“誠(chéng)實(shí)的”勒索軟件團(tuán)伙的過(guò)去早已一去不復(fù)返了。過(guò)去，勒索軟件團(tuán)體相互施壓，要求對(duì)方在支付贖金后兌現(xiàn)文件解密承諾。然而，他們的動(dòng)機(jī)遠(yuǎn)非利他主義。他們認(rèn)為，如果他們的文件永遠(yuǎn)無(wú)法恢復(fù)的消息傳開(kāi)，受害者將不太愿意支付。今天，游戲規(guī)則已經(jīng)發(fā)生了巨大的變化。

現(xiàn)在，勒索軟件環(huán)境就像狂野的西部。幾乎任何事情都會(huì)發(fā)生，即使是技術(shù)技能有限的演員也可以參與其中。但最終，威脅組織可能搬起石頭砸自己的腳。如果攻擊者破壞了您的文件，那么支付贖金有什么意義呢？

在勒索軟件相對(duì)較新的時(shí)代，數(shù)據(jù)竊賊之間有一種榮譽(yù)準(zhǔn)則。他們互相鼓勵(lì)，一定要在收款后解密受害者的檔案。過(guò)去，敲詐勒索者擔(dān)心，如果人們認(rèn)為他們無(wú)法取回文件，他們可能不會(huì)付款。

(資料圖片)

快進(jìn)到今天，我們發(fā)現(xiàn)了什么？我們有像Onyx這樣的勒索軟件，它會(huì)刪除任何大小超過(guò) 2MB 的文件，從而導(dǎo)致它們永久丟失。如果受害者支付贖金，則只能檢索小于此閾值的文件。

最初，安全專(zhuān)家認(rèn)為覆蓋文件是蓄意針對(duì)最大可用文件的嘗試。但是，鑒于目前的理解是閾值是 2MB，文件覆蓋可能是偶然的。無(wú)論是故意的惡意行為還是無(wú)意的編碼錯(cuò)誤，結(jié)果都是一樣的：Onyx 受害者永遠(yuǎn)無(wú)法取回更大、更重要的文件。

早期的勒索軟件威脅非常簡(jiǎn)單：攻擊者僅通過(guò)文件加密和滲漏來(lái)威脅受害者。接下來(lái)，犯罪分子也開(kāi)始威脅要在暗網(wǎng)或公共互聯(lián)網(wǎng)上泄露或出售數(shù)據(jù)。專(zhuān)家稱(chēng)這種做法為“雙重勒索”。但網(wǎng)絡(luò)罪犯并沒(méi)有就此止步?，F(xiàn)在，有三重勒索，其中包括：

三重勒索攻擊帶來(lái)了新的危險(xiǎn)。惡意行為者可能會(huì)采取各種方法來(lái)增加對(duì)受害者的壓力。他們可能會(huì)向受害者的客戶(hù)或供應(yīng)商索要贖金，包括發(fā)出數(shù)據(jù)泄露威脅、發(fā)動(dòng) DDoS 攻擊甚至撥打恐嚇電話。在一個(gè)特別值得注意的案例中，網(wǎng)絡(luò)罪犯通過(guò)劫持一家公司的打印機(jī)并打印炸彈勒索贖金票據(jù)，進(jìn)行了三重勒索勒索軟件攻擊，直到受害者付清贖金。

如今，勒索軟件已成為勒索軟件即服務(wù)(RaaS) 的主流。RaaS 已成為更大的惡意軟件即服務(wù)(MaaS) 趨勢(shì)的一部分。與 SaaS 同行一樣，MaaS 品牌可以擁有精美的網(wǎng)站、每月新聞通訊、新功能公告和定制。他們甚至擁有自己的視頻教程、白皮書(shū)和 Twitter 帳戶(hù)。

通過(guò)以服務(wù)形式提供勒索軟件，幾乎任何人都可以成為威脅者。有些包甚至是免費(fèi)提供的，這讓事情變得更加難以預(yù)測(cè)。10 月，Cryptonite勒索軟件成為對(duì) Microsoft Windows 系統(tǒng)的威脅。威脅行為者用 Python 編寫(xiě)惡意軟件并將其作為可訪問(wèn)的開(kāi)源工具包的一部分進(jìn)行分發(fā)。結(jié)果，任何人都可以免費(fèi)獲取和使用 Cryptonite。

Fortinet網(wǎng)絡(luò)安全研究人員對(duì) Cryptonite 進(jìn)行了分析，得出的結(jié)論是該勒索軟件的功能有限，僅提供基本功能。然而，研究人員發(fā)現(xiàn)了更糟糕的事情。即使受害者支付了贖金，Cryptonite 也不提供任何解密加密文件的方法。相反，它本質(zhì)上是一種擦除器惡意軟件，類(lèi)似于 Onyx。

Sophos 的研究表明，在 2021 年支付贖金的組織僅取回了 61% 的數(shù)據(jù)，低于 2020 年的 65%。同樣，支付贖金的組織中只有 4% 在 2021 年取回了所有數(shù)據(jù)，低于 8% 2020年。

Sophos 報(bào)告還顯示，2021 年遭受勒索軟件攻擊的組織中有 99% 恢復(fù)了一些加密數(shù)據(jù)。數(shù)據(jù)備份是用于恢復(fù)數(shù)據(jù)的首選方法，73% 的數(shù)據(jù)被加密的組織都使用這種方法。同時(shí)，46% 的人表示他們支付了贖金以恢復(fù)數(shù)據(jù)。研究結(jié)果表明，許多組織使用多種恢復(fù)方法來(lái)最大限度地提高恢復(fù)文件的速度和效率。

聯(lián)邦政府建議組織不要支付任何贖金。相反，公司應(yīng)該為惡意軟件攻擊做好準(zhǔn)備。例如，IT 團(tuán)隊(duì)?wèi)?yīng)該在異地維護(hù)關(guān)鍵數(shù)據(jù)的經(jīng)過(guò)測(cè)試的備份。此外，關(guān)于如何發(fā)現(xiàn)網(wǎng)絡(luò)釣魚(yú)企圖的持續(xù)安全培訓(xùn)應(yīng)該成為公司員工網(wǎng)絡(luò)意識(shí)戰(zhàn)略的一部分。

還有“不再勒索”倡議來(lái)對(duì)抗勒索軟件的影響。該計(jì)劃已成功幫助超過(guò)150 萬(wàn)受害者在不屈服于勒索要求的情況下解密他們的機(jī)器。在該計(jì)劃六周年之際，超過(guò) 1000 萬(wàn)人下載了解密工具。

2016 年，歐洲刑警組織、荷蘭國(guó)家警察 (Politie) 以及私人網(wǎng)絡(luò)安全和 IT 公司發(fā)起了 No More Ransom。隨著時(shí)間的推移，該計(jì)劃不斷壯大，現(xiàn)在為 165 種勒索軟件變體提供 136 種免費(fèi)解密工具，其中包括臭名昭著的毒株，如 GandCrab、REvil 和 Maze。

No More Ransom 已經(jīng)聚集了超過(guò) 188 個(gè)來(lái)自公共和私營(yíng)部門(mén)、執(zhí)法部門(mén)、學(xué)術(shù)界和其他部門(mén)的合作伙伴。該計(jì)劃繼續(xù)開(kāi)發(fā)新的解密工具，并憑借其提供 37 種語(yǔ)言的門(mén)戶(hù)，不斷幫助全球的勒索軟件受害者。

為防止成為勒索軟件攻擊的受害者，每個(gè)人都可以采取某些措施。數(shù)據(jù)備份比以往任何時(shí)候都更加重要。對(duì)于破壞文件的新勒索軟件變種，備份是取回文件的唯一方法。

此外，使用最新的安全補(bǔ)丁使安全軟件和操作系統(tǒng)保持最新?tīng)顟B(tài)也至關(guān)重要。采用多因素身份驗(yàn)證還有助于防止勒索軟件攻擊經(jīng)常利用的帳戶(hù)黑客攻擊和濫用行為。

編譯自：IBM securityintelligence

原作者：蘇波倫巴

關(guān)鍵詞：