股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
年關(guān)將至，惡意猖獗，這3大勒索病毒一定要當心！
發(fā)布時間 ：2023年11月28日
類型 ：勒索軟件
分享：
年關(guān)將近，黑客攻擊愈發(fā)猖獗，勒索攻擊越發(fā)頻繁猛烈。近日，亞信安全截獲了多只新型勒索病毒，這些勒索病毒具有比較典型的特征。為了便于用戶借鑒及排查內(nèi)網(wǎng)安全隱患，我們整理了病毒通告，為用戶敲響警鐘，預(yù)防勒索攻擊事件發(fā)生，保護用戶財產(chǎn)免受損失，避免用戶因數(shù)據(jù)泄露而帶來的名譽損失。
全球勒索攻擊屢創(chuàng)新高
11月初，某知名金融機構(gòu)在官網(wǎng)發(fā)布聲明稱，其遭受勒索軟件攻擊，導致部分系統(tǒng)中斷。
11月10日，澳大利亞第二大港口運營商環(huán)球港務(wù)集團聲稱，其發(fā)現(xiàn)“系統(tǒng)遭到入侵”，并于下午關(guān)閉港口，采取切斷網(wǎng)絡(luò)等行動，阻止未經(jīng)授權(quán)的訪問。
目前，勒索軟件攻擊已經(jīng)成為各種規(guī)模、不同行業(yè)的企業(yè)機構(gòu)所面臨的主要威脅，大多數(shù)行業(yè)已將勒索軟件列為三大威脅之一。企業(yè)因勒索軟件而遭受的損失也在增加，而金錢損失只是勒索軟件影響的一部分除了成本外，企業(yè)組織還面臨業(yè)務(wù)停機、聲譽受損以及客戶信任度下降等風險。
眾多惡意威脅屢禁不止，這其中CACTUS勒索病毒、Akira勒索病毒、Blackbit勒索病毒在2023年尤為活躍，通過暴力破解、遠程控制等手段侵入系統(tǒng)，加密主機上的文件，并勒索高額的贖金。
3大勒索病毒詳細分析
CACTUS勒索病毒
CACTUS勒索病毒于2023年3月開始持續(xù)活躍，其利用Fortinet VPN的已知漏洞進行入侵（在調(diào)查的所有事件中，黑客都是從擁有VPN服務(wù)帳戶的VPN服務(wù)器轉(zhuǎn)而進入內(nèi)部的）。獲取初始訪問權(quán)限后，攻擊者使用Netscan、PSnmap的修改版本對域內(nèi)機器進行網(wǎng)絡(luò)掃描，通過各種合法工具，遠程軟件進行控制。利用有效賬戶通過RDP進行橫向移動。為了規(guī)避檢測，該勒索通過7 zip加密自身，并通過常用軟件GUID來定向卸載殺毒軟件。
該勒索加密后綴為：.CTS1 / . CTS6，加密勒索信：CACTUS. readme . txt。
【CACTUS勒索信】
Akira勒索病毒
Akira勒索于2023年3月出現(xiàn)，其主要針對企業(yè)進行攻擊。據(jù)安全媒體報道，其攻擊目標包括教育、金融、房地產(chǎn)、制造業(yè)和咨詢業(yè)。該勒索不僅攻擊Windows系統(tǒng)，還通過添加Linux加密器，針對 VMware ESXi 虛擬機進行攻擊。
【Akira發(fā)現(xiàn)時間線】
該勒索的初始入侵可能利用了 Cisco VPN （失陷賬戶），或者是遠程控制軟件濫用，其中包括RustDesk/Anydesk遠程桌面。RustDesk是首次發(fā)現(xiàn)被利用，其可以在 Windows，macOS 和 Linux 上跨平臺操作，涵蓋了 Akira 的全部目標范圍。被勒索加密后的文件，其后綴為. Akira。
【Akira勒索信】
BlackBit勒索病毒
BlackBit勒索家族通常是利用RDP暴力破解獲取對目標機器的初始訪問權(quán)限。RDP暴力破解（RDP brute force）是指攻擊者使用自動化工具或腳本，嘗試使用各種可能的用戶名和密碼組合登錄遠程桌面協(xié)議（Remote Desktop Protocol, RDP）服務(wù)的過程。攻擊者通過嘗試多個用戶名和密碼組合，來獲取未經(jīng)授權(quán)的訪問權(quán)限，然后進一步入侵受害者的系統(tǒng)或網(wǎng)絡(luò)。
攻擊者可以使用多種方式進行RDP暴力破解攻擊，例如使用常見的用戶名和密碼列表，或使用字典攻擊工具自動生成密碼組合。這種攻擊方式對于那些使用弱密碼或默認憑據(jù)的系統(tǒng)來說尤其危險，因為攻擊者可以很容易地通過RDP暴力破解來獲取訪問權(quán)限。一旦BlackBit 勒索軟件成功進入系統(tǒng)，它會加密主機上的文件，并勒索高額的贖金。
【BlackBit攻擊流程】
BlackBit勒索家族加密文件的新名稱格式為“[攻擊者郵件地址][唯一系統(tǒng) ID][原始文件名].BlackBit”，創(chuàng)建名為“info.hta”和“Restore-My-Files.txt”的勒索信息文件。
【BlackBit勒索信】
亞信安全解決方案
截止目前，亞信安全新一代終端安全TrustOne、云主機安全DeepSecurity、高級威脅監(jiān)測系統(tǒng)TDA等產(chǎn)品已經(jīng)全面支持檢測本次報告中提及的勒索家族。
新一代終端安全TrustOne
亞信安全新一代終端安全TrustOne，實現(xiàn)可持續(xù)不間斷發(fā)現(xiàn)、評估組織類可被黑客利用的薄弱環(huán)節(jié)，并顯性化、危險指數(shù)量化這些薄弱點，通過攻擊面管理提供的各項緩解功能，在攻擊發(fā)生前快速修復(fù)。此外，針對勒索攻擊的每個階段，以及不同的攻擊手段，TrustOne通過威脅情報、攻防對抗、機器學習、檢測響應(yīng)等能力，從終端文件、性能、進程、行為等多維度來評估網(wǎng)絡(luò)中存在的已知、未知攻擊風險，并利用TrustOne自身構(gòu)建自適應(yīng)框架體系，快速、有效地防護勒索攻擊。
云主機安全DeepSecurity
亞信安全信艙(DeepSecurity)基于多云環(huán)境的需求，為用戶構(gòu)建統(tǒng)一多云檢測與防護平臺，將云上安全視野及安全能力從工作負載擴展到多云環(huán)境，從物理機到容器，從云上到云下，提供一致的安全防護策略。DS全面支持業(yè)內(nèi)主流公有云平臺、私有云環(huán)境、虛擬化平臺，并兼容主流主機操作系統(tǒng)，全面覆蓋了CWPP模型各層級的技術(shù)要求；基于自研核心引擎的高效能力，DS能夠有效識別并處置挖礦及勒索等惡意風險和攻擊。
高級威脅監(jiān)測系統(tǒng)TDA
亞信安全信桅高級威脅監(jiān)測系統(tǒng)（TDA），是一款360度的高級威脅檢測產(chǎn)品，可掌握全網(wǎng)絡(luò)的流量來偵測并響應(yīng)高級威脅與未知威脅。其獨特的偵測引擎加定制化沙箱動態(tài)模擬分析，能夠為用戶提供更全面的網(wǎng)絡(luò)威脅偵測，快速發(fā)掘并分析包括，惡意文檔、惡意軟件、惡意網(wǎng)頁、違規(guī)外連以及傳統(tǒng)防護無法偵測到的內(nèi)網(wǎng)攻擊以及定向式攻擊活動。目前信桅產(chǎn)品已經(jīng)廣泛應(yīng)用于政府、金融、能源、交通等重點行業(yè)，為企業(yè)用戶提供了高級威脅治理的安全系統(tǒng)/環(huán)境。
亞信安全建議
√全面部署安全產(chǎn)品，保持相關(guān)組件及時更新；
√及時修復(fù)系統(tǒng)及應(yīng)用軟件漏洞；
√不要點擊來源不明的郵件、附件以及郵件中包含的鏈接；
√請到正規(guī)網(wǎng)站下載程序；
√采用高強度的密碼，避免使用弱口令密碼，并定期更換密碼；
√盡量關(guān)閉不必要的端口及網(wǎng)絡(luò)共享；
√請注意備份重要文檔。備份的最佳做法是采取3-2-1規(guī)則，即至少做三個副本，用兩種不同格式保存，并將副本放在異地存儲。
分享到微信
X