2021年12月30日
本文主要闡述勒索攻擊已發展成為分工明細的產業化犯罪趨勢，用戶應予以重視并及時防護。更多關于勒索攻擊的分析和防護建議，請持續關注。
早期的勒索攻擊多半是攻擊者從編寫勒索病毒到投放勒索病毒一條龍完成的，但如今的勒索攻擊已發展成為分工明細的產業化犯罪活動。
一次完整的勒索攻擊鏈條里，或者說在一個勒索攻擊犯罪團伙，一般會有多種分工角色。不同攻擊活動間又有很大差異，有的攻擊中同一個人或同一個組織會扮演多重角色；也有攻擊中分工會更細致。分工確實成為勒索攻擊犯罪活動的顯著特點，特別是出現了RaaS（Ransomware as a Service，勒索即服務）這種模式化的新犯罪活動，將勒索攻擊轉變為“商業服務行為”，通過會員、訂閱或定制，向其他“攻擊者”售賣勒索攻擊相關服務。RaaS的出現，不僅降低了勒索攻擊的準入門檻（甚至無需任何網絡攻防技術與知識即可發起攻擊），也增加了勒索攻擊的防護難度，特別是帶來了巨大的“內鬼”作案風險。
▲ 勒索攻擊犯罪鏈條中的角色分工
1. 勒索軟件開發方： 主要負責勒索攻擊中軟件、工具、生成器等相關能力的開發，是整個攻擊中的上游制毒者。
在RaaS模式中，除了勒索攻擊能力的相關標品開發，也接受勒索攻擊能力的相關定制開發；主要通過地下平臺或“暗網”，實現勒索軟件的定制。
2. 勒索攻擊行為發起方： 是實現把勒索軟件定向投放到受害場景的行為角色。其有可能是一個個體，也可能是一個由組織者和執行者組成的團伙。
2.1 組織者： 通過合作分成的方式，組織開發者開發/定制勒索軟件或勒索服務平臺（RaaS，勒索即服務）；聯合渠道商傳播勒索軟件；串聯代理商與受害者獲得聯系獲取贖金等。
2.2 執行者： 勒索攻擊實施階段的重要節點事務執行，主要包括：系統入侵、勒索部署、竊密加密、勒索贖金等。
3. 勒索攻擊中的渠道方： 勒索攻擊可能是攻擊者定向發動的，也可能與其他的一些掌握肉雞資源的犯罪組織合作。例如常見的方式是利用僵尸網絡大規模發送釣魚郵件，譬如此前全球最大的僵尸網絡Necurs（于2020年3月11日由微軟宣布被搗毀），以及目前仍在活躍且較知名的Mirai、Gafgyt、Mozi等。基于傳播次數，僵尸網絡仍是目前勒索軟件的主要傳播渠道。
4. 勒索攻擊中的代理方： 主要負責拓展和助攻勒索贖金繳納的成功率；與勒索發起方同樣是合作分成收益關系，還有的本身就是和攻擊者沆瀣一氣的團伙成員。代理方一般會通過網絡關鍵詞、多媒體、信息流等廣告宣傳，聲稱自己能夠解密各類勒索攻擊加密的文件。但實際存在多種情況：有的是利用受害者不知道如何使用虛擬貨幣交易，賺取手續費；有的則是利用相關事件，來詐騙勒索受害者。此前我國公安部門就曾打擊掉一家以數據恢復為名義，實際上和勒索攻擊勾結的所謂“數據恢復公司”。
值得警惕的新角色“內鬼”：
當前政企機構要警惕的是在勒索即服務全面降低了勒索攻擊門檻后，內鬼對自身所在單位進行勒索攻擊的風險會提升，需要增加預防。
值得一提的是，勒索攻擊產業化、鏈條化后，勒索犯罪團伙時刻都在與安全工作者們隔空對抗，試圖找到更多繞過安全機制的方法。這也是防護能力需要持續升級改善的根本原因。安全有效性從不會一勞永逸，而需要持續安全運營。
勒索攻擊的分工鏈條化，增加了攻擊的能力和隱蔽性。從政企機構網絡客戶角度，構建有效防御體系才能更好應對日趨復雜的勒索攻擊，做好防患未然。從社會治理角度看，推動有效治理僵尸木馬蠕蟲，削弱勒索攻擊的分發能力；對勒索攻擊活動進行持續跟蹤分析溯源，形成國際協同的司法打擊能力，都是工作抓手。特別是要倡導，在遭遇勒索攻擊成功的情況下，堅決不交贖金的理念，面對犯罪活動不妥協，就是對正義的支持。
▲ 終端防護系統防御勒索病毒原理示意圖
針對勒索攻擊構建了“五層防御，兩重閉環”的防護解決方案。五層防御即系統加固、（主機）邊界防御、掃描過濾、主動防御、文檔安全五個防御層次，兩重閉環是EPP（端點防護）實時防御閉環，和EDR（端點檢測和響應）準實時/異步防御閉環。
終端防御系統防護勒索病毒的機理表 | |
防護層級 | 技術原理 |
系統加固 | 通過基線和補丁檢查功能，實現對系統配置脆弱點的檢查修補、補丁加固和系統自身安全策略調整等，從而減少包括開放端口、弱口令、不必要的服務等勒索攻擊的暴露面，削弱漏洞利用的成功率。 |
（主機）邊界防御 | 通過分布式主機防火墻和介質管控功能，攔截掃描、入侵數據包，阻斷攻擊載荷傳輸，攔截U盤、光盤等插入自動運行，使勒索攻擊難以獲得主機入口。 |
掃描過濾 | 基于安天AVL SDK反病毒引擎對文件對象、扇區對象、內存對象、注冊表數據對象等進行掃描，判斷檢測對象是否是已知病毒或者疑似病毒，從而實現精準判斷查殺。 |
主動防御 | 基于內核驅動持續監控進程等內存對象操作行為動作，研判是否存在持久化、提權、信息竊取等攻擊動作，判斷是否存在批量讀寫、刪除、移動文件或扇區等操作，并通過文件授信（簽名驗證）機制，過濾正常應用操作動作以降低誤報。 |
文檔安全 | 依靠部署多組誘餌文件并實時監測，誘導勒索病毒優先破壞，達成欺騙式防御效果。采用多點實時備份機制，即使正常文檔被加密也可快速恢復。 |
文字來源：安天
江蘇國駿-打造安全可信的網絡世界
為IT提升價值
http://www.jewellerybykaren.com/
免費咨詢熱線：400-6776-989
關注公眾號
獲取免費咨詢和安全服務