《从八个方面认识勒索攻击和危害》之八：勒索攻击的发展趋势

《从八个方面认识勒索攻击和危害》之八：勒索攻击的发展趋势
2021-11-15 15:30:57 Author: www.secpulse.com(查看原文) 阅读量:18 收藏

本期内容是《从八个方面认识勒索攻击和危害》系列的终篇，安天垂直响应服务平台运营组将分析介绍目前勒索攻击较为明显的发展趋势，通过本期内容用户可更为清晰地理解“事前防御”的价值。

本期内容的主要参考资料源自安天开放资料平台-安天周观察[1]（周更）、安天创意论坛-每日安全简讯[2]（日更），推荐用户关注可以实时获取更多勒索攻击态势信息。

勒索攻击专题

《从八个方面认识勒索攻击和危害》之一：勒索攻击中的四种分工角色

《从八个方面认识勒索攻击和危害》之二：勒索攻击的两种典型模式

《从八个方面认识勒索攻击和危害》之三：惯用传播方式与侵入途径

《从八个方面认识勒索攻击和危害》之四：“勒索攻击杀伤链”分析

《从八个方面认识勒索攻击和危害》之五：四种主要勒索类型

《从八个方面认识勒索攻击和危害》之六：重要攻击特征

《从八个方面认识勒索攻击和危害》之七：十类典型家族

一、勒索攻击已经成为全球面临的主要网络威胁之一

2021年6月，一项面向全球2600名安全专家的调查显示，由于勒索攻击在过去12个月里的频繁活动，受访专家们将勒索攻击列为全球主要威胁攻击之一[3]，足以说明勒索攻击对全球网络安全的威胁程度。

如今，政企大力推动数字化转型，个人与组织对互联网、云计算等新兴技术的依赖日益增加，勒索攻击也可能会随之增加。

在此背景下出现的跨平台勒索攻击、接近APT（高级可持续性威胁攻击）水平的定向勒索攻击、多重勒索模式、RaaS（Ransomware as a Service，勒索即服务）模式（以下简称“RaaS模式”）等等，都是勒索攻击者新增的模式。

二、多系统平台勒索攻击愈趋成熟

截至目前，勒索攻击虽然主要集中在Windows系统平台，同时跨平台的勒索攻击也愈趋成熟。比如，REvil/Sodinokibi、DarkSide、Conti等勒索软件家族都开发了针对Linux系统的勒索软件；而针对macOS操作系统，也出现了MacRansom、MacSpy这样的勒索软件。

尽管目前尚未爆发针对移动平台的大规模勒索攻击事件，但由于移动用户数量众多，因此安全隐患仍不容小觑。安天移动安全团队就曾对冒充为“抢红包神器”的勒索软件进行过跟踪和分析[4]，该软件对用户的个人隐私、财产安全造成了严重威胁。安天垂直响应服务平台运营组特别提醒：Android系统和进行过“越狱”操作的iOS系统都有可能成为勒索攻击的对象，下载应用软件时要注意甄别，比如：选择官方下载渠道，或者不要下载未知来源的应用软件。

此外，EKANS [5]、Cring [6]等专门针对工控系统的勒索攻击开始涌现，可对工业生产造成严重影响。

三、 “多重勒索”模式带来更大威胁

定向勒索攻击中“多重勒索模式”的出现，再一次提升了勒索软件的威胁指数，也为安全行业带来了新的挑战。

攻击者从早期的破坏数据开始，逐渐演变至加密数据勒索赎金；再到窃取数据、加密数据勒索赎金；直至目前已经出现了在窃取数据、加密数据的“双重勒索”基础上，为了进一步牟取非法利益，以将窃取的数据出售、泄露等“曝光数据”，及或将继续勒索攻击窃密数据中涉及到的相关人员或组织等为由，强势施压受害者支付赎金，形成“三重勒索”[7]。

多重勒索模式的出现更打破了部分用户此前对于“灾备是‘万灵药’”的认知。一些攻击者会在攻击用户常用设备的同时，对备份数据的设备也进行攻击，导致受害者失去恢复数据的可能，并以此来提升勒索赎金的金额。上期《十类典型家族》中提到的Ryuk即具有同时攻击备份数据的特征[8]。

四、勒索软件与APT联系在一起发动攻击

APT攻击的全称是“高级可持续性威胁攻击”，其开启了一个新的威胁时代。APT不是一种单一的攻击技术手段，而是通过成建制的团队、遵循严密的作业手册、根据目标的情况，从攻击装备库中取用恶意代码、漏洞利用程序等进行的攻击组合。主要以战略目标、基础设施和特定高价值目标为对象，具有手段高级、时效持久的一种攻击方式。

APT和勒索软件的关系常见有两种：

1. 攻击者发动定向勒索攻击，攻击能力已达APT水平：

被攻击目标多为大型机构或组织（如大中型企业、政府部门等），攻击者会针对不同目标进行定制化攻击，以求在提高攻击成功率的同时，尽最大可能获利。在攻击者眼中，这种攻击模式是一起投入低、回报高、见效快的投资；这也符合其始终利润最大化动机与目标。

注：“投入低”的说法是相对回报而言的。实际上，APT攻击的投入，比大部分其他类型网络攻击的投入更高。

2. APT伪装成勒索攻击发动威胁攻击：

通过分析一些案例，研究人员还发现，APT组织会将勒索软件作为探路的手段，或者逃跑的“***”，甚至是作为攻击结束后毁灭踪迹的方法，帮助掩盖和抹去更严重攻击的证据。某些工具表面看似勒索软件，会加密数据、发布勒索通知以及索要赎金，但实际上，这些软件会悄悄删除端点上的数据，同时让防御者相信数据丢失的原因是由于勒索软件的随机攻击；还有一些工具会抹去攻击者入侵的痕迹，比如他们使用过的工具，停留的时间，以及访问或窃取了哪些信息。

补充信息：

从“魔窟”到“伪必加”再到“坏兔子”，勒索模式逐渐发生了变化，勒索软件不再是单纯的勒索赎金，而是表现出了一种新的准军事攻击的模式。这种新模式下的勒索软件依然披着勒索的外衣，伪装自己，试图混淆视听。

部分勒索软件其本质目的已经不是勒索赎金，而是实现对特定目标、特定区域设施的破坏。这种攻击模式不同于以往APT表现出的高度定向、指哪打哪的模式，而是基于一定的地缘条件，针对特定区域的目标投放木马，借由勒索软件自身的传播进行破坏。例如，“伪必加”是通过一款会计服务与业务管理软件的更新进行传播，它主要投放区域是乌克兰地区；“坏兔子”的投放入口是东欧的一些新闻媒体网站，许多东欧当地的政府部门和企业受都到了攻击；“Erebus”的初始投放入口是韩国网络托管公司“Nayana”；甚至还出现了“Magniber”这种只对韩文系统的计算机进行破坏的勒索软件。这种区域半定向的攻击方式迅速地给投放区域带来了负面的影响，同时由于其传播的（不）定向性，在一定程度上增加了安全研究人员的调查周期[9]。

五、RaaS模式愈发成熟壮大

RaaS模式通过收取会员费用、购买勒索软件、订阅攻击服务等形式，将勒索攻击转变为“商业服务行为”。购买者甚至无需任何网络攻防技术和知识，仅通过“付费会员”身份，就能获取勒索攻击资源，进而发起攻击。

比如，安天曾监测到的商业窃密木马Agent Tesla [10]，该木马最早于 2014 年在其官方网站进行销售，价格根据选择的功能在几美元到几十美元之间不等。之后该木马转为在地下论坛出售，更新频繁，主要通过钓鱼邮件进行传播，邮件附件伪装成与邮件主题相关的内容，诱导受害者点击。

安天提醒：通过RaaS模式购买相关服务实施勒索攻击，同样是严重的网络犯罪行为。2021上半年，媒体曾报道过GandCrab的RaaS模式会员在韩国被捕的消息[11]，各国政府都在对此类行为进行严厉打击。

六、勒索软件与挖矿木马“狼狈为奸”

近年来，加密货币的价格水涨船高，一些不法分子为了获得更多的加密货币，选择将勒索软件与挖矿木马相结合发动网络威胁攻击，以求利益最大化。

由于勒索软件和挖矿木马的传播方式、侵入途径、攻击方法非常相近，攻击者会在攻击过程中将二者同时施放，受害者的设备不仅会遭受勒索攻击，还会被攻击者用来挖矿。

注：挖矿木马是指攻击者通过僵尸网络、漏洞利用、网页挂马、钓鱼邮件等方式，将挖矿程序植入受害者的计算机中，在受害者不知情的情况下利用其计算机的云算力为攻击者探寻网络加密货币（多为比特币），从而获取利益；这种非法侵占用户计算机资源用于挖矿的程序就是挖矿木马。

七、针对关键信息基础设施与工控系统的攻击显现

关键信息基础设施是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等，是保障社会高效运转的重要组成。

工业企业网络环境主要由工业控制网络和企业信息网络组成，其中企业信息网络连接了互联网环境，形成了暴露面，即有了遭受互联网环境中勒索攻击的风险。攻击者可以通过企业信息网络侵入或摆渡方式将勒索软件传播到工控网络中，进而导致工业控制系统无法运行。

比如，2021年5月，安天CERT监测到一起入侵工控系统并最终投放勒索软件的攻击事件，此次事件影响了欧洲一些国家的工业企业，部分用于工控业务的服务器被加密，导致工控业务系统临时关闭。经过分析，该起攻击事件归属于一个新的勒索软件家族Cring（也被称为Crypt3r，Vjiszy1lo，Ghost，Phantom）。

八、勒索软件产业链出现成熟的第三方数据泄露平台

勒索软件发展至今，一些攻击者逐渐发现：以加密数据为威胁获得的赎金，已经远不如以泄露数据相要挟而获得的赎金多。一方面是因为个人、企业或政府机构对于数据保密的重视程度逐年提升，另一方面是因为各国政府对数据泄露的惩罚越发严厉。

而从威胁程度上来看，数据加密虽然难解，但还有可能通过备份等方式进行恢复；可一旦重要数据资料遭到泄露（特别是涉密数据），对于某些受害者来说将会是毁灭性的打击，尤其是尚处在保密阶段的新产品、新研究成果相关的数据。

于是，勒索软件的组织者们也开始调整策略，从加密向泄密“转型”。譬如：Babuk组织就宣布“将不再进行数据加密勒索，全面转型数据泄露勒索”[12]。

与此同时，“暗网”市场内提供泄露数据交易的服务平台也应运而生。除了2019年成立的 Dark Leak Market ，2021年新出现的 Marketo、FileLeaks 和 Lorenz 都较为活跃。其中，4月上线的 Marketo 在不到半年的时间里，就上架了日本富士（4GB）、德国Puma（1GB）、法国GigaTrib（5GB）等超过50家企业的被窃数据（截至2021年10月数据）。据统计，2019年以来，勒索软件攻击组织已合计从“暗网”泄露了超过2100家企业被窃数据[13]。