勒索軟件新常態
責編：gltian ｜2019-03-25 14:19:10不要讓過去一年中勒索軟件攻擊數量的整體下降欺瞞了你的雙眼：對大型企業和組織機構發起的“少而精”的攻擊是數據劫持的新行為模式。
趨勢科技的數據顯示，去年勒索軟件攻擊的數量下降了91%；但同時，約75%的公司企業儲備了加密貨幣。據Code42的調查研究，其中大多數都向攻擊者支付了贖金?？傮w上，去年超過80%的勒索軟件感染都是針對企業的，因為網絡犯罪團伙開始將目光放到大型企業身上——那些比隨機受害者或消費者更有能力支付大額贖金的企業。
近幾個月爆發的GandCrab 勒索軟件的進化發展，表明此類更有選擇性的攻擊能為使用它們的網絡罪犯帶來更多利益——勒索軟件威脅還遠未結束。
安全公司CrowdStrike情報副總裁 Adam Meyers 稱：
勒索軟件仍將持續。幾年前我們面對的是DDoS敲詐，當沒人再會支付贖金時，此類攻擊消散了。但他們轉向了勒索軟件攻擊，并且賺得盆滿缽滿。
CrowdStrike最近將GandCrab網絡犯罪組織（該公司將之命名為“Pinchy Spider”）加入了其四大最新網絡犯罪組織監視名單，名單上的四個網絡犯罪團伙玩得都很大，贖金動輒幾十上百萬美元。另外三個勒索大型目標的網絡犯罪團伙分別是：SamSam背后的 Boss Spider；BitPaymer背后的 Indrik Spider；以及部署Ryuk的 Grim Spider。
他們的針對性入侵手法特別像來自伊朗、俄羅斯等國的攻擊。他們在企業網絡內大肆部署勒索軟件，部署深度和廣度遠超以往，索要贖金數額特別巨大。這是勒索軟件部署方式的進化，表明網絡罪犯已經意識到以破壞性方式對大企業下手能賺得更多。
Pinchy Spider 以其GandCrab 勒索軟件即服務(RaaS)模式聞名。該模式中，勒索軟件作者與其網絡罪犯客戶建立合作伙伴關系，抽取60%-70%的勒索所得。
Gandcrab的創建者將其RaaS許可稱為 “Dashboard Essential”。老牌安全供應商Sophos最近的研究顯示，這種模式下勒索軟件黑客新手在2個月的使用期內只需支付100美元便可感染200個受害者。
Sophos首席研究科學家 Chester Wisniewski 稱，Gandcrab攻擊者索要贖金在30萬到40萬美元之間。該勒索軟件作者也提供源代碼許可，售價1,200美元。該許可允許買家對勒索軟件稍作調整以便躲過反惡意軟件程序的檢測。買家甚至可以用自己的標志替換掉Gandcrab的標志，這是該勒索軟件的打包選項之一。
勒索軟件罪犯在Shodan搜索引擎的幫助下，從機會性攻擊轉向了更具針對性的攻擊。他們通常先搜索遠程桌面協議(RDP)開放的端口，然后在顯示可利用商業信息的IP段搜索RDP開放主機。被選中的受害者就已經具有針對性了，他們需要隸屬于某家公司的。
只要在初始受害者處建立了據點，他們便利用標準滲透測試工具四處探測。Windows遠程訪問工具PsExec和Mimikatz之類工具被用來從內存中抽取口令。攻擊者在進入系統后還會分析受害者，找出他們備份數據的方式，然后禁用備份功能并刪除已備份數據。
2月中旬的一次GandCrab攻擊尤為持久：感染目標網絡的首次嘗試失敗后，攻擊者用合法工具 Sysinternals Process Monitor、Process Hacker 和 LAN Search 再次偵察了受害者的網絡。攻擊的第三天，攻擊者手動卸載了阻礙Gandcrab安裝的安全軟件；用偷來的RDP憑證將Gandcrab擴散到了受害網絡的其他主機上。
偃旗息鼓的SamSam
同時，又名 Boss Spider 的著名勒索軟件犯罪團伙SamSam，在美國司法部就去年亞特蘭大市勒索軟件攻擊事件起訴其兩名伊朗籍成員 Faramarz Shahi Savandi 和 Mohammed Mehdi Shah Mansouri 后，相對消停了下來。
那次攻擊鎖定了約3,800臺工作站和服務器，令亞特蘭大市政府停轉，造成數百萬美元損失，因為該市政府沒有向攻擊者支付價值約5.1萬美元的加密貨幣贖金。