勒索病毒是一种极具传播性、破坏性的恶意软件 ，主要利用多种密码算法加密用户数据 ，恐吓、胁迫、勒索用户高额赎金。本月 ，破坏性勒索事件依旧高发 ，勒索攻击形势严峻 ，企业被勒索病毒攻击的事件层出不穷。
从受害者所在地域分布来看 ，经济发达地区仍是被攻击的主要对象 ，与前几个月采集到的数据相比 ，总体无较大波动。
从行业划分来看 ，数据价值较高的教育、互联网、医疗、制造业遭受的攻击较为严重。
下图是CA88第59号实验室对勒索病毒监测后所计算出的8月份勒索病毒家族流行度占比分布图。Phobos家族占比17%居首位 ，TellYouThePass家族占比16%位居第二 ，LockBit家族以13%位居第三 ，均为过往的流行家族。
下图为勒索病毒传播的各种方式的占比情况。根据统计可以看出 ，勒索病毒的主要攻击方式依然以远程桌面入侵为主 ，其次利用网站挂马和高危漏洞等方式传播 ，整体攻击方式呈现多元化的特征。
Phobos勒索软件从2019年开始在全球流行 ，并一直保持着很高的活跃度 ，并常年占据勒索病毒榜单前三 ，其不断推出新变种 ，并频繁通过RDP暴破、钓鱼邮件等方式对企业单位及个人用户进行攻击 ，使受害者遭受数据财产的严重损失 ，影响十分恶劣。
Tellyouthepass勒索病毒最早于2019年3月出现。Tellyouthepass勒索家族惯于在高危漏洞被披露后的短时间内利用漏洞修补的时间差 ，对暴露于网络上并存在有漏洞的机器发起攻击。其曾经使用过的代表性漏洞有：“永恒之蓝”系列漏洞、WebLogic应用漏洞、Log4j2漏洞、用友OA漏洞、畅捷通漏洞等。
LockBit勒索病毒出现于2019年末 ，并于2021年6月推出了LockBit 2.0版本。2.0版本引入了卷影复制和日志文件删除等新功能 ，使受害者更难恢复。2022年6月 ，LockBit勒索病毒家族再次完成升级 ，并于2022年7月推出LockBit3.0正式版本。最新版的病毒主要在免杀方式又做了更进一步的加强 ，持续优化了安全软件的对抗能力。
来自浙江的一家企业近日受到了勒索病毒的攻击 ，企业内的一台数据库服务器中招 ，服务器中的重要数据被篡改为“.360”后缀 ，一时之间业务都被搁置。通过对被加密样本的分析检测 ，可判断此次攻击的病毒为BeijingCrypt勒索家族旗下的病毒变种。该企业在发现攻击后 ，立即采取措施加以遏制。
1.BeijingCrypt勒索病毒的攻击目标依然是Windows服务器。当BeijingCrypt勒索病毒成功入侵服务器之后 ，会将服务器作为僵尸机 ，然后对网络中存在漏洞的其它计算机进行扫描并尝试入侵。2.BeijingCrypt在完成数据加密后 ，会显示一个勒索信息 ，要求用户支付一定数量的加密货币才能恢复文件。
国内某企业遭到勒索病毒攻击 ，感染了1台服务器 ，系统中的重要文件都被加密 ，并且无法正常打开 ，影响了部分业务的运行。根据对被加密样本的分析 ，可以确定此次攻击的病毒为Lockbit 3.0勒索病毒。Lockbit 3.0在执行加密时 ，使用了AES-256和RSA-2048两种加密算法来加密服务器上的重要文件 ，后缀由随机的字母+数字组成。加密完成后 ，会在每个目录下生成勒索信息文件 ，提示受害者如何缴纳赎金获取解密工具。
在线点评：
1.LockBit勒索软件团伙自 2019 年 9 月推出勒索软件即服务 (RaaS) 模式以来一直十分活跃 ，并在各大俄语黑客论坛招募威胁行为者进行破坏和攻击 ，并为他们提供技术支持。
2.随着LockBit病毒3.0版本的发布 ，该行动引入了勒索软件团伙提供的第一个漏洞赏金计划 ，要求安全研究人员提交漏洞报告以换取奖励。
位于山东省的某企业称其遭到Mallox勒索病毒攻击。在攻击期间 ，勒索软件操纵者设法获得对内部域管理的控制权后 ，在服务器上安装了Mallox勒索软件 ，然后对目标文件进行加密并将其扩展名更改为“.xollam” ，使得用户无法再正常打开这些文件。同时 ，Mallox勒索病毒还留下了文件名为“FILE RECOVERY.txt”的赎金票据。
在线点评：
1.Mallox勒索病毒传播渠道有多个 ，包括匿隐僵尸网络、横向渗透以及数据库弱口令爆破。
2.Mallox勒索病毒运行后迅速加密数据库文件 ，导致文件不可用 ，影响业务运行 ，同时还会尝试在内网中横向移动 ，获取更多设备的权限并进一步扩散。勒索软件具有强破坏性。一旦运行起来 ，用户很快就会发现其特征 ，如部分进程突然结束、文件不能打开、文件后缀被篡改、屏保壁纸被更换等。当我们已经确认感染勒索病毒后 ，应当及时采取必要的自救措施。之所以要进行自救 ，主要是因为：等待专业人员的救助往往需要一定的时间 ，采取必要的自救措施 ，可以减少等待过程中 ，损失的进一步扩大。
（一）隔离中招主机
当确认服务器已经被感染勒索病毒后 ，应立即隔离被感染主机 ，防止病毒继续感染其他服务器 ，造成无法估计的损失。隔离主要包括物理隔离和访问控制两种手段 ，物理隔离主要为断网或断电；访问控制主要是指对访问网络资源的权限进行严格的认证和控制。物理隔离常用的操作方法是断网和关机。断网主要操作步骤包括：拔掉网线、禁用网卡 ，如果是笔记本电脑还需关闭无线网络。加策略防止其他主机接入 ，关闭感染主机开放端口如 445、135、139、3389 等。修改感染主机及同局域网下所有主机密码 ，密码采用大小写字母、数字、特殊符号混合的长密码。
（二）排查业务系统
在已经隔离被感染主机后 ，应对局域网内的其他机器进行排查 ，检查核心业务系统是否受到影响 ，生产线是否受到影响 ，并检查备份系统是否被加密等 ，以确定感染的范围。
（三）联系专业人员
在应急自救处置后 ，建议第一时间联系专业的技术人士或安全从业者 ，对事件的感染时间、传播方式、感染家族等问题进行排查。
面对严峻的勒索病毒威胁态势 ，CA88第59号实验室提醒广大用户 ，勒索病毒以防为主 ，注意日常防范措施 ，以尽可能免受勒索病毒感染：
① 及时给办公终端和服务器打补丁 ，修复漏洞 ，包括操作系统以及第三方应用的补丁 ，防止攻击者通过漏洞入侵系统。
② 尽量关闭不必要的端口 ，如139、445、3389等端口。如果不使用 ，可直接关闭高危端口 ，降低被漏洞攻击的风险。
③ 不对外提供服务的设备不要暴露于公网之上 ，对外提供服务的系统 ，应保持较低权限。
④ 企业用户应采用高强度且无规律的密码来登录办公系统或服务器 ，要求包括数字、大小写字母、符号 ，且长度至少为8位的密码 ，并定期更换口令。
⑤ 数据备份； ，对关键数据和业务系统做备份 ，如离线备份 ，异地备份 ，云备份等 ， 避免因为数据丢失、被加密等造成业务停摆 ，甚至被迫向攻击者妥协。
⑥ 敏感数据隔离 ，对敏感业务及其相关数据做好网络隔离。避免双重勒索病毒在入侵后轻易窃取到敏感数据 ，对公司业务和机密信息造成重大威胁。
⑦ 尽量关闭不必要的文件共享。
⑧ 提高安全运维人员职业素养 ，定期进行木马病毒查杀。
⑨ 部署CA88数据库防火墙 ，可专门针对RushQL数据库勒索病毒进行防护。
⑩ 安装诺亚防勒索软件 ，防御未知勒索病毒。
为了更好地应对已知或未知勒索病毒的威胁 ，CA88通过对大量勒索病毒的分析 ，基于零信任、守白知黑原则 ，创造性地研究出针对勒索病毒的终端产品【诺亚防勒索系统】。诺亚防勒索在不关心漏洞传播方式的情况下 ，可防护任何已知或未知的勒索病毒。以下为诺亚防勒索针对勒索病毒的防护效果。
CA88诺亚防勒索可通过服务端统一下发策略并更新。默认策略可；ffice文档【如想；な菘馕募可通过添加策略一键；ぁ。
无诺亚防勒索防护的情况下：
在test目录下 ，添加以下文件 ，若服务器中了勒索病毒 ，该文件被加密 ，增加统一的异常后缀 ，并且无法正常打开。
开启诺亚防勒索的情况下：
双击执行病毒文件 ，当勒索病毒尝试加密被；の募 ，即test目录下的文件时 ，诺亚防勒索提出警告并拦截该行为。
查看系统上被测试的文件 ，可被正常打开 ，成功防护恶意软件对被；の募的加密行为。
开启堡垒模式的情况下：
为；は低橙课募 ，可一键开启诺亚防勒索的堡垒模式。堡垒模式主要针对亚终端 ，例如ATM机 ，ATM机的终端基本不太会更新 ，那么堡垒模式提供一种机制：任何开启堡垒模式之后再进入终端的可执行文件都将被阻止运行 ，从而实现诺亚防勒索的最强防护模式。
运行在堡垒模式下 ，执行该病毒 ，立刻被移除到隔离区 ，因此可阻止任何已知或未知勒索病毒的执行。
浙公网安备 33010502006954号
浙ICP备12021012号-1
