数字化转型趋势下，如何有效防御勒索攻击？( 二 )

据深信服安全专家接到的勒索攻击咨询情况来看， 2021年全年勒索病毒活动数量仍然持续高走，勒索攻击咨询数据中，勒索病毒家族种类增加了约80% 。

文章图片
安全攻防是一场没有尽头的战争，而勒索病毒攻击则是战场上烧不尽的“野火” 。
在《2021上半年勒索病毒趋势报告》中，深信服安全专家提到了勒索病毒攻击的“三大演变趋势” ，从勒索方式、攻击方式以及目标平台三个方面总结了勒索病毒近年来的演变特点，详情点击链接查看：《深信服「2021上半年勒索病毒趋势报告」：一场全球爆发“流行病”需要这份“防疫药方”》
除了整体的大演变趋势外，勒索团伙也时刻跟进热点、注重创新，无论是在攻击阶段，还是在执行勒索加密阶段，都融合了一些新的技术手段，在2021年出现了四个小演变趋势。
深信服安全云脑数据显示，截至2021年底，利用该漏洞的攻击已超千万次，深信服成功帮助6000多家用户阻断非法入侵，并捕获Tellmeyoupass、Mirai、z0miner、H2miner、BillGates等十几个黑产组织。
从“永恒之蓝”到ApacheLog4j2组件漏洞可以看出，勒索团伙对新型漏洞的捕捉非常迅速，但其感染数据反映了当前仍存在大量主机没有针对常见高危漏洞进行合理加固的现象。由此针对ApacheLog4j2漏洞，不得不引起高度重视，详见深信服往期分析：《再曝3个高危漏洞！ApacheLog4j漏洞1个月回顾：警惕关键信息基础设施安全》
从2021年11月开始，深信服终端安全专家监测到一款名为Magniber的勒索病毒，该攻击团伙通过网页挂马、恶意广告等方式，让用户在不知不觉中访问了带攻击代码的恶意链接，触发浏览器漏洞后自动下载执行勒索病毒。该团伙目前主要利用到的漏洞有CVE-2021-26411与CVE-2021-40444 ，执行远程命令下载恶意DLL再注入白进程进行加密。

文章图片

文章图片

在2021年的勒索病毒跟踪中，深信服终端安全专家发现了2种“白+黑”利用方式，一种是常见的DLL注入，而另一种则是直接利用微软的编译程序直接编译执行加密代码，例如aspnet_compiler.exe 。

文章图片
△攻击者释放恶意代码目录下的aspnet_compiler.exe
在2021年的勒索病毒攻击事件攻击中，深信服安全团队跟踪发现， GlobeImposter勒索病毒已经利用MSSQL暴力破解进行入侵攻击，暴力破解成功后，通过存储过程执行系统命令，使用cmd命令或powershell命令下载病毒执行勒索病毒。由于MSSQL服务所关联的业务通常较为重要，一旦入侵成功，攻击者可以选择投放后门程序进一步人工渗透，也可以直接通过自动化的执行命令下载运行勒索软件。

文章图片
△图片来源于深信服EDR检测日志
勿以“勒索”为小事，积小疾而成大患。
要想科学“抗病毒” ，预防姿势分两步。
针对用户担忧业务安全、想了解业务现存风险的情况，深信服特推出“免费勒索风险排查” 。从“高危可利用漏洞”、“高危端口”、“攻击行为”、“安全设备行为”的不同维度，安全专家将帮助用户深入排查勒索利用的脆弱项，提前预知入侵风险，同时免费送上专家级安全加固方案，更有详细操作指引。报名成功后， 0.5天即可部署上线， 3天内即可完成围绕勒索病毒入侵全流程的风险排查。