2021年已過三分之二，除了應(yīng)對新冠病毒持續(xù)的沖擊外，全球各行業(yè)還在面對一種持續(xù)激增、愈發(fā)頑固的“流行病”——勒索病毒。據(jù)海外研究團(tuán)隊(duì)Check Point Research統(tǒng)計(jì)，2021年5月勒索病毒攻擊次數(shù)相對年初增加了41%，相對2020年6月同比增加了 93%。
根據(jù)深信服最新頒布的《2021上半年勒索病毒趨勢報(bào)告》， 可以從「4大觀察維度+3大攻擊演變」窺探當(dāng)前勒索病毒的野蠻生長情況：數(shù)據(jù)顯示，勒索病毒加速進(jìn)化，攻擊手法持續(xù)迭代，甚至對特定的行業(yè)、地域具有明顯的針對性。
勒索病毒攻擊手法究竟發(fā)生了哪些變化？病毒對哪些行業(yè)與地域窮追猛打？接下來帶您一探究竟……
4大觀察維度
看看你離被勒索病毒感染有多遠(yuǎn)？
今年上半年，深信服終端安全團(tuán)隊(duì)持續(xù)追蹤國內(nèi)各大勒索事件，從“感染行業(yè)分布”、“攻擊咨詢行業(yè)分布”、“感染地域分布”和“病毒活躍家族”四大維度觀察勒索病毒最新動態(tài)，并總結(jié)出了相應(yīng)的規(guī)律。
1. 勒索病毒感染行業(yè)：教育行業(yè)占比創(chuàng)歷史新高
根據(jù)云端感染統(tǒng)計(jì)數(shù)據(jù)，部分校園網(wǎng)由于大量設(shè)備疏于安全加固與漏洞修復(fù)，受Wannacry感染嚴(yán)重，因此，教育行業(yè)受感染比例創(chuàng)歷史新高，占據(jù)近半壁江山，其影響力和危害性不容忽視。其次，企業(yè)、制造業(yè)、醫(yī)療衛(wèi)生等行業(yè)因數(shù)據(jù)重要性與經(jīng)濟(jì)實(shí)力，依舊成為勒索病毒主要攻擊目標(biāo)，受到不同程度影響。
2. 勒索攻擊咨詢行業(yè)：能源與地產(chǎn)行業(yè)成新靶
深信服終端安全團(tuán)隊(duì)統(tǒng)計(jì)了上半年接到的攻擊事件線下咨詢，數(shù)據(jù)顯示，醫(yī)療、教育、制造業(yè)等行業(yè)延續(xù)著以往的高頻攻擊。值得關(guān)注的是，能源行業(yè)和地產(chǎn)行業(yè)受到勒索病毒攻擊的頻率正逐步升高。
3. 勒索病毒感染地域：沿海發(fā)達(dá)城市為“易感群體”
從感染地域分布來看，廣東、安徽、浙江、江蘇等沿海城市，因?qū)ν赓Q(mào)易往來較為發(fā)達(dá)，受勒索病毒感染最為嚴(yán)重。
4. 勒索病毒活躍家族：Wannacry依然讓企業(yè)“想哭”
從深信服云端數(shù)據(jù)統(tǒng)計(jì)來看，Wannacry仍然依靠“永恒之藍(lán)”漏洞（MS17-010）占據(jù)勒索病毒感染量榜首。盡管Wannacry勒索病毒已經(jīng)無法觸發(fā)加密，但其感染數(shù)據(jù)反映了當(dāng)前仍存在大量主機(jī)沒有針對常見高危漏洞進(jìn)行合理加固的現(xiàn)象。
深信服終端檢測響應(yīng)平臺EDR輕補(bǔ)丁功能，無需重啟打補(bǔ)丁，一鍵防護(hù)高危漏洞，拒絕“永恒之藍(lán)”
勒索病毒家族 TOP 5 快來看清真面目
《緊急預(yù)警：Globelmposter再次攻擊醫(yī)療行業(yè)，爆“十二生肖”2.0新變種》
《Globelmposter勒索病毒最新變種預(yù)警：從“十二生肖”到“十二主神”，為何國內(nèi)醫(yī)療行業(yè)最受傷？》
《GlobeImposter勒索病毒新變種C4H東山再起》
《Globelmposter勒索病毒最新變種預(yù)警：從“十二生肖”到“十二主神”，為何國內(nèi)醫(yī)療行業(yè)最受傷？》
《GlobeImposter勒索病毒新變種C4H東山再起》
《3.25 億！REvil 勒索團(tuán)伙又出動，深信服 EDR 來給用戶打個“勒索病毒預(yù)防針”》
《技術(shù)揭秘：勒索蘋果代工廠5000萬美元的REvil有什么不同？》
《Sodinokibi新變種呈現(xiàn)定制化，疑似團(tuán)伙連續(xù)作案》
《準(zhǔn)備交贖金？當(dāng)心Phobos勒索病毒二次加密！》
《利用IQY（Excel Web Query）文件分發(fā)，Buran勒索病毒又出新變種》
《Hospit勒索變種瞄準(zhǔn)制造業(yè)，深信服首發(fā)解密工具》
3大攻擊演變
勒索病毒持續(xù)翻新 防病毒要打持久戰(zhàn)
盡管勒索病毒活躍家族的格局依然穩(wěn)定，但在巨大經(jīng)濟(jì)利益的驅(qū)使下，勒索團(tuán)伙不斷研究病毒的變種及攻擊形式，使其不斷進(jìn)行自我進(jìn)化。
1. 從“加密數(shù)據(jù)”到 “三重勒索”的改變
先從最初的單一加密勒索演化到“雙重勒索”，即在加密前攻擊者會先竊取大量受害者敏感數(shù)據(jù)，威脅受害者如果不繳納贖金則公開數(shù)據(jù)。而近期演化出的“三重勒索”模式，則是在雙重勒索的基礎(chǔ)上增加了DDoS攻擊威脅。
Avaddon勒索團(tuán)伙發(fā)布勒索聲明，圖片來源：Hackread.com
2. 從“散裝攻擊”到“定向攻擊”的轉(zhuǎn)型
早期的勒索病毒攻擊靠批量掃描發(fā)現(xiàn)薄弱點(diǎn)，目標(biāo)較為分散，主要分布于中小企業(yè)，行業(yè)范圍沒有限制。但近期，勒索攻擊與高級持續(xù)性威脅相結(jié)合，演化出針對高價(jià)值目標(biāo)的定向勒索，例如制造業(yè)、金融、醫(yī)療等。更有甚者，在攻擊前會研究企業(yè)的經(jīng)濟(jì)狀況，根據(jù)其支付能力決定贖金多少。
海外廠商報(bào)道勒索團(tuán)伙會根據(jù)金融時報(bào)決定下個攻擊目標(biāo)
3. 從“單一平臺”到“多種平臺”的擴(kuò)展
目前為止，受勒索病毒影響最普遍的仍然是 Windows 系統(tǒng)，但近年來，逐漸出現(xiàn)了針對 Windows 以外的勒索病毒。早在2018年，深信服終端安全團(tuán)隊(duì)曾報(bào)道過一款名為 Lucky 的跨平臺勒索病毒，利用 Tomcat 漏洞針對 Linux 和 Windows 系統(tǒng)進(jìn)行無差別攻擊。
深信服千里目報(bào)道《國內(nèi)首例！Lucky勒索病毒攻擊Linux與Windows》
4+7+1勒索病毒防治藥方
科學(xué)抗病毒，深信服奉上“靈丹妙藥”
深信服基于多年來為1000+各行業(yè)用戶提供有效的勒索病毒防護(hù)，在實(shí)踐中沉淀出系統(tǒng)性解決方案。面對勒索病毒新的變化趨勢，深信服推出「4+7+1勒索病毒防治藥方」，其中全新升級的勒索病毒防護(hù)解決方案，將幫助用戶更有效應(yīng)對高級勒索威脅。
深信服「4+7+1勒索病毒防治藥方」
- 4個預(yù)防動作，提升免疫力
- 7絕句快速響應(yīng)，病毒來了不慌張
- 1套勒索病毒防護(hù)解決方案，全方位貼心防護(hù)
- 防治藥方：4個預(yù)防動作，提升免疫力
當(dāng)“病毒”在進(jìn)化，攻擊團(tuán)伙在努力，這注定是一場沒有硝煙的“戰(zhàn)爭”。正如有些人往往等病重了才去看病，多數(shù)企業(yè)在被勒索后才“病急亂投醫(yī)”，但造成的嚴(yán)重?fù)p失已無法挽回�？茖W(xué)的“防疫藥方”在于事前預(yù)防，為企業(yè)網(wǎng)絡(luò)安全“戴緊口罩”。
1.資產(chǎn)管理：管理資產(chǎn)是安全運(yùn)營工作的基礎(chǔ)工作，明確資產(chǎn)對象，形成資產(chǎn)臺賬，是后續(xù)安全運(yùn)營工作能夠順利開展的關(guān)鍵要素。
2.風(fēng)險(xiǎn)排查及修復(fù)：定期排查企業(yè)網(wǎng)絡(luò)中的風(fēng)險(xiǎn)項(xiàng)，包括高危可利用漏洞、高危端口、設(shè)備弱口令以及安全設(shè)備策略等，及時對風(fēng)險(xiǎn)項(xiàng)進(jìn)行加固調(diào)整，減少暴露面，同時應(yīng)關(guān)注安全設(shè)備上攻擊事件和勒索事件的實(shí)時告警，進(jìn)行快速響應(yīng)。
3.有效備份：針對業(yè)務(wù)類型選擇合適的備份，核心數(shù)據(jù)盡量定期異地備份，若不幸失陷，備份恢復(fù)能夠?qū)p失最小化。
4.安全意識：人是企業(yè)安全防范中最薄弱的環(huán)節(jié)，很多內(nèi)部風(fēng)險(xiǎn)的起因往往是由于人的安全意識匱乏導(dǎo)致，因此，內(nèi)部安全意識培養(yǎng)十分重要。
- 防治藥方：7絕句快速響應(yīng)，病毒來了不慌張
正如新冠病毒爆發(fā)初期，當(dāng)事態(tài)發(fā)展到難以控制的局面，在有關(guān)專家的呼吁下，大部分人才開始覺醒：如果在疫情發(fā)展初期足夠重視，可以將風(fēng)險(xiǎn)降到可控范圍的最低狀態(tài)。因此如果不慎中了勒索病毒，不用慌張，深信服為你送上“快速響應(yīng)七絕句”：
- 梳理資產(chǎn)，確認(rèn)災(zāi)情：盡快判斷影響面，有利于后續(xù)工作開展及資源投入，確認(rèn)感染數(shù)量、感染終端業(yè)務(wù)歸屬、感染家族等詳情。
- 保留現(xiàn)場，斷開網(wǎng)絡(luò)：盡快斷網(wǎng)，降低影響面，保留現(xiàn)場，不要輕易重啟或破壞（若發(fā)現(xiàn)主機(jī)還沒完成加密的情況，可以即刻斷電，交給專業(yè)安全人員處理），避免給后續(xù)溯源分析、解密恢復(fù)帶來困難。
- 確認(rèn)訴求，聚焦重點(diǎn)：受害者企業(yè)必須明確核心訴求（數(shù)據(jù)解密、加固防御、入侵分析、樣本分析、企業(yè)內(nèi)網(wǎng)安全狀況評估等），應(yīng)急響應(yīng)人員必須根據(jù)核心訴求，按照緊急程度依次開展工作。
- 樣本提取，數(shù)據(jù)收集：通過人工排查或工具掃描定位感染設(shè)備中是否還有勒索病毒文件、黑客工具文件殘留，進(jìn)行采樣提取，并對勒索信息文件、加密后綴、系統(tǒng)日志等信息進(jìn)行即時的保存。
- 判斷家族，嘗試解密：根據(jù)勒索信息文件和加密后綴進(jìn)行家族搜索，確認(rèn)是否有解密工具；如果獲取到解密工具，需要將原加密數(shù)據(jù)備份后再進(jìn)行解密，謹(jǐn)防損壞后永久性丟失數(shù)據(jù)。
- 溯源取證，封堵源頭：通過對主機(jī)日志、安全產(chǎn)品日志的詳細(xì)排查，定位入侵來源，還原攻擊過程，盡快對攻擊入口進(jìn)行封堵。
- 加固防御，以絕后患：針對事件暴露的安全風(fēng)險(xiǎn)點(diǎn)進(jìn)行較為完整的安全加固。
- 防治藥方：1套勒索病毒防護(hù)解決方案，全方位貼心防護(hù)
如果說，遭遇勒索病毒是“天災(zāi)”， 缺乏常態(tài)化安全防御是“人禍”，那么，為防護(hù)企業(yè)數(shù)據(jù)安全，需要購買一份“醫(yī)療健康保險(xiǎn)”——深信服勒索病毒防護(hù)解決方案。
深信服全新升級的勒索病毒防護(hù)解決方案，以“安全設(shè)備+勒索預(yù)防與響應(yīng)服務(wù)”為基礎(chǔ)，圍繞邊界投毒+病毒感染+加密勒索+橫向傳播的完整勒索攻擊鏈，全面幫助用戶補(bǔ)齊在勒索預(yù)防、監(jiān)測、處置能力方面的缺失，構(gòu)建有效預(yù)防、持續(xù)監(jiān)測、高效處置的勒索病毒防護(hù)體系。
3大功效，強(qiáng)力對抗勒索病毒
- 全面排查，有效防御：在勒索發(fā)生之前，通過深信服下一代防火墻AF內(nèi)置的防勒索策略模板攔截網(wǎng)絡(luò)投毒攻擊，并通過深信服終端檢測響應(yīng)平臺EDR對終端提供登錄保護(hù)與病毒查殺，同時，安全服務(wù)人員基于大量勒索病毒Checklist協(xié)助消除勒索隱患，并進(jìn)行防御策略調(diào)優(yōu)，降低被勒索的概率。
- 持續(xù)監(jiān)測，全程保護(hù)：深信服安全感知平臺SIP可基于全流量監(jiān)測分析，快速發(fā)現(xiàn)查殺失敗并在內(nèi)網(wǎng)開始擴(kuò)散的疫情，同時安全服務(wù)專家提供7*24h持續(xù)監(jiān)測服務(wù)，發(fā)現(xiàn)疫情后主動進(jìn)行預(yù)警。
- 快速響應(yīng)，高效處置：一旦新型病毒攔截查殺失敗，開始在內(nèi)網(wǎng)爆發(fā)，安服人員可在5分鐘內(nèi)快速響應(yīng)，第一時間聯(lián)動SIP和EDR隔離病毒源遏制疫情擴(kuò)散，同時通過網(wǎng)端關(guān)聯(lián)舉證分析，進(jìn)一步定位病毒文件，線上線下協(xié)助用戶最終完成病毒清除和業(yè)務(wù)恢復(fù)，降低業(yè)務(wù)損失。
來源：深信服科技
《2021上半年勒索病毒趨勢報(bào)告》
現(xiàn)已正式發(fā)布！
想看完整版報(bào)告？
掃描下方二維碼，添加信服君
即可免費(fèi)獲取完整報(bào)告！
