美創安全實驗室威脅平臺顯示，2022年勒索病毒的攻擊次數在8月份最多，主要是由于TellYouThePass勒索病毒家族利用安全漏洞針對國內中小微企業發起大規模勒索攻擊造成的。
勒索病毒影響行業分布
美創安全實驗室威脅平臺顯示，2022年國內受勒索病毒影響的行業排名前三的是傳統行業、醫療行業、教育行業。其中，部分傳統行業的企業由于大量設備疏于安全加固與漏洞修復，受勒索病毒感染嚴重。
Phobos勒索軟件從2019年開始在全球流行，并一直保持著很高的活躍度，并常年占據勒索病毒榜單前三，其不斷推出新變種，并頻繁通過RDP暴破、釣魚郵件等方式對企業單位及個人用戶進行攻擊，使受害者遭受數據財產的嚴重損失，影響十分惡劣。
Mallox（又被稱作Target Company）最早出現于2021年7月中旬，并在2021年11月開始進入國內。其采用RaaS（勒索軟件即服務）模式運營，將企業作為其攻擊目標。Mallox病毒主要針對企業的Web應用發起攻擊，包括Spring Boot、Weblogic、通達OA等，在拿下目標設備權限后還會嘗試在內網中橫向移動，獲取更多設備的權限，危害性極大。
Tellyouthepass勒索病毒出現于2020年7月，主要以集成各種漏洞利用工具來進行傳播，曾經利用過MS16-032內核提權、“永恒之藍”等漏洞，在2021年底Apache Log4j2組件漏洞曝光后，迅速集成了武器庫，發動了大批量的攻擊。
Makop勒索病毒出現于2020年1月下旬，目前已知主要通過惡意郵件渠道傳播。Makop病毒加密的方式，是通過本地生成一個隨機的AES BLOB，使用RSA公鑰對其進行加密后放到被加密文件尾部，同時用上述隨機AES密碼對文件內容進行加密，全盤加密完成后對內存中使用到的隨機AES BLOB進行了清理。
BeijingCrypt勒索家族最早出現于2020年7月初，主要通過暴力破解遠程桌面口令后手動投毒。該病毒早期傳播因修改文件后綴為“.beijing”而被命名為BeijingCrypt，之后出現的變種會將被加密文件后綴修改為“.520”和“.360”。攻擊者向受害者索要4500美元到5000美元不等的等價虛擬貨幣作為贖金。
位于天津的某企業披露其在2022年4月初遭到RushQL勒索病毒攻擊，導致部分數據庫被加密。RushQL是針對數據庫的勒索病毒 ，相比其他勒索病毒而言，RushQL專門針對數據庫設計、并且具備一定潛伏期和隱蔽性，危害極大。
2022年5月中旬，浙江某廠商遭遇勒索軟件攻擊。該企業服務器上的軟件無法正常啟動，服務器上的文件也被加密鎖定，并增加了“.bozon”后綴。根據后綴可以判斷此次病毒為Mallox勒索家族的一個變種。Mallox勒索家族在今年不斷變種，每一個變種都在升級改變加密算法。
山東某企業遭TellYouThePass勒索家族攻擊，該企業內部人員透露：2022年8月末，其部分服務器和員工電腦被攻擊后中毒，中毒計算機的文件全部被鎖定為“.locked”后綴結尾，并在文件夾自動生成“READ_ME.html”文件。從病毒攻擊者留下的勒索信來看，需要支付0.2個比特幣。根據此次的加密后綴，初步判斷為TellYouThePass勒索病毒的變種。TellYouThePass勒索家族針對某廠商軟件存在的0day漏洞進行批量利用，導致2022年8月28日起，大量用戶計算機文件被該病毒加密。
2022年10月，河南某企業遭遇Phobos勒索軟件攻擊，導致數十臺服務器淪陷。在該企業發現攻擊并采取措施加以遏制之后，攻擊者也要求大筆贖金以幫助受害者恢復被加密的數據。據該企業內部人士稱，此次攻擊影響了部分業務的運行，因為部分重要數據存儲在該數據庫系統中無法獲得。
2022年11月初，遼寧某企業遭到勒索病毒攻擊，服務器大面積淪陷。在攻擊期間，勒索軟件操控者設法獲得對內部服務器的控制權后，在服務器上安裝了Monster勒索軟件。為了防止攻擊進一步蔓延，該企業關閉了部分系統。據悉，Monster 勒索軟件于 2022 年 7 月初采用 Raas模式在俄羅斯黑客論壇 Ramp 發布。
越來越多的勒索軟件組織正在采用“間歇性加密”策略，這種加密方法可更快地加密受害者系統，同時有助于勒索軟件組織逃避檢測系統，并減少被阻止的幾率。間歇性加密只加受害者文件的部分內容，但如果不使用有效的解密程序或密鑰，仍然無法恢復數據。LockFile勒索軟件是首批使用間歇性加密來逃避檢測機制的主要勒索軟件之一，每隔16個字節加密一次文件。此后越來越多的勒索軟件組織都應用了這一策略。
Rust 和 Golang 編寫的跨平臺勒索軟件成為“新一代”勒索軟件群體的武器。使用跨平臺語言可以提升勒索軟件的靈活性，有助于在實施攻擊時快速調整其策略，使其目標多樣化，便于進行更大規模、跨平臺的攻擊。
先從最初的單一加密勒索演化到“雙重勒索”，即在加密前攻擊者會先竊取大量受害者敏感數據，威脅受害者如果不繳納贖金則公開數據。而近期演化出的“三重勒索”模式，則是在雙重勒索的基礎上增加了DDoS攻擊威脅。
就像合法的軟件公司一樣，網絡犯罪組織也在不斷地為自己和他們的客戶開發“工具包”：例如，使數據泄露的過程更快、更容易。目前網絡上有非常多成熟的“工具”可以提供給攻擊者使用，這使得攻擊者在編寫勒索軟件時非常高效和快捷，這也是勒索軟件層出不窮的原因。
（一）隔離中招主機
（二）排查業務系統
在已經隔離被感染主機后，應對局域網內的其他機器進行排查，檢查核心業務系統是否受到影響，生產線是否受到影響，并檢查備份系統是否被加密等，以確定感染的范圍。
（三）聯系專業人員
面對嚴峻的勒索病毒威脅態勢，美創安全實驗室提醒廣大用戶，勒索病毒以防為主，注意日常防范措施，以盡可能免受勒索病毒感染：
① 及時給辦公終端和服務器打補丁，修復漏洞，包括操作系統以及第三方應用的補丁，防止攻擊者通過漏洞入侵系統。
② 盡量關閉不必要的端口，如139、445、3389等端口。如果不使用，可直接關閉高危端口，降低被漏洞攻擊的風險。
③ 不對外提供服務的設備不要暴露于公網之上，對外提供服務的系統，應保持較低權限。
④ 企業用戶應采用高強度且無規律的密碼來登錄辦公系統或服務器，要求包括數字、大小寫字母、符號，且長度至少為8位的密碼，并定期更換口令。
⑤ 數據備份保護，對關鍵數據和業務系統做備份，如離線備份，異地備份，云備份等， 避免因為數據丟失、被加密等造成業務停擺，甚至被迫向攻擊者妥協。
⑥ 敏感數據隔離，對敏感業務及其相關數據做好網絡隔離。避免雙重勒索病毒在入侵后輕易竊取到敏感數據，對公司業務和機密信息造成重大威脅。
⑦ 盡量關閉不必要的文件共享。
⑧ 提高安全運維人員職業素養，定期進行木馬病毒查殺。
⑨ 部署美創數據庫防火墻，可專門針對RushQL數據庫勒索病毒進行防護。
⑩ 安裝諾亞防勒索軟件，防御未知勒索病毒。
為了更好地應對已知或未知勒索病毒的威脅，美創通過對大量勒索病毒的分析，基于零信任、守白知黑原則，創造性地研究出針對勒索病毒的終端產品【諾亞防勒索系統】。諾亞防勒索在不關心漏洞傳播方式的情況下，可防護任何已知或未知的勒索病毒。以下為諾亞防勒索針對勒索病毒的防護效果。
美創諾亞防勒索可通過服務端統一下發策略并更新。默認策略可保護office文檔【如想保護數據庫文件可通過添加策略一鍵保護】。
無諾亞防勒索防護的情況下：
在test目錄下，添加以下文件，若服務器中了勒索病毒，該文件被加密，增加統一的異常后綴，并且無法正常打開。
開啟諾亞防勒索的情況下：
雙擊執行病毒文件，當勒索病毒嘗試加密被保護文件，即test目錄下的文件時，諾亞防勒索提出警告并攔截該行為。
查看系統上被測試的文件，可被正常打開，成功防護惡意軟件對被保護文件的加密行為。
開啟堡壘模式的情況下：
為保護系統全部文件，可一鍵開啟諾亞防勒索的堡壘模式。堡壘模式主要針對亞終端，例如ATM機，ATM機的終端基本不太會更新，那么堡壘模式提供一種機制：任何開啟堡壘模式之后再進入終端的可執行文件都將被阻止運行，從而實現諾亞防勒索的最強防護模式。
運行在堡壘模式下，執行該病毒，立刻被移除到隔離區，因此可阻止任何已知或未知勒索病毒的執行。
美創訂閱號
美創服務號
第59號公眾號
浙公網安備 33010502006954號