赎金,但Visser Precision并未选择进行支付,最终导致这其中内容被公开。显然,MegaCortex运营者先窃取数据再索要赎金的双重勒索策略,给了DoppelPaymer运营者极大的启发。
08 Darkside痛击全球产业链 ——美国关基遭受的最重网络攻击之一
2021年5月,美国最大油气管道运营商Colonial Pipeline公司遭到了Darkside勒索软件攻击,对全球产业链产生巨大连锁影响。攻击者窃取了重要数据文件,并劫持了其燃油管道运输管理系统,直接导致美国东部沿海各州的关键供油管道被迫关闭,给美国东海岸17个州造成了极大的燃油供应压力。这是美国关键基础设施迄今遭遇的最严重网络攻击。
09 Conti无差别攻击 ——首次让一国政府宣布进入紧急状态
2022年,哥斯达黎加国家财政部数TB数据和800多台服务器受到影响,数字税务服务和海关控制IT系统瘫痪,不仅影响了政府服务,还影响了从事进出口的私营部门。此外,另一波与HIVE相关的攻击直接影响了该国普通民众,使该国医疗保健系统被非正常下线。这一系列针对哥斯达黎加政府的攻击,清楚地展示了勒索软件攻击可能对政府组织造成的严重破坏性后果,这或将开启一个新的勒索软件时代。
10 HardBit离间计 ——迄今最诡异的勒索方式
2023年2月,HardBit家族勒索软件2.0版运营者将其勒索思路从直接勒索受害者转换为从受害者的保险公司获得勒索赎金,要求受害者提供保单详情以指定最佳勒索金额,让自身的经济利益最大化,以便让保险公司来承担所有赎金费用。
勒索软件攻击无处不在,它们是加密绑匪、是数据盗贼、是狡诈骗徒,时刻算计你的钱和数据。近六年来,从个人到企业乃至政府的目标外延变化,从赎金换密钥到双重勒索再到向保险公司勒索的策略演变,勒索软件攻击一路“狂飙”。同时,有报告表明,勒索病毒威胁还在继续上升,“勒索病毒”+“供应链漏洞”的结合等新型攻击方式已然出现。
在不断的进化中,勒索软件攻击已成为无法单防的数据疾病,需要众多勒索软件防护技术合纵联合应用,共同提升企业勒索防护能力。这也启示着各行各业的安全从业者,要不断修炼技术与能力,找到合适的应对方案,以实现高效率、高质量、高水平的安全防控,即安全厂商需要推动更有效的勒索病毒防治相关产品的研发;企业则需要从源头把安全纵深防御的基线筑牢、构筑内生免疫能力,并通过勒索病毒防治方案“加强针”实现对勒索攻击的免疫。
面对严峻复杂的勒索攻击态势,腾讯安全凭借多年在零信任安全领域积累的实践经验和技术优势,沉淀出了一套解决方案。
零信任技术能够将业务资源从互联网暴露面上进行隐藏,从而降低恶意软件的渗透风险。腾讯零信任iOA独家结合传统终端安全在勒索病毒防护上的经验积累,融入到零信任安全体系中,从事前、事中、事后三个环节实现降低入侵几率、防御攻击入口、阻断加密行为、备份重要文档的可控、可防、可监测、可还原的勒索病毒防护目标。
WAAP可针对漏洞攻击进行有效防护,变“被动”为“主动”地降低勒索软件攻击风险。腾讯安全WAF可提供BOT防护能力,具备针对各种自动化工具的主动防御能力,可有效防护各种漏洞扫描和零日漏洞探测,防止攻击者利用应用漏洞发起勒索攻击。此外,对于勒索攻击最常采用的邮件钓鱼,腾讯安全NDR可通过流量侧感知到勒索攻击各个阶段的流量信息,将攻击流程拆分、分析,全面掌握内网勒索病毒的影响范围。目前腾讯安全NDR已支持超过1000种勒索病毒和500多类勒索病毒赎金文件的检测,覆盖所有流行勒索病毒家族,并提供一键阻断风险资产连接攻击者C&C服务器。
勒索软件攻击本质上是复杂的网络安全问题,与勒索软件攻击的对抗是一项长期且持续的工作,腾讯安全将继续依托二十余年安全实践积淀,帮助企业建设涵盖企业发展全生命周期、企业运行全流程以及产业链各环节的安全“穹顶”,构建纵深的全流程防护体系,合理高效地防范勒索软件攻击。
盘点勒索病毒造成大事件 - 知乎
盘点勒索病毒造成大事件 - 知乎切换模式写文章登录/注册盘点勒索病毒造成大事件张晋IDC机房 主机托管 核心带宽 专线 云灾备勒索病毒是什么?勒索病毒,是一种新型电脑病毒,主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大,一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密,被感染者一般无法解密,必须拿到解密的私钥才有可能破解。我们来盘点部分2019年全球勒索病毒事件。3月,在挪威,全球最大铝制品生产商之一 Norsk Hydro遭遇勒索软件LockerGoga攻击,全球整个网络都宕机,影响所有的生产系统以及办事处运营,公司被迫关闭多条自动化生产线,震荡全球铝制品交易市场。5月,中国某网约车平台遭勒索软件定向打击,服务器核心数据惨遭加密,攻击者索要巨额比特币赎金,无奈之下向公安机关报警求助。5月,美国佛罗里达州里维埃拉,遭到勒索软件攻击,各项市政工作停摆几周,市政紧急会议决定支付60万美元的赎金。6月,全球最大飞机零件供应商ASCO,在比利时的工厂遭遇勒索病毒攻击,生产环境系统瘫痪,大约1000名工人停工,在德国、加拿大和美国的工厂也被迫停工。10月,全球最大的助听器制造商Demant,遭勒索软件入侵,直接经济损失高达9500万美元。10月,全球知名航运和电子商务巨头Pitney Bowes遭受勒索软件攻击,攻击者加密公司系统数据,破坏其在线服务系统,超九成财富全球500强合作企业受波及。10月,法国最大商业电视台M6 Group惨遭勒索软件洗劫,公司电话、电子邮件、办公及管理工具全部中断,集体被迫“罢工”。勒索病毒发展史勒索病毒的发展大致可以分为三个阶段1.萌芽期1989年,AIDS trojan是世界上第一个被载入史册的勒索病毒,从而开启了勒索病毒的时代。早期的勒索病毒主要通过钓鱼邮件,挂马,社交网络方式传播,使用转账等方式支付赎金,其攻击范畴和持续攻击能力相对有限,相对容易追查。2.成型期2013下半年开始,是现代勒索病毒正式成型的时期。勒索病毒使用AES和RSA对特定文件类型进行加密,使破解几乎不可能。同时要求用户使用虚拟货币支付,以防其交易过程被跟踪。这个时期典型的勒索病毒有CryptoLocker,CTBLocker等。直至WannaCry勒索蠕虫大规模爆发,此类恶意程序大多散在发生,大多数情况下,这些恶意软件本身并不具有主动扩散的能力。3.产业化自2016年开始,然而随着漏洞利用工具包的流行,尤其是 “The Shadow Brokers” (影子经纪人)公布方程式黑客组织的工具后,其中的漏洞攻击工具被黑客广泛应用。勒索病毒也借此广泛传播。典型的例子,就是WannaCry勒索蠕虫病毒的大发作,两年前的这起遍布全球的病毒大破坏,是破坏性病毒和蠕虫传播的联合行动,其目的不在于勒索钱财,而是制造影响全球的大规模破坏行动。在此阶段,勒索病毒已呈现产业化、家族化持续运营。在整个链条中,各环节分工明确,完整的一次勒索攻击流程可能涉及勒索病毒作者,勒索实施者,传播渠道商,代理。4.多样化自2018年开始,常规的勒索木马技术日益成熟。已将攻击目标从最初的大面积撒网无差别攻击,转向精准攻击高价值目标。比如直接攻击医疗行业,企事业单位、政府机关服务器,包括制造业在内的传统企业面临着日益严峻的安全形势。越来越多基于脚本语言开发出的勒索病毒开始涌现,甚至开始出现使用中文编程“易语言”开发的勒索病毒。例如使用Python系列的“Py-Locker”勒索病毒,易语言供应链传播闹的沸沸扬扬的“unname1889”勒索病毒,门槛低意味着将有更多的黑产人群进入勒索产业这个领域,也意味着该病毒将持续发展泛滥。同时,腾讯御见威胁情报中心在2018年陆续接收到多起该类型勒索用户反馈。勒索者通过大量群发诈骗邮件,当命中收件人隐私信息后,利用收件人的恐慌心理实施敲诈勒索。勒索过程中,受害者由于担心自己隐私信息遭受进一步的泄漏,极容易陷入勒索者的圈套,从而受骗缴纳赎金。而实际上,受害者既没有真的发生信息泄露,也没有遭遇病毒攻击,受害者只是被吓坏了。勒索病毒感染数据1.2018年至今勒索病毒活跃趋势2.勒索病毒19年一季度行业分布情况四、活跃勒索病毒家族伴随着数字货币过去两年的高速发展,在巨大的利益诱惑,以GandCrab,GlobeImposter,Crysis等为代表的勒索家族依然高度活跃,以下为2019年Q1季度最具代表性的10个勒索病毒家族排行榜。下面为活跃家族的信息情况:1.GandCrabGandCrab最早出现于2018年1月,是首个使用达世币(DASH)作为赎金的勒索病毒,也是2019年Q1季度最为活跃的病毒之一。GandCrab传播方式多种多样,主要有弱口令爆破,恶意邮件,网页挂马传播,移动存储设备传播,软件供应链感染传播。该病毒更新速度极快,在1年时间内经历了5个大版本,数各小版本更新,目前最新版本为5.2(截止2019年3底),该版本也是国内当前最为最活跃版本。2.GlobleImposter2017年5月,勒索病毒Globelmposter首次在国内出现;2018年2月全国各大医院受Globelmposter2.0勒索病毒攻击,导致医院系统被加密,严重影响了医院的正常业务;2018.12月Globelmposter勒索病毒再次爆发且已经更新到4.0变种。Globelmposter从1.0到4.0的攻击手法都极其丰富,通过垃圾邮件、社交工程、渗透扫描、RDP爆破、恶意程序捆绑等方式进行传播,其加密的后缀名也不断变化。由于Globelmposter采用RSA+AES算法加密,目前该勒索样本加密的文件暂无解密工具。3.Crysis2017年5月,勒索病毒Globelmposter首次在国内出现;2018年2月全国各大医院受Globelmposter2.0勒索病毒攻击,导致医院系统被加密,严重影响了医院的正常业务;2018.12月Globelmposter勒索病毒再次爆发且已经更新到4.0变种。Globelmposter从1.0到4.0的攻击手法都极其丰富,通过垃圾邮件、社交工程、渗透扫描、RDP爆破、恶意程序捆绑等方式进行传播,其加密的后缀名也不断变化。由于Globelmposter采用RSA+AES算法加密,目前该勒索样本加密的文件暂无解密工具。4.ParadiseParadise(天堂)勒索病毒最早出现在2018年七月份左右,该勒索病毒运行后将会加密所有找到的文件,但不会加密系统以及部分浏览器文件夹下的文件。在加密完成文件后,还会添加一个超长后缀(_V.0.0.0.1{yourencrypter@protonmail.ch}.dp)至原文件名末尾,并且在每个包含加密文件的文件夹中都会生成一份“勒索声明”,声明中附上了自己的邮箱,还有一个自动生成的用户ID,以此来作为用户要求解密的凭证。5.Stop该家族病毒不仅加密文件,还会静默安装修改后的TeamViwer进而导致中毒电脑被攻击者远程控制,同时修改Host文件,阻止受害者访问安全厂商的网站,禁用Windows Defender开机启动,实时监测功能,令电脑失去保护。为防止加密文件造成的CPU占用卡顿,还会释放专门的模块伪装Windows补丁更新状态。6.Satan撒旦(Satan)勒索病毒在2017年初被外媒曝光,该病毒由于文件加密算法和密钥生成算法的缺陷,导致多个病毒版本被破解,加密文件可解密。但撒旦(Satan)勒索病毒并没有停止攻击的脚步,反而不断进行升级优化,跟安全软件做持久性的对抗。该病毒利用JBoss、Tomcat、Weblogic,Apache Struts2等多个组件漏洞以及永恒之蓝漏洞进行攻击感染传播。7.WannaCryWannaCry于2017年5月12日在全球范围大爆发,引爆了互联网行业的“生化危机”。借助“永恒之蓝”高危漏洞传播的WannaCry在短时间内影响近150个国家,致使多个国家政府、教育、医院、能源、通信、交通、制造等诸多关键信息基础设施遭受前所未有的破坏,勒索病毒也由此事件受到空前的关注,由于当前网络中仍有部分机器未修复漏洞,所以该病毒仍然有较强活力(大部分加密功能失效)。8.ScarabScarab恶意软件最早发现于2017年6月份,从那时开始,便有大量新的Scarab变种不断被发现。其中,影响范围最广的一个版本是使用Visual C编译并由Necurs僵尸网络传播的。跟大多数勒索病毒一样,Scarabey在感染并加密了目标系统的文件之后,会要求用户支付比特币。之前版本的Scarab是通过Necurs恶意邮件来传播的,但Scarabey主要通过RDP+人工感染的方式来实现传播,并且针对的是俄罗斯用户。9.Cerber2019(xorist)Xorist系列勒索病毒最早可追溯到2012年,Cerber2019是该家族2019年发现的在国内首个感染变种,该勒索病毒疑似通过生成器自定义生成。与其他勒索病毒不同的是,该病毒除加密常见文件类型外,还会把其他勒索病毒(如:WannaCry, Crysis)加密过的文件再次加密。勒索文档要求受害者24小时内支付1比特币解密,超过36小时则销毁文件加密密钥国。经腾讯安全专家分析发现,CerBer2019勒索病毒加密的文件可以解密成功。10.FilesLockerFilesLocker勒索病毒在2018年10月出现,并在网上大量招募传播代理。在经过一系列迭代升级到2.1版本后,该病毒通过换皮方式进一步传播Gorgon变种。最新Gorgon变种加密文件完成后会添加.[buy-decryptor@pm.me]扩展后缀。该病毒由于加密完成后使用弹窗告知受害者勒索信息,所以病毒进程未退出情况下有极大概率可通过内存查找到文件加密密钥进而解密。五、主要攻击特征1.针对企业用户定向攻击勒索病毒在2016年爆发时,主要通过钓鱼邮件、挂马等攻击方式撒网式传播,导致普通用户深受其害。但随后黑客发现普通用户的数据价值相对更低,并不会缴纳高额赎金进行数据恢复,相反企业用户的资料数据一旦丢失,将会极大地影响公司业务的正常运转,因此企业用户往往会缴纳赎金来挽回数据。因此现在黑客基本针对企业用户定向攻击,以勒索更多的赎金。2.以RDP爆破为主通过腾讯安全御见威胁情报中心的数据统计,目前勒索攻击主要以RDP爆破为主(包括企业内网渗透),典型家族有GlobeImposter和Crysis,也有其他家族的勒索病毒陆续加入端口爆破攻击方式。RDP爆破成功后,黑客可以远程登录终端进行操作,这样即使终端上有安全软件的防护也会被黑客退出,攻击成功率高,因此备受黑客喜爱。3.更多使用漏洞攻击以往勒索病毒更多的使用钓鱼邮件、水坑攻击等方式进行传播,但随着用户的安全教育普及,社工型的攻击成功率越来越低。因此勒索病毒现在更多的使用漏洞进行攻击,漏洞攻击往往用户没有感知、并且成功率高。部分企业没有及时修复终端的高危漏洞,这就给了黑客可趁之机。4.入侵企业内网后横向渗透大多企业通过内外网隔离,来提高黑客的攻击门槛,但是一旦前置机有可利用漏洞,黑客依然可以入侵到企业内网。入侵成功之后,黑客往往会利用端口爆破、永恒之蓝漏洞等进行横向传播,来达到加密更多的文件、勒索更高额赎金的目的。八、勒索病毒应急处置手册事前防护1. 定期进行安全培训,日常安全管理可参考“三不三要”(三不:不上钩、不打开、不点击;三要:要备份、要确认、要更新)思路。2. 全网安装专业终端安全管理软件,例如御见终端安全管理系统,腾讯御界高级威胁检测系统等。3. 由管理员批量杀毒和安装补丁,后续定期更新各类系统高危补丁;4. 定期备份数据,重要数据多重备份。事中应急建议联系专业安全厂商处理,同时在专业安全人员到达之前,可采取正确的自救措施,以便控制影响范围。1. 物理,网络隔离染毒机器;2. 对于内网其他未中毒电脑,排查系统安全隐患:a) 系统和软件是否存在漏洞b) 是否开启了共享及风险服务或端口c) 检查机器ipc空连接及默认共享是否开启d) 检查是否使用了统一登录密码或者弱密码事后处理在无法直接获得安全专业人员支持的情况下,可考虑如下措施:1. 通过管家勒索病毒搜索引擎搜索,获取病毒相关信息。搜索引擎地址(https://guanjia.qq.com/pr/ls/#navi_0)2. 若支持解密,可直接点击下载工具对文件进行解密 3. 中毒前若已经安装腾讯电脑管家或者御点终端安全管理系统,并开启了文档守护者功能,可通过该系统进行文件恢复发布于 2020-03-18 14:16勒索病毒木马病毒计算机病毒赞同 9添加评论分享喜欢收藏申请
国内首个比特币勒索病毒案告破,三年获利500万-虎嗅网
国内首个比特币勒索病毒案告破,三年获利500万-虎嗅网
资讯
24小时
源流
视频
妙投虎嗅智库
投稿
2020-10-14 16:48
国内首个比特币勒索病毒案告破,三年获利500万HyperAI超神经©关注近日,全国首个比特币勒索病毒开发者巨某,被江苏南通警方成功捕获。巨某在三年的时间里,利用网络勒索病毒,已非法获利超 500 万元人民币。本文来自微信公众号:HyperAI超神经(ID:HyperAI),作者:神经小兮,题图来自:视觉中国10 月 8 日,据江苏省南通市当地警方通报,在“净网 2020”行动中,成功侦破了一起特大网络敲诈案件,3 名犯罪嫌疑人巨某、谢某和谭某落网。犯罪嫌疑人巨某,作为多个比特币勒索病毒的制作者,已成功作案百余起,非法获取的比特币折合人民币 500 余万元。病毒勒索:想要数据?比特币来换近年来,网络勒索病毒十分猖獗,防不胜防。全球各地企业、机构、甚至高校都会遭遇勒索病毒攻击。今年 4 月,江苏省南通市启东某大型超市收银系统就遭到了攻击,系统被黑客植入勒索病毒,因此瘫痪,无法正常运转。超市立即进行了报案,南通市公安局与市局网安等部门组成专案组进行侦查。通过数据勘验,专案组找到一份告知如何解密文件的全英文留言,要求受害人必须支付 1 比特币(时价约合人民币 47000 元)作为破解费用。黑客勒索留言:若想恢复文件,就给我钱包里打 1 个比特币此外,网警经对该超市的服务器进行数据勘验,发现黑客锁定的服务器中所有文件均被加密,文件的后缀名都变成了“lucky”,文件和程序均无法正常运行。而在 C 盘根目录下有个自动生成的文本文档,留有黑客的比特币收款地址和邮箱联系方式。超市服务器数据文件后缀都变成了“lucky”随后,尽管专案组做了大量工作,却始终没有进展。线索无处可寻,侦查陷入僵局。根据南通市公安局网安支队三大队副大队长许平楠介绍,“由于比特币均通过境外网站交易,追查难度较大,发起攻击的始作俑者身份往往成谜。”随着价格的不断上涨以及其本身的匿名性,比特币深受众多不法分子的青睐超市求助数据恢复公司,竟成破案线索就在警方无处下手的时候,案情出现了一丝转机。由于超市被锁服务器中有重要工作数据,如果格式化则损失巨大。因此,超市工作人员联系了一家数据恢复公司,以低于被勒索(1 个比特币)的价格,委托其解锁加密文件。后来这家数据恢复公司,竟然神奇地对服务器数据进行了成功解密。警方获悉这一情况后,认为其中可能另有隐情。因为,一般来说,勒索病毒入侵电脑,对文件或系统进行加密,每一个解密器都是根据加密电脑的特征新生成的,没有病毒制作者的秘钥,几乎不可能完成解密。专案组成员、启东市公安局网安支队民警黄潇艇分析称,一般只有向勒索者支付比特币才能解密但经过进一步侦查之后,排除了数据恢复公司的嫌疑。原来该数据恢复公司之所以能够恢复数据,是因为他们通过邮箱与黑客取得联系,并支付 0.5 比特币获取了解锁工具,从而完成任务,赚取差价。专案组通过数据恢复公司而获取的新线索,以及深度研判分析,成功锁定犯罪嫌疑人的真实身份为巨某,至此案件侦破工作终于取得重大进展。5 月 7 日,专案组在山东威海将巨某抓获归案,并在其居住地查获作案用的电脑。在巨某的电脑中,民警找到了相关邮件记录、比特币交易记录以及相关勒索病毒工具的源代码。证据面前,巨某(右二)对自己的罪行供认不讳巨某交代称,他开发了一款网站漏洞扫描软件,在获得相关控制权限后,就针对性植入勒索病毒。为避免破解和逃避公安机关的追查,巨某相继开发升级了 4 种勒索病毒,索要难以追查的比特币作为赎金,使用的都是境外网盘和邮箱。在江苏警方抓获犯罪嫌疑人前,巨某已经向 400 多家网站和计算机系统植入敲诈勒索病毒,受害单位覆盖 20 多个省份,涉及企业、医疗、金融等多个行业。其中,苏州的一家上市公司,因为勒索病毒破坏了其相关工作使用的数据库文件,导致整个生产系统无法正常运行,直接停工三天,造成了巨大的经济损失。自学达人,却走上犯罪道路这位巨某,可以说是被敲诈勒索“事业”耽误了的自学达人。据了解,巨某生于内蒙古赤峰,今年 36 岁。他自幼就喜好并自学计算机知识,精通编程、网站攻防等技术。之后,他成立了工作室,利用自己开发的软件炒股。起初还赚了不少,可最后以亏损 300 多万元而告终。债台高筑的巨某,偶然的一次机会得知了用勒索病毒敲诈的发财门路,于是走上了开发病毒程序之路。从 2017 年下半年开始,巨某一直都在研究“撒旦”等勒索病毒,以及漏洞利用程序“永恒之蓝”,并编写了“satan_pro”病毒程序用于作案。2018 年就曾有中了该病毒的客户请求数据解密公司解密,其勒索留言如下:据巨某交代,为避免破解和逃避公安机关的追查,他在“satan_pro”之后,又陆续升级开发了“nmare”、“evopro”、“svmst”和“5ss5c”4 款勒索病毒,江苏南通受攻击的超市收银系统,就是被植入了“nmare”病毒。除了索要难以追查的比特币作为赎金,巨某还通过境外的网盘和邮箱将解密软件发送给受害人,并经常更换,到手的比特币也都是通过境外网站交易。对于巨某来说,自己天衣无缝的计划堪称“完美犯罪”,但终究没能逃过警方的侦查。在作案期间,与他合作的一家数据恢复公司经营者谢某、谭某,也均因涉嫌敲诈勒索罪被逮捕。不知道这位巨某如今身陷囹圄,会作何感想。如果他利用所学知识,做一名网络安全工程师,人生历程就完全不同了。或许在未来的某一天里,铁窗里的他还会想起很多年前,敲下第一行代码时振奋、纯粹的自己。新闻来源:新浪财经:《全国首个比特币勒索病毒制作者落网:曾迫使一上市公司停工3天》南通公安微信公众号:《全国首个比特币勒索病毒制作者落网!南通破获特大制作使用病毒实施敲诈勒索案》本文来自微信公众号:HyperAI超神经(ID:HyperAI),作者:神经小兮本内容为作者独立观点,不代表虎嗅立场。未经允许不得转载,授权事宜请联系hezuo@huxiu.com如对本稿件有异议或投诉,请联系tougao@huxiu.com正在改变与想要改变世界的人,都在 虎嗅APP
Copyright ©
虎嗅网 京ICP备12013432号-1
京公网安备 11010502037938号
被勒索后的72 小时“生死时速”_腾讯新闻
被勒索后的72 小时“生死时速”_腾讯新闻
被勒索后的72 小时“生死时速”
编者按
数字化浪潮蓬勃兴起,企业面临的安全挑战亦日益严峻。
腾讯安全近期将复盘2022年典型的攻击事件,帮助企业深入了解攻击手法和应对措施,完善自身安全防御体系。
本篇是第四期,复盘了一次勒索病毒的紧急应对事件。一旦染上勒索病毒相当于宣判了重要文件被囚禁在了数字监狱,似乎除了缴纳赎金别无他法。但如果面对的是一个有缺陷的勒索病毒呢?这是建筑工程设计师老张和安全专家zhipeng的72小时竞赛故事。
“如果您在72小时内与我们联系,可以享受50%的折扣”。
一辈子没中过大奖的工程师老张,看到这句话几乎晕厥了。
是心爱之物离自己越来越远的心悸引发的生理晕厥。
因为这不是限时优惠的促销通知,而是一则勒索留言。
勒索筹码是老张电脑中被加密的工程设计图纸,包含了老张建筑工程设计生涯近20年的图纸底稿文件。
无论老张如何操作,电脑中他熟悉的一个个设计图纸文件均无法打开,老张慌了神。
但“贴心的”黑客在“勒索信”上告诉了老张拿回图纸的唯一办法——
“请注意,您永远不会在不付款的情况下恢复您的数据”。
老张赶忙盘算了下家底,要全部赎回文件的话,50%的赎金是他能接受的范围。
这也意味着,老张要在72小时内做出选择。
“我就是下载了一个软件”
老张起初并不知道这是勒索病毒,当他发现电脑桌面不正常,文件格式都变成了像是乱码的后缀时,他本能的关机重启。
只是再次亮起的电脑屏幕依然是那些陌生的图标和无法点击的文件,老张才意识到,可能是电脑出了故障,这一次他没有丝毫犹豫就按了关机。
和周围的朋友咨询后,老张知道了这叫勒索病毒,知道了这是当今最臭名昭著的病毒,也知道了这是一种无法解决的网络病毒。但老张更想知道,如何才能解救染毒的图纸。
几番推荐和介绍后,腾讯安全云鼎实验室的专家zhipeng介入了这次事件。“面对勒索病毒整个业界都没有很好的解决方案,目前能解密的勒索基本都是使用公开的密钥进行解密恢复”,zhipeng对这次挑战并不是信心满满。无法直接分析可能是这次解题的一大难点。彼时由于疫情隔离,zhipeng只能先进行远程分析。
如同探究每一道安全难题一样,定位析因是zhipeng的第一步——弄明白老张是如何中招的。这一步并不难,通过对最近几次的电脑操作复盘后,zhipeng很快就发现这是一次典型的“水坑攻击”——在受害者必经之路上制作陷阱,守株待兔。
软件下载站就是那条“必经之路”,相比直接通过漏洞入侵到个人电脑这种费时的攻击方式,将病毒直接嵌入在各种用户经常下载的软件站里,等待受害者自动上门这种以逸待劳的方式更具效率。
至此,攻击链条基本浮出水面——老张在非官方软件下载站下载了一个软件,结果该软件被植入了勒索病毒。病毒程序在电脑本地下载安装后就开始运行,迅速加密电脑中的文件。“优先寻找的基本是带有Word、PPT、PDF这种典型的工作类型文件”,zhipeng的解释进一步回答了老张为什么打不开设计图纸文件。
不过遗憾的是,找不到敌人。“水坑攻击”+瞄准软件站投毒的“供应链攻击”并非定向对工程师发起的安全攻击,而是一种“广撒网”式的手段,本质上是黑客为了提升入侵成功率和病毒影响面。
想通过找到凶手拿回图纸的路子基本被封死了。
幸运的是文件副本被加密
时间已经过去了24小时,老张和zhipeng想对病毒再做更深入的研究。于是电脑上存着核心资产的硬盘被拆下寄往zhipeng所在地。
除去快递时间,如果zhipeng在12小时内没找到解决办法,赎金价格将超出老张的承受范围,而他收藏的设计图纸可能将永远的被囚禁在数字监狱。
zhipeng和老张的选择是一场赌博,但天平已经有所倾斜:
第一,腾讯安全云鼎实验室这一年中已经发现了多起类似手段的勒索病毒感染事件,其中不乏在业内有成功恢复案例。
第二,老张及时的关机动作,让文件恢复有理论可能——病毒也算是一个程序,需要运行。及时的关机动作,导致病毒可能尚未完全将电脑文件加密。
第三,还是病毒的运行效率——老张的电脑型号陈旧,电脑的操作系统、运行内存等配置相对落后,病毒运行速度有一定程度折损。
猜想得到了验证!
zhipeng拿到硬盘后的分析发现了有未被加密的文件。同时,他还发现了“勒索病毒无法解密”这一死刑宣告的漏洞。
zhipeng根据该勒索加密样本与源文件对比分析,病毒对一个文件的加密并非是百分百字节加密。可能是出于效率和成本的考虑,该病毒的加密机制只对部分字节起作用。用专业的数据恢复工具,就可以将部分数据恢复。
(以单个文件为例,本次事件中的勒索病毒加密机制示意)
但这种方式有局限性。zhipeng说,这种方式对于大文件有效,尤其是文本视频压缩数据文件有很大恢复的可能性。但通过这种方式会丢失文件前150kb的数据,一些小文件是没办法恢复。
但这次的勒索病毒还有第二个加密特点——删除了文件。
如果是标准的勒索病毒加密,它的原理是将受害者电脑中文件直接加密。这一次案例中的加密原理则是,病毒运行后,先对电脑中的文件复制一个副本,对副本进行加密,再将原来的文件删除。
而删除的动作,就给设计图纸恢复留下了一个窗口——磁盘修复——类似于普通用户在电脑使用中删除(包括清空了“垃圾桶”)了本地文件后的数据恢复场景,通过专业的数据恢复工具,有几率恢复成功。
最终,在发现加密机制缺陷后,zhipeng尝试了多种数据恢复工具,恢复了大概六到七成的被加密数据,老张也得以找回大部分的设计图纸文件。
有用的“无用功”
本次事件中,其实还有第三种数据恢复方式,也是完美的数据恢复方式——百分百恢复——解密器恢复。“该家族的勒索病毒有非常多的后缀。这次案件的勒索病毒是其中一种,目前该病毒的密钥未公开暂时不可用,可能未来一段时间会更新。所以最好先做好备份,未来有完全恢复的可能性” ,zhipeng说。
这并非是遥不可及,zhipeng说现在已经有国外安全人员在持续收集这个家族的密钥,并更新勒索解密工具,帮助受害者免受勒索之苦。
这背后不仅是正义与邪恶的较量,更是全球安全从业者面对挑战时的态度,没有绝对安全的系统,也没有绝对无解的威胁。
可能未来很长一段时间,人类仍将处于勒索病毒无解的支配中,但总有人在无解的题上孜孜不倦的求解。
另外,也不要给勒索病毒可乘之机,对于普通用户而言提高警惕能避免绝大多数的勒索病毒,就像最后zhipeng告诉老张的:“不随意打开陌生链接、邮件,不在不正规的网站下载软件”。
但这仍然不够。企业和社会关键基础设施才是勒索病毒肆虐的主战场。
当下一次,一个没有缺陷的勒索病毒利用水坑攻击、侵入供应链等手段悄无声息的潜入了一家企业的员工电脑时,被加密的可能就不仅仅是设计图纸了。
一文读懂勒索攻击:特征、趋势与挑战_腾讯新闻
一文读懂勒索攻击:特征、趋势与挑战_腾讯新闻
一文读懂勒索攻击:特征、趋势与挑战
作者
翟尤腾讯研究院产业安全中心主任、高级研究员
1989年,哈佛大学学生约瑟夫·L·波普制作了全球首个勒索病毒—AIDS木马,这位哈佛高材生将勒索病毒隐藏在软盘中并分发给国际卫生组织艾滋病大会的参会者。此款勒索病毒会记录用户设备重启次数,一旦超过90次就会对电脑中的文件进行加密,并要求邮寄189美元才能解密重新访问系统。虽然“名牌大学生恶作剧+邮寄支付赎金”的标签在今天看来既没有多大危害,也不够专业,但勒索病毒发起的对经济社会的攻击,在此后的30多年中逐渐演变为让人闻之色变的网络攻击浪潮。
勒索攻击从恶作剧向
专业组织化网络攻击演变
勒索攻击又称为“赎金木马”,是指网络攻击者通过对目标数据强行加密,导致企业核心业务停摆,以此要挟受害者支付赎金进行解密。如同我们把钱放在保险箱,小偷没有撬开保险箱偷钱,反而把放保险箱的房间加了把锁。如果没有房间的钥匙,我们依然拿不到保险箱里的钱。勒索攻击发展历程并不长,在30多年的发展过程中,主要经历三个阶段:1989至2009年是勒索攻击的萌芽期,在这20年中,勒索攻击处于起步阶段,勒索攻击软件数量增长较为缓慢,且攻击力度小、危害程度低。2006年我国首次出现勒索攻击软件。2010年以后,勒索软件进入活跃期,几乎每年都有变种出现,其攻击范围不断扩大、攻击手段持续翻新。2013年以来,越来越多的攻击者要求以比特币形式支付赎金;2014年出现了第一个真正意义上针对Android平台的勒索攻击软件,标志着攻击者的注意力开始向移动互联网和智能终端转移。勒索攻击在2015年后进入高发期,2017年WannaCry勒索攻击在全球范围内大规模爆发,至少150个国家、30万名用户受害,共计造成超过80亿美元的损失,至此勒索攻击正式走入大众视野并引发全球关注。
勒索攻击典型特征与案例
近年来勒索攻击席卷全球,几乎所有国家的政府、金融、教育、医疗、制造、交通、能源等行业均受到影响,可以说有互联网的地方就可能存在勒索攻击。2021年5月,美国17个州能源系统受到勒索攻击,导致美国最大的燃料管道运营商Colonial关闭约8851公里的运输管道,犯罪分子在短时间内获取了100G数据,并锁定相关服务器等设备数据,要求支付75个比特币作为赎金(相当于440万美元)。勒索攻击已经成为未来一段时期网络安全的主要威胁。总的来看,勒索攻击有4个显著特征:
(一) 隐蔽性强且危害显著
勒索攻击善于利用各种伪装达到入侵目的,常见的传播手段有借助垃圾邮件、网页广告、系统漏洞、U盘等。隐蔽性是勒索攻击的典型攻击策略。在入口选择上,攻击者以代码仓库为感染位置对源代码发动攻击;在上线选择上,宁可放弃大量的机会也不愿在非安全环境上线;在编码上,高度仿照目标公司的编码方式和命名规范以绕过复杂的测试、交叉审核、校验等环节。此外,攻击者往往在发动正式攻击之前就已控制代码仓库,间隔几个月甚至更长时间才引入第一个恶意软件版本,其潜伏时间之长再一次印证了勒索攻击的高隐蔽性。
调查发现,某些勒索攻击事件的制造者利用尚未被发现的网络攻击策略、技术和程序,不仅可以将后门偷偷嵌入代码中,而且可以与被感染系统通信而不被发现。这些策略、技术和程序隐藏极深且很难完全从受感染网络中删除,为攻击活动细节的调查取证和后续的清除工作带来巨大的挑战。此外,勒索攻击一般具有明确的攻击目标和强烈的勒索目的,勒索目的由获取钱财转向窃取商业数据和政治机密,危害性日益增强。
(二) 变异较快且易传播
目前活跃在市面上的勒索攻击病毒种类繁多呈现“百花齐放”的局面,而且每个家族的勒索病毒也处于不断地更新变异之中。2016年勒索软件变种数量达247个,而2015年全年只有29个,其变体数量比上一年同期增长了752%。变体的增多除了依赖先进网络技术飞速发展以外,还与网络攻击者“反侦查”意识的增强相关。很多勒索软件编写者知道安全人员试图对其软件进行“逆向工程”,从而不断改进勒索软件变体以逃避侦查。比如爆发于2017年的WannaCry,在全球范围蔓延的同时也迅速出现了新的变种——WannaCry 2.0,与之前版本的不同是,这个变种不能通过注册某个域名来关闭传播,因而传播速度变得更快。
(三) 攻击路径多样化
近年来越来越多的攻击事件表明,勒索攻击正在由被动式攻击转为主动式攻击。以工业控制系统为例,由于设计之初没有考虑到海量异构设备以及外部网络的接入,随着开放性日益增加,设备中普遍存在的高危漏洞给了勒索攻击以可乘之机,一旦侵入成功即可造成多达数十亿台设备的集体沦陷。随着远程监控和远程操作加快普及并生产海量数据,网络攻击者更容易利用系统漏洞发动远程攻击,实现盗取数据、中断生产的目的。为了成功绕过外部安装的防火墙等安全设施,不少勒索攻击诱导企业内部员工泄露敏感信息。除了针对运营管理中存在的薄弱环节,勒索攻击还在设备安装过程中利用内置漏洞进行横向渗透,一旦发现系统已有漏洞则立即感染侵入。
(四) 攻击目标多元化
一方面是从电脑端到移动端。勒索病毒大多以电脑设备为攻击目标,其中Windows操作系统是重灾区。但随着移动互联网的普及,勒索攻击的战场从电脑端蔓延至移动端,并且有愈演愈烈的趋势。俄罗斯卡巴斯基实验室检测发现,2019年针对移动设备用户个人数据的攻击达67500个,相比2018年增长了50%。同年卡巴斯基移动端产品共检测到350多万个恶意安装软件包,近7万个新型移动端银行木马和6.8万多个新型移动端勒索软件木马。
另一方面是从个人用户到企业设备。个人设备在勒索软件攻击目标中一直占据较高比例,但随着传统勒索软件盈利能力的持续下降,对更高利润索取的期待驱使网络攻击者将目标重点聚焦在政府或企业的关键业务系统和服务器上。比如在今年7月16日发生的国家级勒索事件中,厄瓜多尔最大网络运营商CNT遭遇勒索软件RansomEXX的攻击,致使其业务运营、支付门户及客户支持全部陷入瘫痪,犯罪团伙声称已经取得190GB的数据,并在隐藏的数据泄露页面上分享了部分文档截图。
随着AI、5G、物联网等技术的快速普及和应用,以及加密货币的持续火爆,勒索攻击呈现出持续高发态势,全球大量知名企业都曾遭到勒索攻击并导致经济和声誉损失。据《2020年我国互联网网络安全态势综述》统计,2020年我国全年捕获勒索病毒软件78.1万余个,较2019年同比增长6.8%。据Cybersecurity Adventure统计,2021年全球勒索软件破坏成本预计将达到200亿美元,高于2015年3.25亿美元的61倍。
勒索攻击7大趋势特点
(一) 影响社会正常运转且难解密
勒索攻击对社会正常运转带来较大挑战。在民生方面,大型企业遭到勒索攻击严重影响民众正常生活。2021年5月全球最大的肉类供应商JBS遭到勒索病毒攻击,部分牛羊屠宰加工厂停摆,美国肉类批发价格出现上涨,使得本就受到疫情冲击的全球食品供应链雪上加霜。在医疗卫生方面,勒索攻击不但造成巨额经济损失,同时也威胁到病人生命安全。2020年9月,德国杜塞尔多夫医院30多台内部服务器遭到勒索攻击,一位前来寻求紧急治疗的妇女被迫转送至其他医院后死亡。这是公开报道的第一起因勒索攻击导致人死亡的事件。国内也出现过类似的勒索攻击事件,如某建筑设计院遭遇勒索病毒攻击,数千台电脑文件被加密,工程图纸无法访问,损失惨重。
勒索攻击使用的加密手段越来越复杂多样,绝大多数不能被解密。业内专家普遍认为遭受勒索攻击之后,没有“特效药”。受害者往往需要在支付巨额赎金和数据恢复重建中做出选择。即使一些勒索攻击采用的加密算法是公开的,但是依靠现有的算力或者是通过暴力破解的方式也难以进行解密,因为暴力解密往往需要上百年的时间。
(二) 勒索攻击SaaS化
随着云计算、人工智能等新技术的快速普及和应用,勒索软件即服务成为当前网络攻击的新模式。勒索软件黑色产业层级分明,全链条协作,开发者只管更新病毒,拓展传播渠道大肆释放勒索病毒,各级分销参与者点击鼠标就能从中瓜分利润。这种黑色产业分销模式大大降低了勒索攻击的传播门槛,使网络安全风险快速扩散。例如,依靠这种黑产模式,某勒索攻击软件仅用一年多时间就敛财20亿美元。
勒索攻击从制作、传播、攻击到收益呈现系统化、便捷化趋势,开发者可以提供一整套解决方案,甚至包括利用加密货币进行赎金支付等服务。这些解决方案具有“开箱即用”的便捷性,犯罪分子获得勒索病毒后,可以通过多种渠道进行传播并获利,攻击模式更为便捷。此外,攻击者往往并不需要任何编程技术就可以开展违法犯罪活动,理论上任何人只要支付少量费用就可以通过这类服务开展勒索攻击,导致网络攻击的门槛大幅降低。
(三) 加密货币普及助推赎金额度快速增长
勒索病毒的制造者对赎金的要求越来越高。2017年在全球140多个国家和地区迅速蔓延的WannaCry勒索病毒赎金仅为300美元,4年后勒索病毒要求企业支付的赎金则大多在上百万美元, Sodinokibi勒索病毒在2019年前后出现在中国时,索要金额仅7000元人民币,到了2020年,该团伙的勒索金额已动辄千万美元以上。例如2020年3月,计算机巨头宏碁公司被要求支付5000万美元赎金;2020年11月,富士康墨西哥工厂被要求支付超过3400万美元赎金。
高额赎金不仅让犯罪分子赚得盆满钵满,同时可以借此招揽更多人铤而走险加入勒索攻击行列。加密货币近年来成为社会关注的焦点,尤其是加密货币的匿名化导致监管部门很难对其进行管理。犯罪分子利用加密货币这一特点,有效隐匿其犯罪行径,导致网络攻击门槛降低、变现迅速、追踪困难,一定程度上成为网络犯罪快速增长的“助推剂”。
(四) 大型企业和基础设施成为攻击重点
传统勒索病毒攻击者使用广撒网、误打误撞的手法,这种无差别攻击很难预测受害者是谁,哪些受害者有价值。同时,普通用户的数据价值相对不高,且缴纳赎金的意愿并不强烈。近年来,勒索攻击对象涉及面越来越广,目前主要针对掌握大量数据的大型企业,且定向精准攻击趋势愈发明显,勒索攻击日趋APT化。所谓APT化,即攻击不计成本、不择手段,从低权限帐号入手,持续渗透攻击,直到控制企业核心服务器,再释放勒索病毒,使巨型企业彻底瘫痪。此外,勒索攻击APT化还意味着攻击者入侵后会首先窃取该企业的核心数据,即使企业使用备份恢复系统,核心机密泄露也会导致极其严重的损失。波音公司、台积电、富士康、全球最大的助听器制造商Demant、法国最大商业电视台M6 Group都曾成为被攻击对象。BlackFog研究发现,2020年勒索攻击主要针对政府部门、制造业、教育和医疗保健等行业。
同时,攻击者开始针对特定企业有针对性地制定攻击策略,哪些企业掌握大量有价值的数据,哪些企业就越容易遭到攻击。针对目标企业,攻击者手法更加多样化、对高价值目标的攻击进行“量身定做”,形成一整套攻击“组合拳”。对于大型企业来讲,网络节点和上下游关联企业与供应商都成为潜在的攻击漏洞,产业链中安全薄弱环节均成为攻击者实现突破的关键点。许多企业为了避免业务被中断,往往选择支付巨额赎金。
(五) “双重勒索”模式引发数据泄露风险
时至今日,勒索攻击已经从单纯的支付赎金即可恢复被加密的数据,逐渐演变成先窃取商业信息和内部机密,而后威胁企业不缴纳赎金将公开数据,这种新模式也被称为“双重勒索”。这样一来,不仅使得勒索攻击杀伤性增强,被勒索企业缴纳赎金的可能性变大,诱使勒索攻击者发动更多攻击,而且极易引发大规模的行业内部数据泄露事件,使得受害企业同时承受数据公开、声誉受损、行政处罚等多重压力。
据不完全统计,自2019年11月首次公开报道勒索病毒窃取数据的事件以来,不到一年时间里,有超过20个流行勒索病毒团伙加入到数据窃取的行列中。以Maze(迷宫)勒索攻击为例,它不仅最先开始系统性地窃取数据,还以泄露数据相逼要挟用户缴纳赎金。越来越多的勒索事件表明,“双重勒索”模式已成为现今网络攻击者实施攻击的重要手段。
(六) 供应链成为勒索攻击的重要切入点
供应链攻击作为一种新型攻击手段,凭借自身难发现、易传播、低成本、高效率等特点成功跻身最具影响力的高级威胁之列。供应链攻击一般利用产品软件官网或软件包存储库等进行传播,网络攻击一旦成功攻陷上游开发环节的服务器,便会引发连锁效应,波及处于供应链中下游的大量企业、政府机构、组织等。由于被攻击的应用软件仍然来自受信任的分发渠道,恶意程序将随着软件的下载安装流程悄无声息地入侵目标电脑,逃避传统安全产品检查的同时又可沿供应链发动向后渗透攻击,大大增加安全检测的难度。
近年来供应链攻击备受关注。2017年6月一家不知名的乌克兰软件公司遭受勒索攻击,勒索病毒通过软件公司服务器传播到数家全世界最大的企业之中,令其运营陷入瘫痪,造成全球范围内约100亿美元的损失。2021年7月,美国软件开发商Kaseya遭勒索攻击,网络攻击团伙索要高达7000万美元的赎金,有评论称此次事件可能成为2021年影响最大的供应链攻击事件。
(七) 引发网络保险行业的恶性循环
美国战略与国际研究中心与杀毒软件供应商迈克菲联合发布的一份报告指出,估计每年全球网络攻击所带来的损失将达9450亿美元,再加上约1450亿美元的网络防护支出费用,总经济成本将超过1万亿美元。高额的网络攻击成本催生了对网络风险保险的庞大需求市场,根据预测,到2025年网络风险保险费用将从2016年的32.5亿美元上升到200亿美元。伦敦再保险经纪商Willis Re透露,今年7月保单更新季,网络安全相关保险费率将迎来40%的大幅增长。
然而网络保险行业欣欣向荣的表象下,却潜藏着巨大的恶性循环危机。由于最近几个月来全球几大公司接连遭到灾难性的勒索攻击,越来越多的企业向网络保险和再保险公司寻求帮助,网络攻击者特意挑选投保了网络保险的公司作为攻击目标,更加有针对性地实施勒索攻击,使得网络犯罪的成功率大幅提升,整体网络环境面临加速恶化的窘境。为遏制这一情况的继续恶化,已有多家公司开始缩减网络保险覆盖范围,法国正在考虑强制所有网络保险商停止报销赎金支出,以切断网络犯罪这一有利可图的途径。
提高预防意识并
构建前置安全是关键
由于勒索攻击高强度加密算法的难破解性和数字货币交易方式的隐蔽性,并不建议将防治重点放在遭受攻击后的解密环节,而应该着重做好预防工作,不给勒索病毒以可乘之机。
从个人用户来讲,增强员工安全意识与加强数据备份同等重要:一方面要增强安全意识。对于可疑的邮件尤其是附带的网址不建议随意点开,同时系统提示的安装补丁或者软件病毒库要保持及时更新。另一方面,对于使用了非对称加密算法加密的文件,目前尚未找到有效的破解方法,一旦计算机遭到此类新型勒索病毒的攻击只能束手待毙,因而必须在平日里就做好重要数据的备份工作,且最好使用本地磁盘和云服务器双备份的策略。
从企业用户来讲,解决勒索攻击的核心是构建“安全能力前置”,提升自身的“免疫力”:
1.“安全能力前置”成为企业必选项。企业数字化程度越高,潜在的安全风险也就越大,甚至会有致命风险。被动防御性的安全思路难以应对多样化、动态化的网络攻击。因此,一方面要利用AI、大数据、云计算等新技术实现安全能力在业务环节的前置,提前预判潜在安全风险,另一方面要对安全专家或人才能力量化,使过往积累的安全经验与能力标准化、流程化,以实现安全能力的量化部署。
2.构建云上安全提升安全防御能力。产业互联网时代安全威胁逐步扩大,企业在应对勒索攻击时,数据备份和恢复的重要性进一步凸显。云原生安全所具备的开箱即用、自适应等显著优势将成为保障云平台和云上业务安全的重要基础。一方面云原生安全将构建安全服务全生命周期防护,伴随云上业务发展全过程。另一方面云上安全产品将向模块化、敏捷化和弹性化演进,为用户提供差异化服务,成为兼顾成本、效率和安全的“最优解”。
3.零信任有望成为勒索攻击有效解决途径。零信任假定所有身份、设备和行为都是不安全的,即使曾经有过被“信任”的经历也要一视同仁,在接入时需要进行全程安全验证和检查。攻击者使用窃取到的账号信息登录VPN或其他内部业务平台时,由于零信任采用多因子用户验证(即只有账号密码还不够,需要配合短信验证码、token、人脸识别等),即使攻陷了企业的一台服务器,也无法致使勒索攻击扩散到其他服务器。零信任体系还能有效阻止黑客入侵后在内网扩散。攻击者可能控制某些脆弱的单点,当其通过已攻击的终端向网络内部更重要系统渗透时,零信任的安全机制可以及时检测到风险,从而帮助企业将风险控制在最小限度,不至于发生全网崩溃的严重后果。
4. 打好保障供应链安全的“组合拳”。一方面,须加强代码审计与安全检查。机构组织可向供应商索要清单,列明其使用的所有代码组件,以识别与开源组件漏洞有关的潜在风险。此外还可以考虑在实施代码前,增加额外的自动化或手工检查,并利用第三方工具对软件及相关产品源代码进行详细的安全分析。另一方面,加快推动建立零信任架构等安全防护机制。供应链攻击暴露出网络安全架构最大的缺陷就是过于信任。而零信任架构意味着每个试图访问网络资源的人都要进行验证,其访问控制不仅能应用于用户,也适用于服务器设备与各类应用,以防止第三方供应商获得不必要的特权,从而降低恶意软件的渗透风险。
近期全球典型勒索攻击汇总表
数据来源:公开信息整理
参考文献:
[1]张晓玉,陈河.从SolarWinds事件看软件供应链攻击的特点及影响[J].网信军民融合,2021(04):37-40.
[2].瑞星2020年中国网络安全报告[J].信息安全研究,2021,7(02):102-109.
[3]李江宁,覃汐赫.工业领域的勒索攻击态势与应对思路[J].自动化博览,2021,38(01):86-90.
[4]张宝移.计算机勒索病毒及防治策略分析[J].技术与市场,2020,27(10):109-110.
[5]高红静.近年勒索软件威胁分析及防范策略综述[J].保密科学技术,2018(12):21-28.
[6]李易尚.勒索软件:过去、现在和未来[J].北京警察学院学报,2017(06):99-104.
[7]李建平.供应链安全:防不胜防的软肋[J].保密工作,2021,(04):58-59.
[8]嵇绍国.2020年勒索软件攻击情况及趋势预测[J].保密科学技术,2020(12):33-43.
[9]2021上半年勒索病毒趋势报告及防护方案建议,南方都市报,2021-5-10
[10] 门嘉平.勒索病毒防治策略浅析[J].网络安全技术与应用,2020(06):23-24.
[11]吴崇斌,成星恺.勒索软件发展现状及应对[J].通讯世界,2019,26(08):111-112.
[12].盘点2019年勒索病毒灾难事件[J].电脑知识与技术(经验技巧),2019(12):88-90.
打击勒索攻击,
扫码参与H5小游戏
测试你是哪种类型的极客?
/往期文章
你“在看”我吗?
盘点 | 2022上半年十大勒索攻击事件|黑客|泄露_网易订阅
盘点 | 2022上半年十大勒索攻击事件|黑客|泄露_网易订阅
网易首页
应用
网易新闻
网易公开课
网易高考智愿
网易红彩
网易严选
邮箱大师
网易云课堂
快速导航
新闻
国内
国际
评论
军事
王三三
体育
NBA
CBA
综合
中超
国际足球
英超
西甲
意甲
娱乐
明星
图片
电影
电视
音乐
稿事编辑部
娱乐FOCUS
财经
股票
行情
新股
金融
基金
商业
理财
汽车
购车
行情
车型库
新能源
行业
科技
通信
IT
互联网
特别策划
网易智能
家电
时尚
亲子
艺术
手机
/
数码
移动互联网
惊奇科技
易评机
房产
/
家居
北京房产
上海房产
广州房产
全部分站
楼盘库
家具
卫浴
旅游
自驾露营
美食
教育
移民
留学
外语
高考
查看网易地图
登录
注册免费邮箱
注册VIP邮箱(特权邮箱,付费)
免费下载网易官方手机邮箱应用
安全退出
移动端
网易公开课
TED
中国大学视频公开课
国际名校公开课
赏课·纪录片
付费精品课程
北京大学公开课
英语课程学习
网易严选
新人特价
9.9专区
新品热卖
人气好物
居家生活
服饰鞋包
母婴亲子
美食酒水
支付
一卡通充值
一卡通购买
我的网易支付
网易跨境支付
邮箱
免费邮箱
VIP邮箱
企业邮箱
免费注册
客户端下载
网易首页 > 网易号 > 正文
申请入驻
盘点 | 2022上半年十大勒索攻击事件
2022-08-03 11:14:18 来源: 慧盾安全
江苏
举报
0
分享至
用微信扫码二维码
分享至好友和朋友圈
5月23日,Verizon发布的Verizon Business 2022 数据泄露调查报告(DBIR)显示,勒索软件在 2022 年同比增长13%,增幅超过过去五年的总和。2022年刚刚过半,勒索攻击层出不穷。在此,我们回顾并摘录上半年10个影响或损失重大的勒索事件。1.美国新墨西哥州伯纳利洛县遭勒索软件攻击1月5日,美国新墨西哥州伯纳利洛县政府的IT网络遭到勒索软件攻击,不仅导致多个城市的政府大楼和公共办公室关闭,还致使该县拘留中心的安全摄像头和自动门脱机,囚犯不得不被限制在牢房内。2.英伟达(Nvidia)遭Lapsus$组织攻击,涉及1TB机密数据泄露2 月 23 日,英伟达称黑客攻击者在线泄露了员工凭据和私密信息。随后,勒索软件组织Lapsus$声称对此次攻击负责,并表示他们可以访问1TB的英伟达企业数据。虽然英伟达方也立刻采取反击措施,成功黑掉了Lapsus$的电脑,不过,由于Lapsus$做了数据备份,英伟达的反击未果。3.丰田汽车供应商遭勒索攻击,14家本土工厂暂时关闭3月1日丰田汽车公司表示,其零部件供应商因受到了勒索软件攻击,从而导致系统瘫痪。受此影响,丰田日本14家工厂,28条生产线停工一天。据专业机构估计,丰田日本工厂每停工一天,就会损失月产量的5%,损失严重。4.征信巨头TransUnion数据泄露,对90%南非人造成影响3月21日,征信巨头TransUhnion的南非公司遭巴西黑客团伙袭击,5400万消费者征信数据泄露,绝大多数为南非公民,据了解南非总人口约6060万人。黑客团伙透露,他们通过暴力破解入侵了TransUhnio一台存有大量消费者数据的SFTP服务器,该服务器的密码为“Password”。随后,TransUnion称,将为受影响的消费者免费提供身份保护年度订阅服务,预计成本将超过114亿元。5.里约财政系统遭勒索攻击,420GB数据被盗4月22日,巴西里约热内卢州财政部门系统遭到勒索软件攻击。随后勒索软件团伙LockBit宣称为此次事件负责。LockBit入侵了接入政府办公室的系统,并窃取到约420 GB数据。6.印度航空公司SpiceJet遭勒索导致乘客滞留机场5月24日,印度香料航空公司系统遭到勒索软件攻击,内部系统受影响离线,导致多个航班延误数小时,大量乘客滞留在机场,直接影响到飞往印度及海外各国的众多乘客,数小时的延误或造成巨大的经济损失。7.意大利多个重要政府网站遭 DDoS 攻击致瘫痪5 月 11 日, 意大利多个官方网站遭到黑客大规模 DDoS 攻击致服务器瘫痪,包括参议院、国防部、国家卫生所、B2B 平台 Kompass、机动车协会及意大利著名期刊协会 Infomedix Odontoiatria Italia 等 7 家重要机构官网临时宕机,整整 4 个小时,用户无法访问。随后,亲俄黑客团伙 Killnet 声称对本次攻击负责。此前,他们还曾先后对罗马尼亚门户网站、美国布拉德利国际机场发动过类似攻击。8.勒索攻击致使美国老牌高校林肯学院倒闭5月13日,成立157年的美国林肯学院表示,由于新冠疫情和持续遭受的勒索软件攻击对其财务造成了残酷的打击,学院决定将永久关闭。据悉,勒索软件攻击阻碍了该校招生计划和对所有机构信息的访问,导致该校无法对2022年秋季招生明确预测。根据奥地利网络安全公司Emsisoft发布的一份报告,虽然林肯学院是首个因勒索软件攻击而被迫关闭的学校,但它只是2021年遭受勒索软件攻击的1000多所学校之一。9.哥斯达黎加政府因勒索攻击宣布进入“国家紧急状态”该事件是2022年最受关注的勒索攻击事件,因为这是首个国家宣布进入“国家紧急状态”以应对勒索软件攻击。针对该国的第一波勒索软件攻击始于4月初,勒索攻击致使其国家财政部陷入瘫痪,不仅影响了政府服务,还影响了从事进出口的私营部门。勒索软件组织Conti声称对此轮攻击负责,并要求哥斯达黎加政府支付1000万美元的赎金,后来这一金额又增加到2000万美元。5月31日开始,另一波攻击使该国的医疗保健系统陷入混乱。这次与HIVE相关的攻击致使该国的医疗保健系统被非正常下线,直接影响了普通民众的生活。10.美国出版业巨头Macmillan遭勒索软件攻击后关闭系统6 月 25 日,美国最大的图书出版商之一Macmillan遭遇勒索软件攻击,并波及英国分公司 Pan Macmillan 。最新消息显示,Macmillan已成功恢复内部邮件系统,员工已复工,不过专业人士认为,这次攻击不可避免会造成图书短暂出货延迟。总结以上勒索攻击事件的目的是为了更好地洞察网络犯罪分子的策略和意图,以便能够深入了解勒索攻击的危害,并更好地防范此类威胁。勒索攻击造成的损失和后果不可估量,因此防范勒索攻击的重点在事前防御环节而非遭受攻击后的解密环节。慧盾安全四重防护组合拳打好勒索攻击防御战面对愈演愈烈的勒索攻击,慧盾安全数据防勒索解决方案以数据资产为核心,融合主机安全、网络安全、行为画像、动态数据欺骗等先进技术,打造终身免疫、主动防御的勒索病毒防御体系,无论已知还是未知病毒,都能够有效阻断,全面守护数据安全。第1重防护:基于风险程序特征库识别已知恶意程序的运行;第2重防护:基于内核级安全管控技术只允许授信程序访问被保护数据;第3重防护:基于数据操作行为管控技术数据读写分离提升数据安全操作;第4重防护:基于智能行为分析技术的APT攻击防护。近年来,勒索病毒攻击呈现产业化、定制化趋势。慧盾安全针对客户的行业特点、应用场景,提供定制化防勒索解决方案。凭借领先的专业技术和优异的防护效果,慧盾安全数据防勒索解决方案不仅得到业内好评,也获得了保险公司认可,中国人民保险针对慧盾安全的防勒索客户专门推出防勒索保险服务,以“技术+保险”形式,有效保护数据安全。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
/阅读下一篇/
返回网易首页
下载网易新闻客户端
相关推荐
热点推荐
乌媒:乌军前总司令扎卢日内因健康原因被解除现役
央视新闻客户端 2024-03-10 07:03:36
18325
跟贴 18325
二八里匿名小纸条曝光,谁是掌舵人?云昊陪小姨中原之行胜券在握
美食强哥分享 2024-03-10 09:48:00
39
跟贴 39
争分夺秒!泰山队为省时间从青岛飞东京,贾德松在大巴过道治疗
齐鲁壹点 2024-03-10 10:53:29
247
跟贴 247
祝贺!关键技术取得突破!
环球时报新闻 2024-03-10 12:13:12
949
跟贴 949
美媒:美曾求助中印等阻止俄罗斯在2022年发动核打击
环球网 2024-03-10 16:58:49
4273
跟贴 4273
四川“豹警官”意外走红,动物园回应:年纪大锻炼少,网友调侃:“2元的门票豹豹吃了1块8”
封面新闻 2024-03-10 12:09:17
314
跟贴 314
车水马龙的坦赞铁路 BBC滤镜下一片荒芜
环球网资讯 2024-03-10 13:13:35
1801
跟贴 1801
拜登在国情咨文演讲中宣布"大计划" 招致多方嘲讽
环球时报新闻 2024-03-10 00:10:02
3754
跟贴 3754
字节跳动回应暴雪前CEO洽购TikTok:不实
财联社 2024-03-10 12:15:57
5800
跟贴 5800
相互转告:这些东西,不能放进空气炸锅!
环球网资讯 2024-03-10 08:47:27
342
跟贴 342
上海⇆江苏,又一世界级大桥在建,先睹为快
齐鲁壹点 2024-03-10 07:54:34
491
跟贴 491
"点读机女孩"高君雨紧急转进ICU 家长:持续发烧不退
红星新闻 2024-03-10 15:32:44
220
跟贴 220
明查|2024年头两月入境上海人数仅1万人次?太离谱
澎湃新闻 2024-03-07 07:06:54
5569
跟贴 5569
黄益斌任广东警官学院副院长,曾任湛江副市长、市公安局局长
澎湃新闻 2024-03-10 14:56:27
150
跟贴 150
中方将对欧洲六国试行免签,平台:预计匈牙利、比利时赴华游客增长最快
澎湃新闻 2024-03-07 13:50:37
6263
跟贴 6263
机长睡醒一看,副机长还在睡,飞机上还有153名乘客
每日经济新闻 2024-03-10 00:02:07
1573
跟贴 1573
新规下的快递员:等公司给的派送费涨了 我一定送上门
极目新闻 2024-03-10 13:14:29
1720
跟贴 1720
马来西亚总理安瓦尔抨击: 西方“基于规则的秩序”的本质是自私
环球网资讯 2024-03-10 13:24:05
141
跟贴 141
大陆要拍“全家福”,台当局要成孤家寡人丨湾区望海峡
直新闻 2024-03-09 23:09:22
0
跟贴 0
经党中央批准,正部级女将以这一身份率团出国
政知新媒体 2024-03-10 20:05:48
0
跟贴 0
代表建议“个税起征点提高至1万元”,谁最受益?
中国新闻周刊 2024-03-10 15:18:43
436
跟贴 436
王毅:不能再允许谁的拳头大谁就说了算
人民网-人民日报 2024-03-10 12:49:23
34
跟贴 34
中国男篮88年来首次输日本后,篮协主席姚明回应→
新民周刊 2024-03-10 09:41:15
307
跟贴 307
王毅:美国如果一听到"中国"就紧张 大国的自信何在?
人民网-人民日报 2024-03-10 12:48:53
64
跟贴 64
太原师范规定“博士五年未升副教授转岗后勤保卫”引关注,该校已讨论新人才计划
澎湃新闻 2024-03-10 18:50:26
0
跟贴 0
开放校门和食堂后,复旦大学食堂体验如何?记者探访
澎湃新闻 2024-03-10 16:22:31
0
跟贴 0
藤浦惠:80后女神,身材绝佳,魅力四溢,写真集欣赏!
零点娱评
2024-02-06 11:50:08
北京夫妇做短剧,每月进账4亿多
21世纪商业评论
2024-03-09 19:38:10
全新北汽制造212实车曝光,外观内饰变化明显,有望成爆款!
冉冉升起
2024-03-09 11:51:44
“英雄团长”祁发宝,晋升为副司令,的确非常的罕见
追忆十六年
2024-03-10 07:25:10
为什么全世界都在加息,而中国却在减息?
不掉线电波
2023-09-15 12:30:28
特朗普是历任美国总统中,为数不多没有发动战争的一位!
热爱娱乐等
2024-03-10 17:15:19
回旋镖扎到自己身上,加拿大宣布拆除纪念碑,俄:好的开始
科普说娱乐
2024-03-09 20:40:36
传奇救主!37岁瓦尔迪双响两度扳平比分,莱斯特客平仍3分领跑
直播吧
2024-03-10 18:32:25
克林顿披露:当年为了打赢朝鲜战争,美国共投入了200万军队
柒号观察室
2024-03-08 21:38:07
气温将创今年来新高!陕西最新预报!小雨、雨夹雪!
西北信息报
2024-03-10 21:33:17
开拓者官推吹顿宝:30分19板2断 统治者艾顿!
直播吧
2024-03-10 14:49:15
某音上女生“直播卖紧身裤”,这画面是免费可以看的?
健身迷
2023-11-23 10:50:20
山东泰山留力踢亚冠!名记:不像有的球队为了1个国内冠军窝里横
足球大腕
2024-03-10 00:40:07
白百何的每款鞋子都好漂亮啊,她真的很会穿搭
室内设计师阿喇
2024-03-10 20:08:42
十二生肖首饰佩戴禁忌
书山有路勤为径
2024-03-10 09:20:38
宣布了,全面大降价!有人一下省7万
21世纪经济报道
2024-03-10 16:31:11
全乱了!巴西德国的后腰:涝的涝死旱的旱死,难怪2传统豪门没落
小火箭爱体育
2024-03-10 19:31:10
民宿里的三级片
莫问先生
2024-03-02 04:02:12
某女子穿成这样坐地铁,引的男乘客纷纷侧目!网友;这也太敢穿了
小陆搞笑日常
2024-03-03 01:52:04
明日二月二,龙抬头要谨记:1剃、2不碰、3吃,开启一整年好运气
水大叔
2024-03-10 18:51:16
2024-03-10 23:00:49
慧盾安全
中国新数据安全定义者和领导者
31文章数
0关注度
往期回顾 全部
头条要闻
甘肃省委书记现场承诺:国庆节前让受灾民众搬进新居
两名女车主起纠纷在停车场打架 男子"误入镜头"遭网暴
最高法披露案例:交管未设置标志导致5814辆车次违法
拒增加议员津贴后 米莱被指给自己和内阁高官加薪48%
男子租房交万元后才发现地板是烂的 想退租要扣近6千
头条要闻
甘肃省委书记现场承诺:国庆节前让受灾民众搬进新居
两名女车主起纠纷在停车场打架 男子"误入镜头"遭网暴
最高法披露案例:交管未设置标志导致5814辆车次违法
拒增加议员津贴后 米莱被指给自己和内阁高官加薪48%
男子租房交万元后才发现地板是烂的 想退租要扣近6千
体育要闻
星光熠熠...詹库杜东欧齐聚西部附加赛区
U20女足亚洲杯:中国6-1越南!3轮4分第3出局,余佳琪+卢家玉双响
1-0!中超爆冷,成都83分钟遭绝杀,国足门将黄油手,保级队首胜
险胜!新疆赛季横扫北控紧追辽宁 琼斯狂揽33+19+9
0-4惨败!中超升班马2连败+0进球,主帅怒摔教练证,津门虎2轮4分
娱乐要闻
张学友因身体原因取消3场演唱会
华语性张力天花板,这次回归赢麻了
抱歉,毁掉他的,不仅仅是性丑闻
韩星韩素希当众举止异常,五官不受控表情怪异,被质疑精神不正常
UFC中国选手茸主被控诉家暴!花女友钱嫖娼,聊天记录信息量大!
财经要闻
农夫山泉,四面楚歌
经济日报:我们为什么要唱响中国经济光明论
读懂2024年国家账本 28.5万亿元如何花
首只2000亿ETF有望诞生 超级牛散最新持股路线曝光!
谁来给“高合们”收拾残局?
科技要闻
AI行业又一重磅炸弹!Pika让音效师失业
巨亏+停工,汽车行业仍未找到成功转型密码
TikTok绝境求生
难以复制的小红书,注定也复制不了“别人家的电商”?
比亚迪的价格战,要挖合资车的“祖坟”了
汽车要闻
用价格打服你 唐DM-i荣耀版宣战日系德系
售8.38万元起 吉利缤越/缤瑞COOL龙腾版上市
对话张明霞:闪光的她 有趣的灵魂表里如一
定位中大型纯电轿车 极狐阿尔法S5官图发布
合资电车的新标杆 试驾起亚EV5 720长续航版
态度原创
时尚
亲子
教育
旅游
军事航空
中老年男人:为什么劝你少戴金项链、金手镯?看完3组对比图就懂
基本款选优衣库,流行款看GU,杂志编辑给女大们推荐了这些!
这才是值得70后借鉴的春季穿搭,实用简单又不挑人,轻松变美
开春还是“针织衫”最吃香!温柔舒适,40+女人穿上很显气质
亲子要闻
小孩姐街头打卡拍照,“满怀期待”到“逐渐失去耐心”
女子记录女儿的成长,大眼睛炯炯有神,像极了一个洋娃娃
父母只有一样永远不会给孩子
韩国允许鉴定胎儿性别,是好是坏?为什么国人那么喜欢生男孩?
小满的生活点滴 妈妈想全部都记录下来
教育要闻
为什么更建议冲牛剑,劝退你去申LSE和IC?
范先群代表:建议保障学生每天至少一小时户外活动
百日冲刺!多校为中考生加油!
家长建议取消寒假作业!教育局:建议很好!家长吵翻了!
辛辛苦苦考进美国顶尖名校,却发现世界是个巨大的中国?
旅游要闻
江苏有座“万亿俱乐部”城市 实力媲美苏南
山东重磅规划 打造国家级旅游休闲城市
来福建 上春山 | 身未动,心已远,相约三明!
大罗山最后的秘境:潭瀑连绵宛如小铜铃山 白娘子隐居在此处!
军事要闻
乌媒:乌军前总司令因健康原因被解除现役
英国"伊丽莎白女王"号航母发生火灾 原因正在调查中
乌总理:未来两月将获欧盟60亿欧元援助
美方官宣:F-35A战机已获得可携带B61-12核弹的认证
© 1997-2024 网易公司版权所有
About NetEase |
公司简介 |
联系方法 |
招聘信息 |
客户服务 |
隐私政策 |
广告服务 |
不良信息举报 Complaint Center |
廉正举报
无障碍浏览
进入关怀版
真实案例:某企业网络感染勒索病毒情况分析 - 知乎
真实案例:某企业网络感染勒索病毒情况分析 - 知乎首发于火绒安全实验室切换模式写文章登录/注册真实案例:某企业网络感染勒索病毒情况分析火绒安全已认证账号近日,某企业在试用"火绒终端安全管理系统"(以下简称"火绒企业版")期间,发现勒索病毒攻击。火绒工程师现场调查发现,该企业网络中竟然有两种勒索病毒流窜感染,整体情况查明后,堪称企业网络染毒的典型案例。一、GlobeImposter病毒通过邮件传播,主要针对企业,会加密共享文件夹和本地文件夹,索取赎金。解决方法:1、全网部署合格的企业版安全软件。2、全网查杀。收到该企业求助后,火绒工程师通过远程查看被感染的服务器,发现只有共享文件夹内文件被加密,本地其他文件则未被加密,不符合勒索病毒全盘加密文件的特征,因此初步排除本机感染勒索病毒的可能(该服务器已安装火绒企业版)。图:服务器共享文件夹被加密的文件随后,火绒工程师从该服务器中找到勒索病毒留下的信息,通过接收赎金的邮箱和加密文件的后缀名,推断该勒索病毒为GlobeImposter(或变种)。GlobeImposter勒索家族主要以垃圾邮件方式进行传播,是目前比较流行的勒索病毒之一。图:勒索病毒GlobeImposter留下的html信息根据该企业运维人员描述,这台服务器电脑一直没有接收邮件、下载运行可疑文件的操作;再加上服务器本地文件未被加密,不符合勒索病毒的特征,火绒工程师进一步判断这台服务器非病毒作案的第一现场。经询问后得知,该企业并非所有的电脑终端都部署了火绒企业版,极有可能是某台未安装安全软件的电脑,运行了携带勒索病毒GlobeImposter(或变种)的邮件,导致中毒,并被加密了共享文件夹。由于同一个局域网内的电脑都可以对共享文件夹进行任意操作,所以上述服务器虽然没有感染勒索病毒,但其共享文件夹文件依旧被加密。二、Wannacry病毒"蠕虫式"勒索病毒,通过"永恒之蓝"漏洞在局域网内横向传播,屡杀不绝,加密全盘文件。解决办法:1、全网部署火绒企业版。2通过管理中心日志记录的攻击者IP,找到感染源。3、对感染源全盘查杀。除了GlobeImposter病毒,该企业人员还表示,电脑中经常出现大量其他病毒的攻击,并且屡杀不止。通过火绒拦截查杀的日志发现,这些病毒为勒索病毒wannacry,在传播过程中,已经被"火绒企业版"的"漏洞攻击拦截"阻止,并留下相关记录。图:火绒拦截查杀到的wannacry勒索病毒针对上述情况,火绒工程师远程指导该企业人员操作"火绒企业版"的控制中心,打开"事件日志"→"网络防御",在"黑客拦截入侵"功能日志中,找到攻击源的IP地址,发现该感染源电脑同样没有安装火绒企业版,因此在感染Wannacry病毒后,不断在网络中,向其他电脑传播(只向有"永恒之蓝"漏洞的电脑传播)。通过给该感染源电脑安装"火绒企业版",并全盘查杀,清除了病毒,相关电脑也不再提示被Wannacry病毒攻击。图:火绒"漏洞攻击拦截"功能帮助找到攻击源IP总结:该企业办公网络有上千台电脑终端,在试用"火绒企业版"期间,仅部署了100多台,其他电脑终端有的裸奔,有的安装其他安全软件,因此导致如下情况。1、未被GlobeImposter病毒感染的某台服务器(已安装"火绒企业版"),共享文件夹被加密。2、部分电脑(有"永恒之蓝"漏洞,但是安装了"火绒企业版")反复拦截到Wannacry病毒攻击。该企业立即采取行动,给公司所有电脑终端全部安装"火绒企业版",并进行全网查杀之后,上述两种勒索病毒感染的情况未再复现。针对此案例火绒工程师建议,企业网络应该全网部署合格的企业安全软件,并尽量修补漏洞,如果不能保证所有电脑的终端都及时修补漏洞,则需要使用安全软件的"漏洞攻击拦截"功能及相关日志,寻找、处理感染源。编辑于 2018-06-29 18:09勒索病毒网络安全法律赞同 5725 条评论分享喜欢收藏申请转载文章被以下专栏收录火绒安全-1.7
%³��
3 0 obj <> endobj 13 0 obj <> endobj 15 0 obj <>
stream
x�흽�����} ���L|�M��\�I�f�����n���,�M3��i8�W�` �&X`��� E����_$Q���7��~�~~Lɇ����!��E�ק���?�<�~���i�� ��+�!��� ����;}��N K��k�I�G�����r[ `_}��k���?~�/�- ��_ϑ�A�y�