《从八个方面认识勒索攻击和危害》之六：重要攻击特征

        目前，几乎所有的网络攻击都可以结合“网络杀伤链”模型来进行分析，但具体到不同的威胁攻击类型，其在实际操作上又有明显的区别与特点。勒索攻击从诞生以来发展至今，在一些攻击手段与攻击模式上，同样也有其显著的地方。

        本期内容，安天垂直响应服务平台运营组将围绕勒索攻击目前主要的攻击特征进行总结分析。

勒索攻击专题

        《从八个方面认识勒索攻击和危害》之一：勒索攻击中的四种分工角色

        《从八个方面认识勒索攻击和危害》之二：勒索攻击的两种典型模式

        《从八个方面认识勒索攻击和危害》之三：惯用传播方式与侵入途径

        《从八个方面认识勒索攻击和危害》之四：“勒索攻击杀伤链”分析

        《从八个方面认识勒索攻击和危害》之五：四种主要勒索类型

一、远程桌面（RDP）弱口令暴力破解为主要侵入手段

        所谓“弱口令”可以简单理解为：系统账户密码复杂度较低。

        远程桌面（RDP）弱口令暴力破解成功后，攻击者可以远程登录包括普通计算机与服务器等终端进行操作。

        一些用户在使用或管理终端时，为了方便记忆，经常会对系统账户使用一些简单、相似甚至统一的密码，而远程桌面协议（RDP）只需主机的账户与密码，即可访问主机内资源。弱口令虽然在一定场景下给用户带来便利，但也同时给勒索攻击者创造了可趁之机。

        攻击者通过自己编写或购买的方式获得RDP暴力破解工具；在取得管理员权限后，攻击者会进一步使用凭据获取工具，获得本机或域内凭据，用于内网渗透，并使用内网扫描工具，寻找网络内高价值服务器；同时，攻击者还会使用相关工具试图关闭或破坏安全防护软件。

二、漏洞利用明显增加

        随着网络安全教育普及，不少用户的警惕性都有所提升，垃圾邮件、钓鱼邮件、恶意广告、水坑攻击等传播方式与侵入途径的成功率也因此有所降低。因此，攻击者逐步开始更多的选择利用操作系统、Web服务、数据库、软件等关键位置存在的漏洞进行攻击侵入。

        漏洞攻击往往令用户不易察觉，譬如：“零日漏洞”（zero-day或0day）就是一种一经发现就立即被恶意利用的安全漏洞，其中非常具有代表性的就是MS17-010（Eternal blue永恒之蓝）漏洞， “魔窟”（WannaCry）就是利用了该系统漏洞，实现了全球范围内的大爆发[1]。

三、内网横向渗透扩大攻击范围

        攻击者侵入被攻击目标系统后，并不会急于立即实施窃密、加密、锁定、破坏等操作，而是继续使用弱口令暴力破解，或利用其他漏洞进行内网横向渗透，尽可能增加受控设备数量，扩大攻击范围。

        即使用户可以通过内外网隔离，来提高勒索攻击的门槛，但若前置设备或关联设备有可利用的漏洞，攻击者依然可以侵入到内网。

        因为大部分勒索攻击的目的就是赎金，所以无论是非定向勒索攻击还是定向勒索攻击，攻击者都企图在受害者身上，牟取更多的赎金，而扩大勒索设备数量与数据体量，是成本较低又能直接加倍施压受害者进而要求更多赎金的有效方式。所以，内网横向渗透扩大攻击范围，不仅是勒索攻击的典型特征，也是目前勒索攻击的必要执行流程节点。

四、定向勒索攻击愈趋增多

        早期勒索攻击大规模爆发时，主要通过垃圾邮件、钓鱼邮件、网页挂马等方式传播，导致大量用户深受其害。但随后攻击者发现，普通用户的数据价值相对更低，一般无法获得高额赎金；相反企业用户的资料数据一旦丢失，将会极大地影响业务的正常运转，因此企业用户往往会积极支付赎金来挽回数据。

        所以，攻击者愈发趋向于针对企业用户或特定目标，专门实施定制化的定向勒索攻击，以求牟取更多的非法经济利益。

        在本系列的第二期内容《勒索攻击的两种典型模式》中，关于定向勒索攻击有详细的分析，可点击前往阅读。

五、针对关键基础信息设施与工控系统的攻击显现

        面向公众提供网络信息服务或支撑能源、通信、金融、交通、公共事业等重要行业运行的信息系统或工业控制系统（简称“关基设施”），是保障社会高效运转的重要组成，一旦遭受勒索攻击，可能导致涉及民生领域的重要信息系统被迫停止运转，直接影响人民群众的生产生活。

        工业企业网络环境主要由工业控制网络和企业信息网络组成，其中企业信息网络连接了互联网环境，形成了暴露面，即有了遭受互联网环境中勒索攻击的风险。攻击者可以通过企业信息网络侵入或摆渡方式将勒索软件传播到工控网络中，进而导致工业控制系统无法运行。

        比如，2021年5月，安天CERT发现一起入侵工控系统并最终投放勒索软件的攻击事件，此次事件影响了欧洲一些国家的工业企业，部分用于工控业务的服务器被加密，导致工控业务系统临时关闭。经过分析，该起攻击事件归属于一个新的勒索软件家族Cring（也被称为Crypt3r，Vjiszy1lo，Ghost，Phantom）[2]。

总结与建议

        通过勒索攻击目前的攻击特征分析不难发现，在经过长时间的发展后，攻击者不仅总结出了更有效率的攻击方式，同时也在不断的尝试造成更大影响，进而牟取更多非法利益。

       用户在短时间内无法实现安全用网规范与完善防护系统的情况下，可以针对勒索攻击的特征采取一些简单的防护措施，譬如：为系统账户设置强密码，不同账户间设置差异的且无任何关联的强密码，提高远程桌面（RDP）弱口令暴力破解的门槛；保持系统更新、应用软件更新以及安全软件更新，及时安装安全漏洞补丁，降低漏洞利用的可能等等。但这只是退而求其次的方案，面对日益复杂多变勒索攻击态势，特别是一些网络犯罪组织所发动的定向勒索攻击，具有APT（高级可持续威胁攻击）定向攻击水准，用户需要构建更为动态的综合勒索攻击安全防护系统与不断提升安全运营水平，才能更有效的保障自身利益免受侵害。

        安全有效性从不会一劳永逸，需要持续安全运营。安天垂直响应服务平台运营组推荐安天全线产品，可以有效支撑构筑用户安全防护系统（详见附件）。

下期预告

        下一期内容，十类勒索软件家族简介，敬请期待。

参考资料：

[1] 安天针对勒索蠕虫“魔窟”（WannaCry）的深度分析报告

https://www.antiy.com/response/wannacry.html

[2]《针对工控的勒索软件Cring样本分析》.2021/5/28

https://www.antiy.cn/research/notice&report/research_report/20210528.html

本文作者：AntiyLab

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/168994.html