有安全专家在接受Security 419采访时指出，勒索病毒攻击将是信息世界的长期威胁。根据Resecurity发布的报告，预计到2031年，全球勒索病毒勒索活动将达到2650亿美元，全球企业损失总额将达到10.5万亿美元。这些指标表明，勒索软件造成的成本损失将超过自然灾害造成的损失。
之前我们回顾了2022年第一季度的敲诈攻击事件，站在三大敲诈组织的角度。今天，我们仍然对Lapsus$勒索组织犯下的案件印象深刻，这些案件总是成为安全头条。今天我们换一个视角，梳理第二季度全球勒索攻击情况，最后给出系统的防范和应对建议。
不断地同围剿和反围剿作斗争。
为了躲避检测，勒索软件通常要不断修改升级。第二季度，安全机构和媒体公开报道的改装升级事件实在太多，甚至无法一一展示。这也表明对抗正在升级。也有迹象表明，各种勒索软件正在转向Rust编程语言，作为一种专注于安全的编辑语言，这将使病毒程序的逆向分析变得复杂。铁锈还有一个好处，就是效率高。
当然，安全机构会不断升级安全软件的检测能力，这也将是一场旷日持久的正邪对决。
锁勒索组织已于6月完成升级，LockBit 3.0的持续优化阻碍了安全软件的检测能力。同时，他们还提出了首个勒索软件的“赏金计划”。如果有人能发现勒索软件的漏洞和脆弱性，可能会获得甚至高达数百万美元的奖励。当然，如果真的有人要拿这个赏金，至少会触犯我国的相关法律。
研究表明，勒索软件本身的漏洞确实存在。第二季度，对几种流行的勒索软件进行研究发现，它们都存在一定的安全问题，这有利于防止攻击的最后也是最具破坏性的一步，即文件加密。安全研究人员指出并证明了病毒样本容易受到DLL劫持攻击。在真实的对抗场景中，可以将dll放在“重要位置”。一旦加载了漏洞攻击DLL，勒索病毒进程就会在数据加密操作开始之前终止。
南韩的网络安全机构KISA最近也发布了免费的Hive勒索软件v1到v4版本的加密解密器。加密器还包括一个用户手册，免费提供恢复加密数据的分步说明。Hive是全球活跃的勒索软件之一。据悉，解密器的能力来自于研究人员发现了Hive勒索软件加密算法的一个漏洞。第二季的免费解密器不仅仅是这个例子，需要知道的是，免费解密器只在一定时间内有效。
攻世不分国界。
之前关于勒索软件攻击的报道更多的是一些国际品牌被勒索，会给人一定的错觉。勒索病毒攻击真的是区域性的吗，针对中国的勒索病毒攻击很少吗？事实上，在2022年第二季度，安全419就被曝出多次针对国内企业的勒索病毒攻击，其中包括一家大型跨国制造公司和中小型商业企业。
但是，都有不同的结局。借助安全厂商提供的安全基线建设，大厂快速响应，短时间内有效恢复业务系统和生产数据，保证业务生产的连续性，对跨国业务影响几乎为零。而对于没有安全基线建设的企业来说，在勒索攻击病毒已经发出后，临时参与应对的安全企业能做的并不多。
容灾解决方案提供商CloudWonder Jiayun向安全419表示，随着近年来勒索攻击的逐渐泛滥，针对大部分线上业务、生产系统等场景的容灾解决方案也可以为企业提供勒索的快速恢复，其优势是比数据备份更具时效性和更快的业务恢复能力。
一家保险科技公司的安全专家向安全419解释，勒索攻击也是国内常见的网络安全威胁，公开报道的多是国外企业，主要是因为国内没有实行网络安全公开制度，企业方通常不会主动公开，所以存在勒索软件在国内很少被攻击的错觉。
勒索软件攻击是一个全行业的威胁。
4月，意大利某奢侈时尚品牌证实，2021年8月的大规模IT系统中断源于有针对性的勒索攻击。
德国安德公司是世界上最大的风力涡轮机制造商之一，2021年的年销售额接近60亿美元。由于4月初的勒索攻击，该公司被迫关闭了几个IT系统。随后，康迪勒索软件团伙宣称对此次袭击负责。
一个名为Black Basta的新勒索软件在4月的几周内入侵了至少12家公司，其中一家公司被要求支付200万美元，否则被盗数据将被泄露。此外，美国牙科协会也可能是这一组织攻击的受害者。研究人员对病毒样本的分析表明，这可能是一个新的勒索组织，但其勒索后的谈判风格与康蒂相似。
5月初，哥斯达黎加政府多个部门遭到康迪勒索病毒攻击，哥斯达黎加政府总统宣布国家进入紧急状态。在这次袭击中，数百克文件被盗，并索要1000万美元赎金。据悉，哥伦比亚政府选择拒绝支付赎金。另据报道，攻击始于4月，并在哥伦比亚造成广泛影响，如多个政府系统不可用。
5月初，可口可乐公司官方发布声明回应称，公司相关网络遭到攻击，目前正在进行调查。勒索团伙Stormous声称对此次攻击负责，称其成功侵入公司服务器，窃取了161GB数据。
2022年5月，拥有157年历史的林肯学院宣布关闭，其中最重要的原因被归结为勒索软件攻击。据校方披露，去年12月的勒索病毒攻击导致学校重要数据被加密，系统无法使用。因此，招生工作和网上教学无法正常进行。学校的公告显示，他们直到今年3月才从袭击中完全恢复，5月学校宣布将永久关闭。
5月，又发生了针对国家重要信息系统的勒索病毒攻击。赞比亚银行对Hive的勒索软件攻击做出了激烈的回应，明确拒绝支付赎金。可以预见，有底气的应对通常来自良好的安全能力建设。
这家媒体巨头于5月13日通过其位于新加坡的总部遭到了勒索软件的攻击。该公司的公告显示，他们在第一时间检测到了攻击，并做出了回应。例如，评估称，没有迹象表明数据被攻击者窃取。
5月下旬，富士康确认墨西哥的一家生产工厂受到勒索软件攻击的影响。该公司没有提供任何对此次攻击负责的组织的信息，但LockBit勒索软件团伙声称对此负责。公告显示工厂正逐渐恢复正常。对业务运营的干扰将通过容量调整来解决。
6月初，意大利南部的巴勒莫遭遇网络攻击。据当地媒体报道，受影响的系统包括公共视频监控管理，市警察行动中心和市政府的所有服务。事件发生几天后，Vice Society勒索软件组织声称对此次网络攻击负责，并威胁称，如果不支付赎金，将泄露政府数据。
6月中旬，非洲最大的连锁超市Shoprite Holdings成为勒索攻击的受害者。名为RansomHouse的勒索软件团伙事后声称对此次攻击负责，并公布了一份被盗的600GB数据样本。
6月，总部位于日本的汽车零部件制造商Nichirin报告称，一家美国子公司遭到勒索软件攻击，导致其业务系统紧急关闭，其区域业务已转移至人工生产和运输，从而避免了零部件供应业务的关闭。
6月底，巴西最大的零售商之一Fast Shop因遭到敲诈，暂时关闭了自己的网店。攻击者还接管了该公司的Twitter账户，并发表声明称，在过去的72小时内，他们在访问了Fast Shop的AWS、Azure、GitLab和IBM Cloud上的数据库后，窃取了网站/应用源代码以及有价值的用户和公司数据。
以上仅展示了有代表性的勒索病毒攻击。事实上，全球数百起勒索病毒攻击在第二季度被公开披露。他们遍布各行各业，除非没有任何现代化的信息化建设，否则没有一个行业能够幸免于勒索病毒的攻击。
一些安全机构的研究人员跟踪了几个著名的勒索组织，他们在一份报告中披露了相关数据。仅在4月份，Lockbit 2.0的受害企业就达到了103家，康帝为45家。由国际法联合执行的勒索组织也卷土重来，攻击的受害者在短时间内迅速达到21人。根据最新的信息，这个数字只是在4月份。证据显示，仅上半年，Lockbit 2.0就显示了420名受害者，这还只是公开披露的数字，真实总数还要更多。
支付赎金的意义
有分析公司认定2021年支付的赎金已经超过6.02亿美元，其中只有1.8亿美元支付给了孔蒂的家人，但报告认为实际数据可能比记录的数据还要高。另一个数据也支持这一点。美国金融犯罪执法网络表示，在去年的6个月期间，共发现了约52亿美元的比特币交易，这些交易可能与敲诈支付有关。
企业网络安全建设不好，已经不是会不会发生勒索攻击的问题，更像是一种寄生关系。勒索组织可以随时吸企业的“血”。
然而，关于支付赎金，Check Point的一份报告显示，支付赎金作为对抗勒索软件攻击的最后妥协，仅占勒索软件攻击企业总成本的15%。
报告认为，当勒索攻击发生时，企业在评估是否支付赎金时，会同时采取一系列措施进行应对，如聘请第三方安全公司查找并删除恶意软件，并根据现有的安全基线，尝试重新启动中断的业务和一系列事件响应和补救程序。同时，还有很多来自法律层面的问题需要处理。
报告提出了一个观点，即即使该组织支付了赎金，也无法避免进一步的经济损失。重要的是，使用来自攻击者的解密密钥来恢复系统通常比使用备份要慢。
前段时间，对一个全新的Onyx勒索软件的研究表明，它会通过用垃圾数据覆盖来故意破坏大于2MB的文件。研究人员表示，在其恶意行为下支付赎金将毫无意义。在研究人员披露这一信息之前，Onyx已经宣布了六名受害者。随后的信息显示，勒索软件纠正了这种“错误”的做法，推出了新的Onyx变种。
它们永远不会真正灭绝。
Lapsus$勒索软件在第一季度大放异彩，但在第二季度，它们似乎已经销声匿迹。然而，在数百次攻击中，我们仍然发现了可以推敲的线索，该组织仍然活跃。
在可口可乐的勒索攻击中，Stormous勒索组织曾在当时的社交媒体上投票“谁是下一个受害者”。除了可口可乐，名单中还包括丹纳赫商业集团、通用航空空和其他大型企业。事实上，Lapsus$勒索组织此前已经在社交媒体上发布了一份公开投票，公开威胁要披露沃达丰被盗数据。
两个勒索组织在受害者的选择和勒索威胁的手段上高度相似，比如主要是窃取数据或者最后作秀式的勒索风格，这不免让人认为两者之间存在一定的联系。
在此之前，孔蒂勒索组织已经宣布，由于多种原因，该组织正式停止运作，RaaS基础设施将被关闭。报道称，孔蒂勒索组织的大部分成员会去各种小型勒索组织，少数忠于孔蒂品牌的人可能会继续单干，以孔蒂的名义发动袭击。事实上，孔蒂已经活跃了很长时间，他们仍然是最具威胁的勒索组织。
还有安全方面的报道称，康迪正在与多家知名勒索软件运营商合作，包括HelloKitty、AvosLocker、Hive、BlackCat、BlackByte等。这些勒索组织最近也很活跃。
第二季度，有证据表明，Clop勒索组织也卷土重来，同时安全研究人员发现，同样被执法部门逮捕的REvil勒索组织有“卷土重来”的趋势。
有评论说，那些罪行众多的敲诈勒索组织不会真的消失，只会以品牌换标的形式卷土重来，继续作恶。
避免成为勒索攻击的受害者。
针对勒索攻击，我们总结了以下建议:交换总结结果)。
● 1.企业的不断壮大和新技术的广泛应用，进一步加剧了安全风险和暴露。鉴于安全的日益重要，设立专职岗位负责全面的IT安全风险管理，是以勒索攻击为首的网络安全建设的重要前提；
● 2.在现实的勒索案件中，绝大多数的勒索攻击都是员工有意识的疏忽造成的。企业一方面要系统地进行安全意识培训，同时针对具体的安全事件进行日常演练，最大限度地减少攻击发生时企业的生产经营损失；
● 3.同时，安全意识要延伸到企业外部，这对于大型制造行业尤为重要。比如企业将IT运维承包给第三方机构，涉及庞大供应链中的任何一个环节。可以以安全合同为抓手，建立安全责任制，加强外部安全风险管理；
● 4.安全基线至关重要。利用专业安全厂商提供的防御和检测产品，为勒索病毒设置诸多障碍，可以将被勒索病毒攻击的可能性降低80%以上。其中，终端安全是重中之重。大量案例证明，尤其是在中国，终端安全的缺失是勒索加密的主要原因。基线安全产品或服务以威胁信息建立防御机制，这也是应对勒索组织变化趋势的有力抓手；
● 5.勒索攻击最终指向系统、应用和数据。对于数字经济时代的我们来说，如何让数据在各个业务线安全流通，已经成为当务之急。《数据安全法》催生了数据安全产业的快速发展。以数据保护为出发点，是应对勒索攻击的可行方案。
● 6.产品服务的趋势。企业限于缺乏专业的运维人员来管理网络安全，即使部署了安全产品也没有得到有效利用。这是一个普遍存在的问题。大中型企业还是可以自己解决问题的，尤其是小企业。现在安全企业已经注意到这个问题，安全托管服务可以帮助企业解决这个问题。
● 7.企业应该意识到，定向勒索攻击造成数据加密，目前技术上无法恢复。他们应该立即开始数据备份，并加强数据备份的隔离加密，以始终保持备份数据的高可用性。对于生产运营企业来说，为了追求业务的持续运营，容灾备份解决方案成为了他们的最佳选择，可以在保证数据高可用的前提下，支持系统的异地快速再生。
● 8.勒索攻击对企业造成的损失程度不尽相同。为了避免全军覆没，可以考虑从网络安全保险这一边切入防范。网络安全保险在国外已经比较成熟，在国内的发展还处于起步阶段，但未来应用趋势明显。
#网络安全#
