經銷商專區｜登入
〔最新消息〕2020-12-22
當僵屍惡意軟體導致大額勒索軟體攻擊時
可悲的是，這是一個受害者自己都不需要問的問題，因為剛剛攻擊他們的勒索者會很爽快地確定他們知道 "價格"。
在最近的一個令人生疑的故事中，蘇格蘭的一家教育機構遇到了勒索要求，要求支付一筆令人吃驚的具體金額。
這原來是駭客們在吹噓他們對所攻擊的學院有多瞭解--它正好與學院銀行帳戶上的金額相吻合，而這是未來12個月的全部預算。（學院拒絕做交易，所以駭客們最後得到的是0英鎊）。
但對於勒索軟體受害者和大眼瞪小眼的旁觀者來說，一個更重要的問題是。勒索軟體是怎麼進來的？
事實上，這可能是最重要的問題，理由是，駭客已經知道他們是怎麼做的，已經做過一次了，所以如果你不弄清楚，駭客可以再來一次。
或者第二批駭客可能會自己想辦法，或者從之前的駭客那裡買到資料，然後用這種方式進入。
|
2020年，我們對26個不同國家的5000家公司的IT經理進行了調查，並詢問了有關勒索軟體攻擊的情況。其中僅有超過一半的人（51%）透露，他們在過去一年中成為勒索軟體的受害者。如果這還不夠戲劇化的話，40%的受害者承認他們曾被攻擊過兩次或更多--換句話說，如果駭客進入過一次，那麼這些駭客或其他人後來又回來重複犯罪。(在這次調查中，有一線希望，在94%的受害者中，約有四分之三的受害者沒有向犯罪分子支付敲詐勒索的錢就找回了自己的資料。有趣的是，那些付了錢的人平均每個人花了不到150萬美元，包括贖金，才重新開始。那些自行恢復的人平均只花了不到75萬)。 |
勒索軟體是如何進入的
經常閱讀的人都知道，很多網路入侵都是由不法分子以真正的用戶身份登錄開始的。
有時，駭客會找到一個合法的遠端存取伺服器（如RDP，遠端桌面協定的簡稱），但密碼選擇不當或配置不安全，然後猜測或闖入。
有時，駭客會誘使真正的用戶進入一個虛假的登錄頁面，通常是通過一封措辭狡猾的釣魚郵件，盜取他們的密碼。
但在數量驚人的勒索軟體事件中，攻擊中的直接傳遞機制竟然是網路內現有的惡意軟體。
簡單地說，網路內部的僵屍惡意軟體感染，也就是所謂的機器人（軟體機器人的簡稱），可以作為犯罪分子的秘密遠端存取木馬（RAT）。
重要的是，即使在嚴格的防火牆規則阻止入站網路連接的電腦上，機器人也能發揮作用--這包括大多數家用網路，通常預設情況下，入站連接被路由器或ISP，或者兩者都被阻止。
早期的RATs，如20世紀90年代末臭名昭著的Back Orifice工具包，依賴於入站連接。(著名的Back Orifice默認監聽TCP埠31337，這是一個精英駭客的狡辯。)
那時候，很多甚至大部分家用電腦都是通過專用的撥號數據機直接連接到互聯網上，沒有路由器或防火牆來調節傳入連接，家用PC上的監聽網路埠的入站連接幾乎都是默認允許的。
但撥號的消亡、"單向流量 "家用路由器的盛行以及Windows中的默認連接防火牆，使Back Orifice技術很快就被淘汰了。
因此，如今，RAT和機器人自己發起外向網路連接，而不是監聽連接。
它們向外連接到一個由控制機器人的犯罪分子（俗稱打擾者）操作的伺服器上，並從那裡下載它們的命令。
這些由犯罪分子控制的電腦在行話中被稱為CnC、C&C或C2伺服器，其中兩個C代表命令和控制。
緊湊、安靜、持久
正如你所想像的那樣，一個通用的遠端存取僵屍將是網路犯罪團夥的理想工具箱--因此，如果你知道去哪裡找的話，在地下論壇上可以買到這種工具也就不足為奇了。
其中有一種工具，我們看到它的售價僅為200美元，它是一種名為SystemBC的小而偷偷摸摸的 "產品"，它小巧、安靜、持久。
在可能的情況下，SystemBC會把自己安裝成Windows系統服務，這樣即使沒有人登錄，它也能在後臺自動運行。
SophosLabs剛剛發佈了對這種惡意軟體的技術分析，Sophos快速回應團隊的成員在他們最近被要求調查的幾起備受矚目的勒索軟體活動中發現了這種惡意軟體的核心。
正如SophosLabs的Sean Gallagher所解釋的那樣。
雖然SystemBC已經問世一年多了，但我們看到它的使用和功能都在不斷發展。[......]在過去的幾個月裡，我們繼續在全球範圍內檢測到數百個試圖部署SystemBC的情況。在[Sophos快速回應團隊]最近調查的Ryuk和Egregor攻擊中使用了SystemBC。[......]在某些情況下，SystemBC RAT在攻擊者獲得管理憑證並深入目標網路後被部署到伺服器上。
正如你將從報告中瞭解到的那樣，SystemBC結構緊湊，自成一體，它不僅對其C&C流量進行加密，還使用Tor網路進行匿名和偽裝。
大部分與SystemBC RAT的CnC通信都是通過Tor連接進行的。SystemBC的Tor通信元素似乎是基於mini-tor，一個用於羽量級連接到Tor匿名網路的開源庫。該機器人對Tor用戶端的實現與開來源程式中使用的實現非常相似，包括它對Windows Crypto Next Gen (CNG)API的廣泛使用。
SystemBC接受由完整程式組成的命令，包括VBS腳本、BAT和CMD命令檔、PowerShell腳本和Windows可執行檔（EXE和DLL文件）。
當一個腳本或BAT檔被發送到機器人時，它會被寫入TEMP資料夾，並從那裡運行，但當一個EXE或DLL被接收時，它會直接載入到記憶體中並啟動，而不會將可執行檔的副本寫入磁片。
換句話說，一個網路犯罪分子如果操作，或者能購買到滿網的SystemBC遠端存取僵屍...
.可以悄悄地、輕鬆地告訴他們同時運行同一個勒索軟體程式，事後甚至不會留下一個勒索軟體的副本。
|
我們不確定SystemBC這個名字來自哪裡。BC可能是後門連接、僵屍網路用戶端端或後門控制器的簡稱，也可能是指Base Crypto，即惡意軟體使用的Windows加密函數，所以它不需要有協力廠商加密庫，如mbedTLS或OpenSSL編譯成它。Sophos產品以HPMal/SysBRat-A的名稱報告了這種惡意軟體。 |
怎麼辦？
- ● 閱讀報告。即使您不是技術人員，它也很容易理解，並講述了一個引人入勝的故事，這將説明您瞭解網路罪犯如何思考，以及他們如何努力使他們的大規模攻擊盡可能地隱蔽和意外。
- ● 請閱讀我們關於如何防止勒索軟體的建議。勒索軟體犯罪分子使用一系列技術在您的網路中獲得第一個立足點，包括發送垃圾郵件的釣魚攻擊，破解或猜測密碼，以及在您的公共網路上尋找不安全或遺忘的遠端存取伺服器。
- ● 不要放棄對使用者的認識。尊重你的用戶，幫助他們學習如何提高警惕，你可以把他們變成你的核心網路安全團隊的額外眼睛和耳朵。
- ● 讓用戶輕鬆報告可疑活動。建立一個中央郵寄清單或聯繫電話，作為 "網路安全911"。網路犯罪分子不會對一個用戶進行釣魚，如果失敗了就會放棄，所以有人發出的預警可以立即幫助大家。
