近年來(lái)，勒索軟件持續(xù)占據(jù)新聞?lì)^條。為了謀取利益，攻擊者開(kāi)始以各種類型的組織為目標(biāo)——從醫(yī)療保健和教育機(jī)構(gòu)到服務(wù)提供商和工業(yè)組織——幾乎影響到我們生活的方方面面。2022年，卡巴斯基解決方案檢測(cè)到超過(guò)7420萬(wàn)次勒索軟件攻擊嘗試，比2021年(6170萬(wàn))增加了20%。盡管2023年初勒索軟件攻擊數(shù)量略有下降，但它們卻表現(xiàn)得更加復(fù)雜，且更具針對(duì)性。
(資料圖片)
時(shí)值全球反勒索軟件日(5月12日)，卡巴斯基回顧了2022年影響勒索軟件格局的事件以及去年預(yù)測(cè)的趨勢(shì)，討論了新興趨勢(shì)，并對(duì)不久的將來(lái)進(jìn)行了預(yù)測(cè)。
2022年勒索軟件報(bào)告回顧去年，卡巴斯基詳細(xì)討論了三個(gè)趨勢(shì)：
威脅行為者試圖開(kāi)發(fā)跨平臺(tái)勒索軟件，使其盡可能具有適應(yīng)性;勒索軟件生態(tài)系統(tǒng)正在進(jìn)化，變得更加“工業(yè)化”;勒索軟件團(tuán)伙在地緣政治沖突中戰(zhàn)隊(duì);這些趨勢(shì)一直持續(xù)至今。去年的報(bào)告發(fā)布后，研究人員還偶然發(fā)現(xiàn)了一個(gè)新的多平臺(tái)勒索軟件家族RedAlert/N13V，它主要針對(duì)非Windows平臺(tái)，支持在ESXi環(huán)境中阻止虛擬機(jī)，清楚地表明了攻擊者的目標(biāo)。
另一個(gè)勒索軟件家族LockBit顯然更為先進(jìn)。安全研究人員發(fā)現(xiàn)了一個(gè)檔案，其中包含了針對(duì)一些不太常見(jiàn)的平臺(tái)(包括macOS和FreeBSD)以及各種非標(biāo)準(zhǔn)處理器架構(gòu)(如MIPS和SPARC)的惡意軟件測(cè)試版本。
至于第二種趨勢(shì)，研究人員看到 BlackCat在年中調(diào)整了TTP。他們用看起來(lái)像被入侵組織的名稱注冊(cè)了域名，建立了類似“Have I Been Pwned-like”這樣的網(wǎng)站。受害組織的員工可以使用這些網(wǎng)站來(lái)檢查他們的名字是否出現(xiàn)在被盜數(shù)據(jù)中，從而增加了受影響組織支付贖金的壓力。
盡管研究人員去年發(fā)現(xiàn)的第三個(gè)趨勢(shì)是勒索軟件組織在地緣政治沖突中有意偏袒一方，但這并不只適用于他們。有一個(gè)特殊的樣本：一個(gè)名為“Eternity”的惡意軟件。其開(kāi)發(fā)者聲稱該惡意軟件被用于地緣政治沖突后，研究人員的研究表明，圍繞 Eternity存在一個(gè)完整的惡意軟件生態(tài)系統(tǒng)，包括一個(gè)勒索軟件變體。文章發(fā)表后，開(kāi)發(fā)者確保該惡意軟件不會(huì)影響烏克蘭用戶，并在該惡意軟件中包含一條親烏克蘭的消息。
【惡意軟件開(kāi)發(fā)者警告不要在烏克蘭使用他們的惡意軟件】
【惡意軟件代碼里存在親烏克蘭的信息】
影響2022年勒索軟件格局的因素勒索軟件生生滅滅，其中一些在去年停止運(yùn)行，而另一些又出現(xiàn)了，這不足為奇。例如，研究人員報(bào)道了RedAlert/N13V、Luna、Sugar、Monster等勒索軟件的出現(xiàn)。然而，在2022年看到的最活躍的家族是BlackBasta。當(dāng)研究人員在2022年4月發(fā)布關(guān)于BlackBasta的初步報(bào)告時(shí)，只提到了一名受害者，但此后，受害者數(shù)量開(kāi)始急劇增加。同時(shí)，該惡意軟件本身也在迭代，增加了一種基于LDAP的自我傳播機(jī)制。后來(lái)，研究人員還發(fā)現(xiàn)了一個(gè)針對(duì)ESXi環(huán)境的BlackBasta版本，最近的版本甚至支持x64架構(gòu)。
如上所述，當(dāng)所有這些新團(tuán)體出現(xiàn)時(shí)，其他一些團(tuán)體(如REvil和Conti)就消失了。Conti是其中最臭名昭著的，自從他們的檔案被泄露到網(wǎng)上并被許多安全研究人員分析以來(lái)，他們一直備受關(guān)注。
最后，Clop等其他組織在去年加大了攻擊力度，并在2023年初達(dá)到了頂峰，他們聲稱使用一個(gè)零日漏洞攻擊了130個(gè)組織。
有趣的是，在過(guò)去一年中，最具影響力和最多產(chǎn)的五大勒索軟件組織(根據(jù)其數(shù)據(jù)泄露網(wǎng)站上列出的受害者數(shù)量)發(fā)生了巨大變化。現(xiàn)已解散的REvil和Conti在2022年上半年的攻擊次數(shù)分別排在第二和第三位，在2023年第一季度被Vice Society和BlackCat所取代。2023年第一季度排名前五的其他勒索軟件組織是Clop和Royal。
【按公布的受害者數(shù)量排名前五的勒索軟件組織】
從事件響應(yīng)的角度來(lái)看勒索軟件去年，全球應(yīng)急響應(yīng)小組(GERT)處理了許多勒索軟件事件。事實(shí)上，這是他們面臨的頭號(hào)挑戰(zhàn)，盡管2022年勒索軟件的份額比2021年略有下降，從51.9%降至39.8%。
就初始訪問(wèn)而言，GERT調(diào)查的案例中有近一半(42.9%)涉及利用面向公眾的設(shè)備和應(yīng)用程序中的漏洞，例如未打補(bǔ)丁的路由器、Log4j日志實(shí)用程序的易受攻擊版本等。第二大類示例包括被盜帳戶和惡意電子郵件。
勒索軟件組織使用的最流行的工具幾乎每年都保持不變。攻擊者習(xí)慣使用PowerShell來(lái)收集數(shù)據(jù)，使用Mimikatz來(lái)升級(jí)權(quán)限，使用PsExec來(lái)遠(yuǎn)程執(zhí)行命令，或者使用Cobalt Strike等框架來(lái)進(jìn)行所有攻擊階段。
研究人員對(duì)2023年趨勢(shì)的預(yù)測(cè)當(dāng)回顧2022年和2023年初發(fā)生的事件，并分析各種勒索軟件家族時(shí)，研究人員試圖找出這個(gè)領(lǐng)域的下一個(gè)大事件可能是什么。這些觀察得出了三個(gè)潛在趨勢(shì)，研究人員認(rèn)為這些趨勢(shì)將影響2023年接下來(lái)的威脅格局。
趨勢(shì)1：更多嵌入式功能研究人員發(fā)現(xiàn)了一些勒索軟件組織在2022年擴(kuò)展了其惡意軟件的功能。其中，最值得注意的新增功能是自我傳播，無(wú)論是真的還是假的。如上所述，BlackBasta通過(guò)使用LDAP庫(kù)獲取網(wǎng)絡(luò)上可用計(jì)算機(jī)的列表來(lái)開(kāi)始自我傳播。
LockBit在2022年增加了所謂的“自擴(kuò)展”功能，為運(yùn)營(yíng)商節(jié)省了手動(dòng)運(yùn)行PsExec等工具的工作量。盡管研究人員證實(shí)，這只不過(guò)是一個(gè)憑證轉(zhuǎn)儲(chǔ)功能，并且在后來(lái)的版本中被刪除了。
不過(guò)，Play勒索軟件確實(shí)有一種自我傳播機(jī)制。它收集啟用了SMB的不同IP，建立與這些IP的連接，掛載SMB資源，然后自我復(fù)制并在目標(biāo)計(jì)算機(jī)上運(yùn)行。
最近，許多臭名昭著的勒索軟件組織都采用了自我傳播機(jī)制，這表明這種趨勢(shì)將持續(xù)下去。
趨勢(shì)2：驅(qū)動(dòng)器濫用濫用易受攻擊的驅(qū)動(dòng)程序達(dá)到惡意目的可能是老把戲了，但它仍然有效，特別是在殺毒(AV)驅(qū)動(dòng)程序上。Avast Anti-Rootkit內(nèi)核驅(qū)動(dòng)程序包含某些以前曾被AvosLocker利用過(guò)的漏洞。2022年5月，SentinelLabs詳細(xì)描述了驅(qū)動(dòng)程序中的兩個(gè)新漏洞(CVE-2022-26522和CVE-2022-206523)。這些漏洞后來(lái)被AvosLocker和Cuba勒索軟件家族利用。
殺毒驅(qū)動(dòng)程序并不是唯一被攻擊者濫用的驅(qū)動(dòng)程序。研究人員最近還發(fā)現(xiàn)了一個(gè)被勒索軟件攻擊者濫用的Genshin Impact反作弊驅(qū)動(dòng)程序，用于終止目標(biāo)設(shè)備上的端點(diǎn)保護(hù)。
驅(qū)動(dòng)器濫用趨勢(shì)還在繼續(xù)演變。卡巴斯基報(bào)告的最新案例相當(dāng)奇怪，因?yàn)樗环锨皟蓚€(gè)類別中的任何一類。合法的代碼簽名證書(shū)(如英偉達(dá)泄露的證書(shū)和科威特電信公司的證書(shū))被用來(lái)簽署惡意驅(qū)動(dòng)程序，該驅(qū)動(dòng)程序隨后被用于針對(duì)阿爾巴尼亞組織的wiper攻擊。wiper使用rawdisk驅(qū)動(dòng)程序直接訪問(wèn)硬盤(pán)。
趨勢(shì)3：采用其他家族的代碼以吸引更多的附屬機(jī)構(gòu)主流勒索軟件組織正在從泄露的代碼或從其他攻擊者處購(gòu)買的代碼中借用功能，這可能會(huì)改善他們自己的惡意軟件功能。
研究人員最近發(fā)現(xiàn)LockBit組織采用了至少25%的泄露的Conti代碼，并在此基礎(chǔ)上發(fā)布了一個(gè)新版本。像這樣的舉措使附屬機(jī)構(gòu)能夠使用熟悉的代碼，而惡意軟件運(yùn)營(yíng)商則有機(jī)會(huì)提高他們的攻擊能力。
勒索軟件團(tuán)伙之間的合作也導(dǎo)致了更高級(jí)的攻擊。各團(tuán)伙正在合作開(kāi)發(fā)尖端戰(zhàn)略，以規(guī)避安全措施并改進(jìn)攻擊。
這一趨勢(shì)導(dǎo)致了勒索軟件業(yè)務(wù)的興起，從而催生出更多更高質(zhì)量的黑客工具，進(jìn)一步降低了勒索軟件攻擊的準(zhǔn)入門(mén)檻，同時(shí)提高了勒索攻擊的復(fù)雜度和成功率。
結(jié)語(yǔ)勒索軟件已經(jīng)存在了很多年，并逐漸演變成復(fù)雜多變的網(wǎng)絡(luò)犯罪行業(yè)。威脅行為者一直在嘗試新的攻擊策略和程序，并不斷改進(jìn)任何可行的策略。勒索軟件現(xiàn)在可以被認(rèn)為是一個(gè)成熟的行業(yè)，我們預(yù)計(jì)短期內(nèi)不會(huì)有突破性的發(fā)現(xiàn)或游戲顛覆者。
勒索軟件組織將繼續(xù)通過(guò)支持更多平臺(tái)來(lái)最大化攻擊面。雖然對(duì)ESXi和Linux服務(wù)器的攻擊現(xiàn)在已經(jīng)司空見(jiàn)慣，但頂級(jí)勒索軟件組織正在努力瞄準(zhǔn)更多可能包含關(guān)鍵任務(wù)數(shù)據(jù)的平臺(tái)。這一趨勢(shì)的一個(gè)很好的例證是最近發(fā)現(xiàn)了一個(gè)示例，其中包含針對(duì)macOS、FreeBSD和非傳統(tǒng)CPU架構(gòu)(如MIPS、SPARC等)的LockBit勒索軟件的測(cè)試版本。
除此之外，攻擊者在其操作中使用的TTP將繼續(xù)發(fā)展，上述的驅(qū)動(dòng)程序?yàn)E用技術(shù)就是一個(gè)很好的例子。為了有效地應(yīng)對(duì)勒索軟件參與者不斷變化的策略，安全專家建議組織：
及時(shí)更新他們的軟件，以防止通過(guò)漏洞利用感染，這是勒索軟件參與者最常使用的初始感染媒介之一。
使用量身定制的安全解決方案來(lái)保護(hù)其基礎(chǔ)設(shè)施免受各種威脅，包括反勒索軟件工具、目標(biāo)攻擊保護(hù)、EDR等。
通過(guò)使用威脅情報(bào)服務(wù)，保持他們的SOC或信息安全團(tuán)隊(duì)對(duì)勒索軟件戰(zhàn)術(shù)和技術(shù)的了解是最新的。
標(biāo)簽：
