标签：勒索软件

勒索软件是一种恶意软件，旨在劫持您的系统或系统上的文件。勒索软件背后的基本概念非常简单。攻击者准备渗透到计算机硬盘驱动器并加密其中文件的有效负载。,下一步是找到一个漏洞——一个过时的软件、一个缺乏输入验证的命令字段，或者在暗网上可用的合法用户的凭证——并传递有效负载。一旦感染生效并且您无法访问您的文件，就会出现勒索赎金或加密货币的通知。有时袭击者出于政治动机，他们只想眼睁睁地看着受害者受苦。,勒索软件攻击可以追溯到 1989 年，但 2021 年和 2022 年是勒索软件攻击最臭名昭著的两年。我们发现 2021 年勒索软件攻击同比 增长93% ，并且这一趋势在 2022 年继续。,Medusa 僵尸网络作为基于 Mirai 的变体返回，带有勒索软件攻击,Medusa DDoS 僵尸网络是自 2015 年以来一直存在的 Medusa 恶意软件的进化形式。2023 年 2 月 7 日，有关 Medusa 新变种的消息浮出水面。新变种基于 Mirai 僵尸网络的源代码。该恶意软件现在具有勒索软件功能——它旨在查找和加密敏感文件。,新的 ESXiArgs 勒索软件版本阻止 VMware ESXi 恢复,ESXiArgs 是一种攻击 ESXi 管理程序的勒索软件。该勒索软件自 1 月以来一直活跃。自 2023 年 2 月 8 日起，勒索软件已更新为禁用 CISA 规定的 ESXi 恢复方法。,影响：超过 3000 个虚拟机受到影响。,英国严厉打击勒索软件行为者,2023 年 2 月 9 日，7 名俄罗斯国民被英国政府冻结资产并禁止旅行。这些人与 Conti 和 Ryuk 等组织实施的 149 次勒索软件攻击有关。,勒索软件攻击后奥克兰市系统离线,2023 年 2 月 8 日，奥克兰市遭到勒索软件攻击，不得不关闭所有数字业务。截至 2 月 10 日，系统正在重新上线，没有任何重大损失，911 调度和消防服务均未受到影响。,勒索软件骗子窃取了超过 300 万患者的医疗记录和个人信息,2023 年 2 月 10 日，来自加利福尼亚州的多个医疗团体向约 300 万患者发出通知，告知他们勒索软件攻击者可能在 2022 年 12 月发生的一次攻击中窃取了他们的医疗和个人信息。,影响： 300 万患者数据被盗,Play 勒索软件在其泄漏站点上列出了 A10 Networks,根据2023 年 2 月 11 日发布的消息，勒索软件组织 Play 在其泄密站点上添加了网络公司 A10 Networks。该组织声称它拥有大量个人和机密信息，以及技术文档和协议。在将受害者添加到他们的泄漏站点之前，该团伙获得了对 A10 Networks IT 系统的短暂访问权限。,对食品巨头都乐的网络攻击，暂时关闭了北美生产,都乐是美国农产品行业的主要参与者。据报道，在最近发生的一起勒索软件攻击安全事件中，都乐不得不停止其在北美的部门的生产。在 2023 年 2 月 10 日的一份声明中，该公司副总裁向零售商通报了这次袭击事件。这让人想起对美国最大的肉类供应商 JBS 的攻击，该公司不得不支付 1100 万美元的赎金才能使其系统恢复在线。,重大网络攻击损害了敏感的美国法警服务数据,美国法警局或 USMS 是一个备受瞩目的政府部门，负责保护联邦法官等事务。在勒索软件攻击之后，USMS 不得不暂时关闭其部分服务。据报道，该组织丢失了大量与联邦调查有关的信息。,距离 2023...

如今，网络上潜伏着如此多的安全威胁，很难全部跟上。从分布式拒绝服务 (DDoS) 攻击到网络钓鱼计划以及介于两者之间的一切，有很多事情需要担心。但是，您不想忽视的一个日益严重的安全威胁是勒索软件。,,勒索软件攻击不仅变得更加普遍，而且它们也变得更容易被全球黑客攻击。Emotet 是网络犯罪分子以创纪录数量使用的一种越来越流行的勒索软件包。通过了解 Emotet 是什么以及它是如何工作的，您可以采取必要的措施来保护您自己和您的数据。, Emotet：它是什么以及它是如何工作的？,Emotet 是一个恶意软件即服务 (MaaS) 软件包，它允许网络犯罪分子购买恶意软件并根据自己的喜好使用它来对付毫无戒心的受害者。MaaS 模型非常成问题，因为它允许那些原本不具备编码技能或知识的人发起攻击以访问危险的恶意软件。,通常，Emotet 通过电子邮件附件、网站下载甚至安装在设备上的宏代码进入受害者的设备。有时，Emotet 软件嵌入在其他应用程序下载中，并在勒索软件攻击启动之前闲置一个月或更长时间。但是，一旦启动，受害者就会收到赎金通知，说明设备上的所有文件都已被盗，并且需要支付赎金（通常以加密货币的形式）才能释放文件。,, 如何保护自己免受勒索软件的侵害,像 Emotet 这样的勒索软件攻击可能代价高昂，但好消息是有几种方法可以防止它们。由于勒索软件攻击通常是通过电子邮件附件和其他恶意下载进行的，因此对这些类型的附件保持谨慎可能会大有帮助。确保您和您的员工定期接受有关如何检测可疑电子邮件或附件迹象的培训，以避免意外下载勒索软件。,使用受信任的防火墙或其他安全软件也可以起到很大的作用，尤其是在下载文件之前警告您潜在的安全风险时。此外，如果您还没有将最敏感的数据托管在专用服务器上，那么现在是考虑进行转换的好时机。专用托管计划提供最佳安全功能（包括DDoS 保护、数据备份和现场物理安全），让您更加安心。,即使使用专用服务器主机作为第三方数据备份，也可以在很大程度上确保您最重要的文件和数据的副本存储在其他地方。这样，如果您最终成为勒索软件攻击的受害者，您将不会完全失去对这些文件的访问权限。, ,如今，网络上潜伏着如此多的安全威胁，很难全部跟上。从分布式拒绝服务 (DDoS) 攻击到网络钓鱼计划以及介于两者之间的一切，有很多事情需要担心。但是，您不想忽视的一个日益严重的安全威胁是勒索软件。,通常，Emotet 通过电子邮件附件、网站下载甚至安装在设备上的宏代码进入受害者的设备。有时，Emotet 软件嵌入在其他应用程序下载中，并在勒索软件攻击启动之前闲置一个月或更长时间。但是，一旦启动，受害者就会收到赎金通知，说明设备上的所有文件都已被盗，并且需要支付赎金（通常以加密货币的形式）才能释放文件。,

随着 IT 架构和网络威胁形势的发展，公司需要确保混合劳动力和企业资产的安全。这包括保护移动设备、网络、用户访问、物联网 (IoT) 设备和云设备。保护现代企业网络需要了解最新的网络威胁和网络安全趋势，例如 Gartner 的2022 年网络安全 7 大趋势中包含的那些。本文介绍了最新的网络安全趋势以及组织应如何准备保护自己免受威胁行为者的侵害。,, 网络威胁格局的演变,网络威胁形势和网络安全都在迅速变化，最近尤其如此。COVID-19 爆发促使企业业务运营和 IT 架构发生重大变化。网络威胁参与者已经利用了这些变化，将攻击针对远程访问、云计算和其他作为新安全现实的一部分采用的解决方案中的漏洞。,随着网络威胁形势的发展，许多企业安全团队都在努力跟上日益普遍和复杂的攻击。勒索软件感染、供应链攻击和多向量攻击等威胁正在上升，利用Log4j 漏洞等复杂攻击影响了包括亚马逊、思科和特斯拉在内的数百万公司。,随着组织适应应对最新威胁，网络威胁格局的演变对网络安全趋势产生了重大影响。,2022 年的一些主要网络安全威胁包括：, 勒索软件,勒索软件已成为近年来最常见和最明显的网络安全威胁之一。勒索软件恶意软件旨在加密系统上的文件并要求赎金以换取恢复对这些文件的访问所需的解密密钥。,近年来，随着网络威胁参与者改进其工具和技术，勒索软件威胁不断增长和演变。现代勒索软件攻击具有很强的针对性，需要数百万美元的赎金。这些攻击还演变为包含多种勒索手段，例如在加密数据之前窃取数据，并威胁进行分布式拒绝服务(DDoS) 攻击，从而为攻击者提供额外的筹码，迫使受害者满足赎金要求。,, 供应链漏洞,2020 年的 SolarWinds 黑客攻击是最近许多利用组织之间存在的信任关系的供应链攻击中的第一个。,攻击者可以通过多种方式利用企业供应链，包括：, 多向量攻击,勒索软件活动的演变突显了网络威胁参与者越来越多地转向多向量攻击的事实。勒索软件过去只专注于加密数据，现在包含数据盗窃、DDoS 和其他威胁。,对于网络威胁参与者来说，攻击活动中的主要挑战是获得对组织的高价值系统和数据的访问权限。一旦实现了这一目标，攻击者就可以通过使用此访问权限来实现尽可能多的目标，从而最大限度地提高其攻击的投资回报率。,,网络威胁形势和企业 IT 环境的快速变化意味着网络趋势变化迅速。以下是 2022 年的一些主要网络趋势。, 1、安全整合,从历史上看，企业安全架构是由众多旨在解决特定安全风险的独立安全解决方案构建的。这种方法的最终结果是一个复杂的、不连贯的安全架构，分析师被警报淹没，无法有效地监控和管理一系列解决方案和仪表板。此外，复杂的架构可能会因重叠的安全技术而造成安全漏洞和效率低下。,因此，公司开始转向安全整合，部署由单一供应商创建的安全平台。与拼凑而成的独立解决方案架构相比，这些整合的安全平台提供了更高的可见性、更高的效率和更低的总拥有成本 (TCO)。, 2、网状架构,安全架构造成的复杂性和安全漏洞促使 Gartner 将网络安全网格架构(CSMA) 定义为 2022 年的主要战略趋势之一。CSMA 的目标是为不同供应商的安全解决方案创建一种有效协同工作的方法，达到一定的安全目标。,为实现这一目标，Gartner 定义了四个描述关键安全目标的 CSMA 基础级别，包括：,通过采用符合 CSMA 标准的解决方案，组织可以缓解与由单点解决方案组成的安全架构相关的一些主要问题，并更好地实现核心安全目标。,, 3、开发者优先的安全性,生产应用程序中的漏洞是一个重大问题，新发现的漏洞数量每年都在增长。造成这种情况的主要驱动因素之一是安全性在历史上在开发过程中处于次要地位。由于专注于创建功能性应用程序和满足发布期限，因此通常在软件开发生命周期 (SDLC) 的测试阶段解决安全问题。,易受攻击的软件对其用户和制造商产生了许多影响，促使人们重新关注转移 SDLC 中的安全性。通过在规划过程中添加安全要求并将漏洞扫描和其他安全解决方案集成到自动化CI/CD 管道中，组织可以降低安全漏洞的成本和影响，同时将对开发时间表和发布日期的影响降至最低。, 4、云原生应用保护平台 (CNAPP),采用基于云的基础设施给组织带来了新的安全挑战，并使得部署以云为中心的安全解决方案成为必要。有效保护云环境需要云服务网络安全 (CSNS)、云安全态势管理(CSPM) 和云工作负载保护平台(CWPP) 解决方案。,云原生应用保护平台(CNAPP) 将所有这些云安全功能集成到一个单一的云原生解决方案中。通过将云安全集成到跨越整个应用程序生命周期的单一整体解决方案中，组织可以缩小云安全性和可见性差距，将云应用程序安全性转移到左侧，并简化云安全架构。, 5、托管服务的增加,网络安全行业正面临着严重的技能短缺，全球数百万个职位空缺。吸引和留住合格人员担任关键角色的困难导致企业安全团队人手不足，缺乏关键的安全能力和技能。,,近年来，公司越来越多地采用托管服务来解决人才短缺问题。托管检测和响应(MDR)、托管安全服务提供商(MSSP)、云网络即服务 (CNaaS)、VPN 即服务(VPNaaS) 和防火墙即服务(FWaaS) 产品是一些可用服务的示例.,除了缩小技能差距之外，这些托管服务还为组织提供了其他好处。解决方案经过专业配置和管理，与内部维护相同功能相比，可提供更大的可扩展性和更低的 TCO。此外，托管服务通常允许组织比内部可行更快地部署成熟的安全程序。, 6、最小权限访问,过多的特权是组织的常见安全问题。当员工的角色不需要时，他们会被授予管理员级别的权限。承包商、供应商和其他第三方合作伙伴具有访问某些公司资源的合法需求，并被授予不受限制的访问权限和潜在的特权帐户。以边界为中心的安全策略假定边界内的所有用户、设备和软件都是可信的，并且缺乏内部安全可见性和威胁管理。,这些过多的权限启用并加剧了安全事件，并导致了零信任安全模型的发展。零信任模型实现了最小权限原则，仅授予用户、设备或应用程序执行其角色所需的权限。每个访问请求都会根据这些访问限制逐个进行评估。,公司越来越多地采用零信任和最小特权来管理安全风险并遵守日益严格的监管要求。通过这样做，他们可以更好地了解合法用户和潜在威胁如何使用他们的网络和资源，以及识别和阻止潜在攻击并管理其对组织的影响的能力。,, 7、混合数据中心,本地和基于云的基础架构都为组织提供了显着的好处。通过本地部署，组织可以更好地控制其数据和应用程序。另一方面，基于云的基础架构提供了更大的灵活性和可扩展性。,混合数据中心跨越本地和基于云的基础设施，并允许数据和应用程序在需要时在它们之间移动。采用混合数据中心使组织能够充分利用本地和云环境，并适应不断变化的业务需求。然而，有效和安全地实施混合数据中心需要跨本地和基于云的环境的全面、一致的可见性和安全性。, ,随着 IT 架构和网络威胁形势的发展，公司需要确保混合劳动力和企业资产的安全。这包括保护移动设备、网络、用户访问、物联网 (IoT) 设备和云设备。保护现代企业网络需要了解最新的网络威胁和网络安全趋势，例如 Gartner 的2022 年网络安全 7 大趋势中包含的那些。本文介绍了最新的网络安全趋势以及组织应如何准备保护自己免受威胁行为者的侵害。,随着组织适应应对最新威胁，网络威胁格局的演变对网络安全趋势产生了重大影响。,

“加密”一词通常具有积极的含义。毕竟，加密数据是保证数据安全的好方法。考虑到这一点，您会认为“双重加密”会更好……对吧？不幸的是，双重加密实际上是指数字空间中出现的一种新型勒索软件攻击。通过了解这种攻击的含义以及如何保护自己，您可以避免成为攻击的受害者。,, 什么是双重加密？,当两个不同的勒索软件组同时针对同一用户时，就会发生双重加密勒索软件攻击。发生这种情况时，受害者可能会偿还一组人，并期望他们的数据很快就会恢复。然而，一旦他们还清了第一个攻击者，他们就会知道他们的信息仍被第二方扣押以勒索赎金。,可以想象，在其中一种攻击之后恢复文件和其他受损信息变得比平时更加??复杂。双重加密攻击不仅存在数据被破坏的更大风险，而且取回您的信息也可能变得非常昂贵。, 你如何保护自己？,不幸的是，双重加密攻击的实例似乎正在上升，而且没有放缓的迹象。这意味着除非您采取积极措施来保护您的信息安全，否则您可能面临比以往更大的风险。,,那么，您可以遵循哪些网络安全提示来保护自己？首先确保可以访问您的在线托管平台的每个人都接受过有关发现勒索软件或恶意软件攻击迹象的教育。通常，当毫无戒心的受害者单击链接或打开来自未经验证的来源的文件附件时，就会发生这些事件。因此，一点点知识可以大有帮助。,如果您还没有这样做，现在也是确保定期备份数据的好时机。这样，即使您最终成为勒索软件攻击的受害者，您也将始终将重要文件和文档的副本存储在安全的第三方位置。这可以帮助您避免支付赎金费用并让您更加安心，因为您知道您有一份数据副本可以在紧急情况下恢复。,同时，为您的网站拥有一个可靠且安全的托管平台也可以发挥重要作用。与共享服务器和虚拟专用服务器 (VPS) 选项相比，专用服务器可提供最高级别的在线安全性，以降低您遭受常见网络威胁（包括勒索软件攻击）的风险。正确的专用托管计划甚至将包括安全功能，例如免费的分布式拒绝服务 (DDoS) 保护、数据备份等。, ,“加密”一词通常具有积极的含义。毕竟，加密数据是保证数据安全的好方法。考虑到这一点，您会认为“双重加密”会更好……对吧？不幸的是，双重加密实际上是指数字空间中出现的一种新型勒索软件攻击。通过了解这种攻击的含义以及如何保护自己，您可以避免成为攻击的受害者。, 你如何保护自己？,

在 2021 年 RSA 网络安全会议上，美国国土安全部部长亚历杭德罗·马约卡斯 (Alejandro Mayorkas) 就网络安全形势发表了一个划时代的声明：“让我明确一点：勒索软件现在对国家安全构成威胁。”,上周末，Mayorkas 的话听起来很真实。对殖民地管道的勒索软件攻击——负责美国东海岸近一半的柴油、汽油和喷气燃料——导致供应一些东部州的关键燃料网络关闭。,,这次攻击的后果表明勒索软件的后果是多么广泛和具有破坏性。针对关键基础设施和公用事业，网络攻击有可能破坏供应、损害环境，甚至威胁人类生命。,尽管完整的细节仍有待确认，但据报道，这次攻击是由名为 DarkSide 的网络犯罪组织的附属机构进行的，并且可能利用了常见的远程桌面工具。由于去年许多组织转向远程工作，包括工业控制系统 (ICS) 和运营技术 (OT) 的组织，远程访问已成为关键基础设施中可利用的漏洞。, 工业勒索软件的兴起,针对工业环境的勒索软件呈上升趋势，据报道自 2018 年以来增长了 500%。这些威胁通常利用 IT 和 OT 系统的融合，首先针对 IT，然后再转向 OT。这在EKANS 勒索软件中可以看到，该勒索软件将 ICS 进程包含在其“杀死列表”中，以及在首次利用虚拟专用网络 (VPN) 中的漏洞后破坏 ICS 的 Cring 勒索软件。,Colonial Pipeline 入侵中的初始攻击向量是否利用了技术漏洞、被破坏的凭据或有针对性的鱼叉式网络钓鱼活动还有待观察。据报道，这次攻击首先影响了 IT 系统，Colonial 随后关闭了 OT 运营以作为安全预防措施。Colonial 证实，勒索软件“暂时停止了所有管道操作并影响了我们的一些 IT 系统”，这表明最终，OT 和 IT 都受到了影响。这是一个很好的例子，说明有多少 OT 系统依赖于 IT，因此 IT 网络攻击有能力破坏 OT 和 ICS 流程。,除了锁定系统外，威胁参与者还从 Colonial 窃取了 100GB 的敏感数据。不幸的是，这种双重勒索攻击——在文件加密之前泄露数据——已成为常态而非例外，超过 70% 的勒索软件攻击涉及泄露。一些勒索软件团伙甚至宣布他们将完全放弃加密，转而采用数据盗窃和勒索方法。,今年早些时候，Darktrace 防御了针对关键基础设施组织的双重勒索勒索软件攻击，该组织还利用了常见的远程访问工具。本博客将深入概述发现的威胁，展示 Darktrace 的自学习 AI 如何自主响应与 Colonial Pipeline 事件极为相似的攻击。,, Darktrace 威胁发现, 针对电力设备供应商的勒索软件,在今年早些时候针对一家北美电力设备供应商的攻击中，Darktrace 的工业免疫系统展示了其保护关键基础设施免受针对具有 ICS 和 OT 的组织的双重勒索勒索软件的能力。,勒索软件攻击最初针对的是 IT 系统，并且由于网络人工智能的自我学习，在它可能蔓延到 OT 并破坏运营之前就被阻止了。,攻击者首先入侵了内部服务器，以便在 12 小时内窃取数据并部署勒索软件。最初的入侵和部署之间的时间很短是不寻常的，因为勒索软件威胁参与者通常要等待几天才能在攻击之前尽可能地在网络生态系统中悄悄传播。, 攻击是如何绕过安全堆栈的其余部分的？,攻击者利用“以陆地为生”的技术融入企业的正常“生活模式”，使用受损的管理员凭据和组织批准的远程管理工具，试图保持不被发现。,Darktrace 通常会在攻击者的技术、策略和程序 (TTP) 库中看到对合法远程管理软件的滥用。特别是在 ICS 攻击中，远程访问也正成为越来越常见的攻击媒介。例如，在去年 2 月佛罗里达州水处理设施的网络事件中，攻击者利用远程管理工具试图操纵处理过程。,该攻击者部署的特定勒索软件还通过在加密文件时使用独特的文件扩展名成功地避开了防病毒软件的检测。这些形式的“无签名”勒索软件很容易绕过依赖规则、签名、威胁源和记录的常见漏洞和暴露 (CVE) 列表的传统安全方法，因为这些方法只能检测以前记录的威胁。,,检测前所未见的威胁（如无签名勒索软件）的唯一方法是寻找异常行为的技术，而不是依赖“已知不良”列表。这可以通过自学技术来实现，该技术甚至可以发现所有设备、用户以及它们之间的所有连接与正常“生活模式”的最细微偏差。, 暗迹洞察, 初步妥协并建立立足点,尽管滥用了合法工具并且没有已知签名，但 Darktrace 的工业免疫系统能够使用对正常活动的整体理解来检测攻击生命周期中多个点的恶意活动。,Darktrace 警告的新兴威胁的第一个明显迹象是特权凭证的不寻常使用。该设备还在事件发生前不久从 Veeam 服务器提供了一个不寻常的远程桌面协议 (RDP) 连接，这表明攻击者可能已经从网络的其他地方横向移动。,三分钟后，设备启动了持续 21 小时的远程管理会话。这使得攻击者可以在更广泛的网络生态系统中移动，同时又不会被传统防御发现。然而，Darktrace 能够检测到异常的远程管理使用情况，作为指示攻击的另一个预警。, 双重威胁第一部分：数据泄露,在最初的妥协后一小时，Darktrace 检测到异常数量的数据被发送到 100% 罕见的云存储解决方案 pCloud。出站数据使用 SSL 加密，但 Darktrace 创建了多个与大型内部下载和外部上传有关的警报，这些警报与设备的正常“生活模式”有很大偏差。,该设备继续泄露数据九小时。对设备下载的文件（使用未加密的 SMB 协议传输）的分析表明它们本质上是敏感的。幸运的是，Darktrace 能够查明被泄露的特定文件，以便客户可以立即评估入侵的潜在影响。,, 双重威胁第二部分：文件加密,不久之后，当地时间 01:49，受感染的设备开始加密...