面对勒索软件的汹汹攻势,你应如何备战?

勒索软件是近年来增长快速的重大威胁。本文通过分析勒索软件的攻击方式、危害、发展趋势,探讨如何应对日益增多的勒索软件威胁,重点介绍沙箱技术在勒索软件检测的应用场景。

勒索软件通过加密受害者主机上的文档资料,索要赎金达到勒索的目的。勒索软件利用精心构造“阶段式”攻击方法,层层推进,逐步让受害者中招。

第一步,攻击者一般通过“水坑”或者“鱼叉”攻击,诱骗受害者点击,下载Launcher,通常是一个下载器,骗过防病毒软件的检测;

第二步,下载器链接黑客控制的服务器,下载真正的恶意文件,绕过防病毒检查,遍历受害者主机的文档,进行加密操作;

第三步,加密完成,在桌面醒目位置留下勒索信息;

1.勒索软件的危害

1.1 勒索软件的危害

勒索软件危害严重。2016年2月,美国一家医院,遭到勒索软件的入侵,文档被加密,业务系统无法识别,医生无法工作,病人无法接受治疗,医院陷入瘫痪。最后,医院不得以支付高达1万7千美金,换取文档资料的恢复,为此,医院的CEO专门发布了公开信,[1]

个人用户中了勒索软件,重要的资料,文档和照片等被加密,无法打开。及时按照勒索软件的指示,交纳赎金,依然存在被撕票的风险,严重者找不回来这些重要资料。绿盟科技客服部门,多次接到客户中了勒索软件的求助,咨询解决办法。

以上的案例可以看出,勒索软件对个人和企业,都有严重的影响。轻者如个人用户的资料文档损失,重者则使企业的业务运转停顿,无法持续。

1.2 勒索软件发展趋势

勒索软件在过去几年发展,呈现出这样的发展趋势:勒索软件的数量逐渐增多,富于变化,以及向多个操作系统,大数据平台进行扩散。

1)勒索软件数量持续增长

勒索软件的数量持续上升。勒索软件的制作者,得到赎金后,尝到甜头,相当于变相激励,制作越来越多的勒索软件;其他黑客组织,也会仿效,成为勒索软件的黑客犯罪团伙。根据赛门铁克2016年Q1的报告,2015年加密型勒索软件,占据所有勒索软件的比例越来越高,超过50%。从下面的图中柱状部分,加密型勒索软件的数量,每个月有数万个活跃的勒索软件。

勒索软件的受害者越来越多。卡巴斯基实验室2016年6月发布的研究报告[2],2015年4月至2016年3月,共有231万多人遭到勒索软件的侵害,比上一年提高17.7%。

2)勒索软件富于变化

同一个勒索软件家族,有多个变种。有时用Word宏感染,有时用js脚本的形式进行感染。勒索软件的制作者,处心积虑,时时关注最新漏洞披露情况,一旦发现可用的漏洞,便更新自己勒索工具。Gartner的报告显示[3],有勒索软件,最多使用15个漏洞利用进行攻击渗透。

2017年4月份发现的勒索软件Mole,将这种变化表现得淋漓尽致。据Palo Alto对此样本的研究[4],在短短的4天之内,Mole勒索软件就进行了三次变形。

3)勒索范围扩大化

勒索软件主要目标在Windows用户,逐步向移动设备(安卓),Mac OS X,Linux操作系统扩展。另外,勒索软件作者,还将Hadoop大数据平台,Elastic等数据分析平台纳入勒索目标,通过锁定数据库等手段进行勒索。

黑客通过一次的勒索行动,可以获利上百万美元,这是他们最大的动力。另外,随着比特币的流行,为黑客的转账行为提供方便。据报道,隐藏在勒索软件背后的黑客组织,在2015年,曾经获得了3亿多美金的利益。如此巨大利益回报,让黑客犯罪组织铤而走险。

另外,代码平台github上有关于勒索软件的开源程序,也为黑客提供了学习便利。更有甚者,暗网平台上,提供勒索软件定制服务,号称“ransomware as a service”,即勒索软件作为服务,可以制定勒索软件功能,针对杀毒软件的免杀等。勒索软件的制作者和发布者合作分工,加大了勒索软件的传播和感染风险。

勒索软件的发展趋势,深受黑客犯罪团伙利益的驱使。制作更多的勒索软件,攻击方式更精巧,武器更精良(漏洞利用),通过变形躲避终端防病毒的检测,尽可能感染更多的用户,才有可能收到更多的赎金。所谓“天下熙熙,皆为利来,天下攘攘,皆为利往”,在勒索软件的犯罪组织这里,体现的更加淋漓尽致。

2.勒索软件与APT威胁

APT高级持续性威胁,是另外一种高级威胁。勒索软件与APT威胁,既有相同点,也有不同点。比如,APT攻击也使用“水坑攻击”或者“鱼叉攻击”等手法进行入侵。但APT威胁,更多的是利用0Day漏洞,对抗的等级更高,通过APT事件的披露,更多的是国家之间的安全对抗。

比较 内容 勒索软件 APT
相似点 攻击手法 钓鱼邮件 鱼叉攻击

水坑攻击

攻击过程 下载器

最新的漏洞利用

下载器

最新漏洞利用

0Day漏洞

不同点 最终目的 勒索比特币 信息窃取
暴露方式 直接暴露 隐藏
僵尸网络 单点勒索 CnC网络

上表是APT威胁与勒索软件的异同点对比。在攻击手法和攻击过程上,二者类似。不过勒索软件更多借助垃圾邮件,广撒网,愿者上钩,钓到一个是一个。在攻击过程,都是“阶段式”攻击,如出一辙。APT威胁,攻击目标更高级,尽量隐藏自己,而勒索软件目的就是赤裸裸的索要赎金,感染加密后,立刻留下勒索信息。

中过勒索软件的企业,如果只是几个终端主机感染,没有造成重大损失,应该感到庆幸。试想,如果这次不是勒索软件,而是一起APT攻击,恐怕还有更大的风险在后面。勒索软件为企业敲响了警钟,需要认真对待高级威胁,尽管部署了很多安全产品,制定了安全管理规范,还是存在被入侵的风险。

3.勒索软件应对之道

勒索软件已成公害,世界范围内的用户和企业深受其苦。对于不慎感染勒索软件的用户,到底应该怎么办?支付和不支付赎金,这是一个问题。不支付,重要的文档,珍贵的图片,全部损失掉;对于企业,业务停顿,商业声誉降到最低点。如果支付,有可能解密恢复文件,业务系统恢复正常。但是,这也同时鼓励勒索行为,助长了黑客的气焰,变相提供资金支持。

这个矛盾的选择,网络上引起广泛讨论。如果能够恢复回来,没有人愿意给黑客支付赎金。在没有办法进行恢复的情况下,想要找回文件,恢复业务系统,就像前面提到的医院那样,为了恢复医院正常运营,不得不支付赎金。

3.1 勒索软件公益项目解密工具

各国政府和安全企业,积极参与勒索软件犯罪的打击和治理。欧洲刑警组织,联合卡巴斯基和Intel安全,成立了“no more ransom”公益项目[5],收集和整理部分勒索软件的解密工具。感染了勒索软件,应该首先浏览这个网站,碰碰运气,看看是否存在解密工具。网站提供了工具,上传两到三个被勒索软件加密的文档后,网站后台进行分析,判断是否有工具可用。笔者粗略浏览,网站提供30多个解密工具可用。

虽然有公益组织,提供部分解密工具,不过也只是一小部分;而且,勒索软件犯罪组织,一旦发现有破解方法,也会更新加密算法,让解密工具失效。

3.2 勒索软件应对之道

防范于未然,才是勒索软件的应对之道。安全意识培训,备份和采用高级威胁检测设备,是防范勒索软件的最佳实践。

首先,员工需要进行有效的安全意识培训,点击之前应思考。毕竟,APT威胁和勒索软件,都带有社交工程的色彩,诱骗用户点击。员工安全意识足够强,具有基本的分辨能力,不因好奇而点击不明身份的链接和附件,从源头上,遏制对勒索软件的感染风险。

其次,定期数据备份。一旦勒索软件加密文档,备份对数据恢复,业务持续性就显得尤为重要。备份要满足“3-2-1”的原则:即3份数据拷贝,要分散在2个不同的物理地点,并且有一份备份是离线数据备份。数据备份和数据恢复,需要定期演练,模拟发生重大网络安全实践,应急响应团队对数据恢复流程的操作,满足规范,能够在有限的规定时间内完成恢复任务。

最后,采用具有未知威胁检测能力的安全产品和方案,实时检测和阻断勒索软件的入侵。勒索软件和APT威胁,同属于高级威胁,传统的安全手段,防病毒、防火墙、IPS等缺乏有效检测手段,被勒索软件的“阶段式”攻击轻松绕过。因此,需要引入未知威胁能力检测的产品,比如沙箱类安全产品,能够模拟用户终端环境,记录恶意软件的各个阶段的行为,分析这些行为之间的关联关系,判断其是否为勒索软件。

4.勒索软件检测和防御

安全意识培训和数据备份,前者是在勒索软件诱骗之前,后者防备勒索中招之后。绿盟科技高级威胁分析产品TAC,内置多个安全引擎。其中,安全信誉引擎和防病毒引擎,对已知勒索软件进行检测。

4.1 勒索软件检测引擎

绿盟科技高级威胁分析产品TAC,内置多个安全引擎。其中,安全信誉引擎和防病毒引擎,对已知勒索软件进行检测。

静态分析引擎和虚拟执行引擎(即沙箱),对未知的勒索软件进行检测。新的勒索软件,或是最新的变种,在虚拟环境里面运行,TAC记录和分析可疑文件的行为,根据其程序运行的逻辑,判断是否有勒索行为。额外的,通过与勒索软件家族的既有行为模式比对,判断其所属的家族。

4.2 勒索软件防护场景

1)邮件检测和防护场景

绿盟威胁分析系统TAC 邮件系列型号(以下简称TAC-E)的产品,是专门检测邮件高级威胁的网络沙箱类安全产品。针对邮件的高级威胁,主要有鱼叉APT威胁和勒索软件两大类。TAC-E接收到可疑的邮件,对其中的恶意URL和附件进行安全检测。

根据Osterman的调研[6],通过邮件方式感染的勒索软件,占所有感染方式的60%。邮件高级威胁的检测和隔离,是勒索软件防范重点。如上图所示,TAC-E与绿盟邮件安全网关(下称SEG)组成NGTP解决方案的邮件场景。外部邮件先通过SEG,过滤掉已知的病毒邮件和垃圾邮件;再经过TAC-E设备进行第二层过滤,勒索软件和APT威胁被隔离。

2)网络检测和防护场景

绿盟威胁分析系统TAC在线检测系列型号(以下称TAC-D),专门检测网络上传输的高级威胁产品。TAC-D既可以独立部署,也可以与网关设备联动,组成NGTP解决方案的网络场景。

TAC-D产品与绿盟网络入侵检测系统(下称NIPS)联动,NIPS检测和拦截已知的网络攻击,对于NIPS无法检测的可疑威胁,投递到TAC-D进行分析。根据分析结果,TAC-D生成本地安全信誉,与绿盟威胁情报中心(下称NTI)一道,为NIPS提供最及时的安全信誉,检测和阻断最新的高级威胁,最新的勒索软件。

4.3 勒索软件检测案例

某大型制造企业,深受勒索软件之苦。办公网员工,防范意识不够,多次感染勒索软件,文档被加密,影响工作。最严重的一次,领导的笔记本电脑中了勒索软件,对外投资的文档被加密,影响了企业的投资的进展,给合作方留下了负面印象。

客户购买了TAC产品,上线第一天,就发现了两起勒索软件。下图为其中一个勒索软件的分析报告。TAC对勒索软件的检测得到验证。

5.结语

勒索软件来势凶猛,是近两年增长最为快速的高级威胁。分析勒索软件的发展趋势,可以断言,未来的勒索软件还会持续增长,潜在的受害者也会持续攀升。

勒索软件带来了巨大挑战。防范于未然是勒索软件的应对之道。有效的安全意识培训,定期数据备份,采用高级威胁检测产品和方案,是防御勒索软件的最佳实践。

绿盟威胁分析系统TAC产品,配置强大的勒索软件检测引擎,与SEG,NIPS等传统安全产品组成NGTP解决方案,有效隔离已知和未知勒索软件,保护用户的文档数据安全,保障企业业务持续运行。

  [1]       https://www.databreaches.net/hollywood-presbyterian-medical-center-paid-17000-ransom-to-unlock-their-system/

  [2]       https://securelist.com/files/2016/06/KSN_Report_Ransomware_2014-2016_final_ENG.pdf

  [3]       Gartner Research, Ransomware Families and the Number of Vulnerabilities They Exploit

  [4] http://researchcenter.paloaltonetworks.com/2017/04/unit42-mole-ransomware-one-malicious-spam-campaign-quickly-increased-complexity-changed-tactics/

[5] https://www.nomoreransom.org/

[6] https://www.malwarebytes.com/pdf/white-papers/UnderstandingTheDepthOfRansomwareIntheUS.pdf

发表评论