2023年5月勒索軟件流行態(tài)勢分析

2023-06-07 16:56:00
我要分享


微信掃碼分享

勒索軟件傳播至今，360反勒索服務(wù)已累計接收到上萬勒索軟件感染求助。隨著新型勒索軟件的快速蔓延，企業(yè)數(shù)據(jù)泄露風(fēng)險不斷上升，勒索金額在數(shù)百萬到近億美元的勒索案件不斷出現(xiàn)。勒索軟件給企業(yè)和個人帶來的影響范圍越來越廣，危害性也越來越大。360全網(wǎng)安全大腦針對勒索軟件進行了全方位的監(jiān)測與防御，為需要幫助的用戶提供360反勒索服務(wù)。

2023年5月，全球新增的活躍勒索軟件家族有: BlackSuit、Zhong、AlphaWare、EXISC等家族。其中BlackSuit會修改被勒索設(shè)備的桌面壁紙；EXISC是本月新增的一款以企業(yè)為目標(biāo)的勒索軟件。

以下是本月值得關(guān)注的部分熱點：

1. Linux版RTM Locker勒索軟件將VMware ESXi服務(wù)器作為攻擊目標(biāo)

2. 跨國科技公司ABB遭到Black Basta勒索軟件攻擊

3. 以Zimbra服務(wù)器為目標(biāo)的新型勒索軟件MalasLocker，要求受害者進行“慈善捐款”

基于對360反勒索服務(wù)數(shù)據(jù)的分析研判，360數(shù)字安全集團高級威脅研究分析中心(CCTGA勒索軟件防范應(yīng)對工作組成員）發(fā)布本報告。?

感染數(shù)據(jù)分析

針對本月勒索軟件受害者所中病毒家族進行統(tǒng)計：Phobos家族占比25.42%居首位，占比15.25%的BeiJingCrypt家族和占比14.41%的TellYouThePass家族分居二三位。

對本月受害者所使用的操作系統(tǒng)進行統(tǒng)計，位居前三的是：Windows Server 2012、Windows 10以及Windows Server 2008。

2023年5月被感染的系統(tǒng)中桌面系統(tǒng)和服務(wù)器系統(tǒng)占比顯示，受攻擊的服務(wù)器設(shè)備再次超過桌面終端。經(jīng)分析推測——這與近期針對部署了Java環(huán)境的服務(wù)器進行定向投毒的Tellyouthepass勒索軟件的活躍有很大關(guān)系。

勒索軟件疫情分析

Linux版RTM Locker勒索軟件將VMware ESXi服務(wù)器作為攻擊目標(biāo)

RTM Locker團伙自2015年以來一直活躍于金融欺詐領(lǐng)域，一度以傳播用于金融詐騙的木馬而著稱。在今年4月底，安全研究人員發(fā)現(xiàn)RTM Locker勒索軟件推出了一項新的勒索軟件即服務(wù)(Raas)活動，并開始招募附屬機構(gòu)————這其中也包括了來自前Conti集團的附屬機構(gòu)。

據(jù)稱，RTM目前已將其目標(biāo)擴展到了Linux系統(tǒng)和VMware ESXi服務(wù)器。在過去幾年中，很多企業(yè)已越來越多的將服務(wù)系統(tǒng)轉(zhuǎn)向虛擬機。因此，各類組織的服務(wù)器通常分布在專用設(shè)備和運行多個虛擬服務(wù)器的VMware ESXi服務(wù)器上。而勒索軟件也順應(yīng)了這一趨勢————創(chuàng)建了專門針對ESXi服務(wù)器的Linux版勒索軟件，以成功加密企業(yè)的所有重要數(shù)據(jù)。

研究人員分析發(fā)現(xiàn)，RTM Locker的Linux版本是基于現(xiàn)已解散的Babuk勒索軟件的泄露源代碼改寫的。而且其似乎是專門為攻擊VMware ESXi系統(tǒng)而編寫的————因為它包含了大量用于管理虛擬機的命令。此外，目前已知該版本的RTM使用ECDH算法進行非對稱加密，同時使用ChaCha20進行對稱加密。

跨國科技公司ABB遭到Black Basta勒索軟件攻擊

瑞士跨國電氣化和自動化技術(shù)供應(yīng)商ABB，遭到了Black Basta勒索軟件攻擊，據(jù)報道此次攻擊已經(jīng)影響了其業(yè)務(wù)運營。該公司與眾多客戶和地方政府合作，包括沃爾沃、日立、DS Smith、納什維爾市政府和薩拉戈薩市政府等重要客戶。

5月7日，該公司遭到Black Basta勒索軟件團伙發(fā)動的網(wǎng)絡(luò)攻擊。據(jù)悉本次勒索軟件攻擊主要針對該公司的Windows Active Directory，影響了數(shù)百臺設(shè)備。而作為對此次攻擊的安全響應(yīng)，ABB終止了與客戶的VPN連接以防止勒索軟件傳播到其他網(wǎng)絡(luò)。

目前，ABB發(fā)表聲明稱其“最近檢測到了一個直接影響某些位置和系統(tǒng)的IT安全事件。為了解決這種情況，ABB已經(jīng)并將繼續(xù)采取措施來控制這一事件，而這種控制措施對其運營造成了一些干擾”……但同時也表示其“絕大多數(shù)系統(tǒng)和工廠現(xiàn)在都在運行，ABB將繼續(xù)以安全的方式為其客戶服務(wù)。”

以Zimbra服務(wù)器為目標(biāo)的新型勒索軟件MalasLocker，要求受害者進行“慈善捐款”

據(jù)報道，一款針對Zimbra服務(wù)器進行入侵之后竊取電子郵件，并加密文件的新型勒索軟件MalasLocker出現(xiàn)。與以往勒索軟件不同的是——該勒索軟件攻擊者并沒有要求受害者，直接向他們支付贖金，而是要求向慈善機構(gòu)捐款以提供解密工具并防止數(shù)據(jù)泄露。

該勒索軟件于2023年3月底開始針對Zimbra服務(wù)器發(fā)起攻擊并進行加密，受害者均表示發(fā)現(xiàn)上傳到一下兩個路徑中存在可疑的JSP文件。

l? /opt/zimbra/jetty_base/webapps/zimbra/

l? /opt/zimbra/jetty/webapps/zimbra/public/

而相關(guān)的jsp文件名可能有如下幾個：

l? info.jsp

l? noops.jsp

l? heartbeat.jsp

與常規(guī)的勒索軟件最大的區(qū)別，該家族的贖金訴求：其會要求受害者向他們“批準(zhǔn)”的非營利慈善機構(gòu)捐款。并稱“只是不喜歡公司和經(jīng)濟不平等”“這是雙贏的，如果您愿意，您可能可以從捐款中獲得減稅和良好的公關(guān)形象”

黑客信息披露

以下是本月收集到的黑客郵箱信息：

表格1. 黑客郵箱

當(dāng)前，通過雙重勒索或多重勒索模式獲利的勒索軟件家族越來越多，勒索軟件所帶來的數(shù)據(jù)泄露的風(fēng)險也越來越大。以下是本月通過數(shù)據(jù)泄露獲利的勒索軟件家族占比情況統(tǒng)計，該數(shù)據(jù)僅為未在第一時間繳納贖金或拒繳納贖金部分（已經(jīng)支付贖金的企業(yè)或個人，可能不會出現(xiàn)在這個清單中）。

以下是本月被雙重勒索軟件家族攻擊的企業(yè)或個人。若未發(fā)現(xiàn)被數(shù)據(jù)存在泄露風(fēng)險的企業(yè)或個人也請第一時間自查，做好數(shù)據(jù)已被泄露準(zhǔn)備，采取補救措施。?

本月總共有560個組織/企業(yè)遭遇勒索攻擊，其中有5個中國組織/企業(yè)在本月遭遇了雙重勒索/多重勒索。有6個組織/企業(yè)未被標(biāo)明，因此不再以下表格中。

表格2. 受害組織/企業(yè)

系統(tǒng)安全防護數(shù)據(jù)分析

360終端安全產(chǎn)品，目前已加入黑客入侵防護功能。在本月被攻擊的系統(tǒng)版本中，排行前三的依次為Windows Server 2008、Windows 7以及Windows Server 2016。

對2023年5月被攻擊系統(tǒng)所屬地域統(tǒng)計發(fā)現(xiàn)，與之前幾個月采集到的數(shù)據(jù)進行對比，地區(qū)排名和占比變化均不大。數(shù)字經(jīng)濟發(fā)達地區(qū)仍是攻擊的主要對象。

通過觀察2023年5月弱口令攻擊態(tài)勢發(fā)現(xiàn)，RDP弱口令攻擊、MYSQL弱口令攻擊和MSSQL弱口令攻擊整體無較大波動。

勒索軟件關(guān)鍵詞

以下是本月上榜活躍勒索軟件關(guān)鍵詞統(tǒng)計，數(shù)據(jù)來自360勒索軟件搜索引擎。

l? devos：該后綴有三種情況，均因被加密文件后綴會被修改為devos而成為關(guān)鍵詞。但本月活躍的是phobos勒索軟件家族，該家族的主要傳播方式為：通過暴力破解遠程桌面口令成功后手動投毒。

l? 360：屬于BeijngCrypt勒索軟件家族，由于被加密文件后綴會被修改為360而成為關(guān)鍵詞。該家族主要的傳播方式為：通過暴力破解遠程桌面口令成功后手動投毒，本月新增通過數(shù)據(jù)庫弱口令攻擊進行傳播。?

l? malox：屬于TargetCompany(Mallox)勒索軟件家族，由于被加密文件后綴會被修改為mallox而成為關(guān)鍵詞。主要通過暴力破解遠程桌面口令成功后手動投毒和SQLGlobeImposter渠道進行傳播。此外360安全大腦監(jiān)控到該家族本曾通過匿影僵尸網(wǎng)絡(luò)進行傳播。

l? locked1：屬于TellYouThePass勒索軟件家族，由于被加密文件后綴會被修改為locked1而成為關(guān)鍵詞。該家族主要通過各種軟件漏洞、系統(tǒng)漏洞進行傳播。

l? mkp：屬于Makop勒索軟件家族，由于被加密文件后綴會被修改為mkp而成為關(guān)鍵詞。該家族主要的傳播方式為：通過暴力破解遠程桌面口令成功后手動投毒。

l? halo：同360。

l? eking：同devos。

l? faust：同devos。

l? buddha：屬于DeepInWeb勒索軟件家族，由于被加密文件后綴會被修改為buddha而成為關(guān)鍵詞。該家族的主要傳播方式為：通過暴力破解遠程桌面口令成功后手動投毒。

l? elbie：同eking。