专栏首页用户6477171的专栏​2019勒索事件回顾 RDP弱口令渗透愈演愈烈

​2019勒索事件回顾 RDP弱口令渗透愈演愈烈

一、简述

根据“火绒在线支持和响应中心”平台数据显示,2019年中,国内遭受勒索病毒攻击的政企逐渐增加,勒索病毒依旧是企业网络安全的严重威胁之一。

犯罪组织的运营方式越发正规,通过RaaS(Ransomware-as-a-Service勒索软件即服务)方式运营的勒索病毒愈来愈多,通过在“暗网”招收不同地区的代理进行合作,利用RDP弱口令渗透、钓鱼邮件、软件捆绑、漏洞等多种手段进行传播。

除加密文件勒索赎金外,如Maze勒索还增加了盗取企业数据的行为,如不交付赎金将泄露被盗取的数据,逼迫企业即使在有文件备份的情况下,为了数据不被泄露不得不交付赎金,并且此行为得到其他勒索病毒运营者的认同,未来盗取数据可能成为勒索病毒的主流行为。

本文会以火绒2019年处理的勒索病毒事件内,所处理的病毒种类、数量、易受攻击用户等进行说明,并介绍火绒企业版对勒索病毒的防护方式与使用火绒后的安全建议。

二、2019年勒索病毒攻击数据

根据“火绒在线支持和响应中心”平台统计,2019年勒索病毒攻击事件呈现以下三大特点:

病毒数量不断上升。在2019年内,火绒拦截到的勒索病毒的种类、家族(包含变种)复杂多样,且数量巨大,与往年相比依旧呈现上升现象。其中,活跃度前三的勒索病毒为:GlobeImposter、Crysis(Dharma)、Sodinokibi。(如下图)

以政企单位为主。根据火绒全年内对客户提供的技术支持得出,遭遇勒索攻击的多为企业用户。分析原因是由于企业用户的网络(如服务器)多暴露在公共网络,加上企业多使用老旧系统存在未修复的漏洞,以及管理人员安全意识薄弱等各类因素,共同造成企业用户较个人用户而言,更容易被勒索病毒识别攻击的结果。

仅以火绒提供数据显示,典型的如制造业、电子与互联网、医疗、政府单位以及教育行业等,在2019年内均受到较为严重的勒索攻击。(如下图)

传播方式多样。火绒安全2019年内处理的勒索事件中,RDP弱口令渗透依旧是勒索病毒最常见的传播方式,占总攻击次数的6成以上。其次为钓鱼邮件传播,通过海量钓鱼邮件传播勒索病毒。其余的攻击方式有利用僵尸网络传播、利用高危漏洞传播、使用激活工具传播与利用下载器传播等。(如下图)

除了RDP弱口令渗透以外,犯罪组织还会通过钓鱼邮件、僵尸网络、激活工具、高危漏洞等方式传播勒索病毒:

钓鱼邮件会通过构造迷惑性内容,如伪装成政府机构或快递信息,欺骗用户下载邮件内附件或点击邮件内连接,使病毒成功运行。

僵尸网络、银行木马等与勒索病毒的合作也越来越多,例如MegaCortex勒索病毒会通过Qakbot银行木马传播,Ryuk勒索病毒会通过Trickbot银行木马传播。

此外,个人用户常会遇到以激活工具、破解软件、下载器方式进行传播的勒索病毒,如计算机并未安装安全软件,即有文件被加密的可能。例如STOP勒索会藏匿在激活工具、下载器、破解软件内,”微信支付”勒索伪装成薅羊毛软件等。

三、RDP弱口令渗透与勒索病毒的相互借助

1、RDP弱口令如何成为勒索病毒的“帮手”

远程桌面协议RDP,此协议为”远程桌面”类工具常用协议,Windows内的"远程桌面",Linux内的"rdesktop",第三方软件"wfreerdp"均使用此协议。只需主机的账户与密码,即可访问主机内资源,多用于远程协助与远程运维。

犯罪组织通过RDP暴破,或于黑市上购买RDP凭证(最低只需6美元),通过有管理员权限的账户进行登录。在成功登录后,黑客会使用Mimikatz类凭据获取工具,获取本机或域内凭据,用作内网渗透,同时使用内网扫描工具,寻找网络内高价值服务器(OA、文件服务器、数据库服务器)等,在进行文件加密前,会使用工具破坏服务器内的安全环境(关闭Windows Defender,破坏安全软件),以上操作成功后,运行勒索病毒加密文件。

2、RDP弱口令传播成为勒索病毒入侵主要方式原因

在火绒2019年处理的勒索事件中,勒索病毒多选择使用RDP进行传播,占全部勒索事件的61%。

火绒工程师分析,出现此类问题,多为企业内存在密码强度弱、密码复用等安全问题,除RDP外,无论是远程控制使用的VNC,还是Sql Server、Tomcat、FTP,都有因弱口令,被暴破成功后入侵的可能。

值得一提的是,在本文统计的2019年8款高危勒索病毒一览(见后附录部分)中,有6类均是以RDP弱口令渗透传播为主。

四、勒索病毒与安全厂商的攻防趋势

1、勒索病毒的攻击形式不容乐观

犯罪组织攻击渠道不断转变。在过去的2019年里,勒索病毒的攻击方式从漏洞、邮件、激活工具等大比例转变为RDP弱口令渗透,让安全防御难度增大。

病毒攻击次数呈现递增形式。虽然在过去的几年内,安全厂商不断研发技术,并向用户普及勒索病毒的危害、基础防御方法,但在利益的驱使下,勒索病毒攻击依旧高涨,甚至形成了完整的产业链。

对病毒的破解手段单一。目前,绝大多数的勒索病毒使用的是非对称的加密手段,几乎无法破解。只有极少数的勒索病毒在使用对称加密或主动留下密钥,才有机会破解。

2、安全防御由单一的对抗(拦截、查杀)转为对传播渠道的主动封堵。

对终端进行全面加固。高危漏洞、暴露在外网的服务器、各类程序软件的漏洞成为勒索病毒入侵终端的一大方式,因此,对系统、软件的漏洞防御,对服务器的保护成为过去的一年中重要防御方向。

对传播渠道的遏制。上述RDP弱口令渗透愈演愈烈,让勒索病毒借助并大肆传播。如何遏制此类攻击,成为2019年后,安全领域亟待完善和加强的防御领域。

3、火绒的策略

主防的进一步加强。除了常规的病毒拦截以外,火绒在去年推出“漏洞攻击拦截”功能、“应用加固”以及“僵尸网络防护”、“Web服务保护”等功能都是针对终端脆弱点进行防护,极大减少勒索病毒进入的风险。

RDP登录防护。2019年中,火绒除了在个人版5.0上新增“远程登录防护”功能预防弱口令渗透外,火绒企业版也推出"远程登陆防护"功能,可通过设置IP白名单,拒绝并追踪陌生可疑设备进行RDP登录。此外,火绒也将RDP弱口令渗透作为重点防御领域,未来也将制定完整的防护策略,遏制此类攻击。

图示:在开启此功能后,进行RDP登录,并被火绒阻止,并记录日志,其中包含远程主机IP,与登录使用的用户名等信息。

五、针对勒索病毒的防御措施

1、部署安全软件,防御以邮件、恶意捆绑、僵尸网络等方式传播的勒索病毒,对其查杀或阻止其运行,提高终端安全性。

2、使用复杂密码,Windows账户所用密码需符合密码复杂度要求(密码长度需大于等于8位,至少含有大/小写字母、数字、特殊字符中的三种)。

3、对无相关业务的端口进行限制,例如禁用445,修改RDP默认端口3389等。如无法禁用,可对此类端口进行限制,例如对共享目录设置相关ACL权限,在组策略内对远程桌面登录进行限制等。

4、及时安装补丁,对存在漏洞的服务进行升级,防止勒索病毒通过漏洞进行传播。

5、对重要业务、文件进行异地备份。

6、提高员工安全意识,对激活工具、可疑邮件、未知来源软件等,谨慎打开和使用,使用陌生可移动设备前,先进行查杀。

7、火绒使用过程中,您可按照火绒官网内的《部署火绒后的安全加固建议》,对火绒进行设置,以提高安全性。

附录:2019高危流行勒索病毒一览

1、GlobeImposter

该病毒根据不同版本,又名"十二生肖勒索"、"十二主神勒索"等,该勒索常见后缀为".(动物、希腊主神)+4444\666\865qqz",勒索信名称为"HOW TO BACK YOUR FILES.exe"。

GlobeImposter自进入国内以来,主要的攻击目标为医疗行业。主要传播方式为RDP弱口令,在成功登陆后继续进行内网渗透,同时加密多台服务器内的文件,造成较大损失。由于使用RSA+AES算法对文件进行加密,被加密的文件如没有相应的RSA私钥基本无法解密。

2、Crysis(Dharma)

Crysis勒索病毒多通过RDP弱口令传播,Dharma为Crysis勒索病毒变种,该勒索病毒使用RSA+AES或RSA+DES算法加密文件,在没有相应RSA私钥的情况下无法解密。文件后缀为此格式:"id-XXXXXXXX.[邮箱].文件后缀",勒索信名称为"FILES ENCRYPTED.txt"、"Info.hta"。

3、Phobos

Phobos勒索病毒复用了Crysis的部分代码,与Crysis高度相似(文件后缀与勒索信),该勒索病毒多通过RDP弱口令进行传播,使用RSA+AES算法加密文件,在没有相应RSA私钥的情况下无法解密,文件后缀为此格式".id[XXXXXXXX-XXXX].[邮箱].后缀名"或"id-XXXXXXXX.[邮箱].后缀名",勒索信名称为"info.txt"、"info.hta"。

4、Sodinokibi

据传,该勒索病毒继承了部分GandCrab勒索病毒的代码与传播渠道,在GandCrab停止运营后,此勒索病毒活跃度逐渐提升。该勒索多通过RDP弱口令、钓鱼邮件、Oracle WebLogic CVE-2019-2725漏洞进行传播,其中钓鱼邮件多伪装成海关、公安、法院、DHL快递等内容。

该病毒使用Salsa20算法加密文件,目前无法解密。被加密文件后缀为5-10个随机字符,勒索信名称为"随机字符-readme.txt",在文件加密结束后,会修改桌面壁纸为蓝色,并提示您文件已被加密,阅读勒索信。

5、STOP

STOP勒索,又名STOP-Djvu勒索,该勒索多伪装成激活工具、软件下载器、破解软件进行传播。最初该勒索使用AES-256对文件进行加密,后期使用salsa20与RSA算法。该勒索较老的版本,如果加密环境不能连接黑客服务器,会选择使用离线密钥加密文件,此种情况下可以解密文件,如在线获取密钥或被新版本STOP勒索病毒加密的情况下,无法解密文件。经国外安全研究人员统计,该勒索病毒根据变种不同,文件被加密后所使用过的不同文件后缀有上百个,勒索信也根据版本有不同名称。

6、RYUK

RYUK勒索,攻击目标多为大型企业与政府机构,通过Emotet渠道下发的Trickbot银行木马进行传播。此勒索病毒多根据企业规模进行定制性攻击,攻击成功后索要赎金数额巨大。该勒索使用RSA+AES算法对文件进行加密,在没有相应RSA私钥的情况下无法解密。被加密文件后缀多为.RYK,勒索信名称多为"RyukReadMe.html"或"RyukReadMe.txt"。

7、MedusaLocker

MedusaLocker勒索多通过RDP弱口令传播,早期勒索信与GlobeImposter非常相似,曾被认为是GlobeImposter的变种。该勒索病毒使用RSA+AES算法对文件进行加密,在没有相应RSA私钥的情况下无法解密。近期出现较多的文件后缀为".ReadTheInstructions"和".READINSTRUCTIONS",勒索信名称多为"RECOVER_INSTRUCTIONS.html"和"INSTRUCTIONS.html"

8、CryptON

CryptON勒索,又名X3M、Cry9等等,该勒索多通过RDP弱口令进行传播,使用3DES和RC4算法加密文件,因加密后,密钥文件会保存在本地(temp000000.txt),所以该勒索可以解密。但目前发现的用户现场内,该文件多被黑客取走,导致无法解密。目前常见的,被加密文件后缀多为"X3M"、"firex3m"、"WECANHELP"、"YOU_LAST_CHANCE",勒索信名称为"!!!DECRYPT MY FILES!!!.txt"、"_RESTORE FILES_.txt"。

本文分享自微信公众号 - 火绒安全实验室(HuorongLab),作者:火绒安全实验室

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-01-14

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 火绒截获新型勒索病毒Spora 通过IE、Flash漏洞等方式传播

    近日,火绒实验室截获了一个新勒索病毒Spora,通过漏洞和诱骗方式传播,除了加密被感染电脑的本机文件外(doc/ppt/psd/jpg……等各种文件类型),还会...

    用户6477171
  • 火绒数据:单位局域网成为恶性病毒重灾区 系统漏洞是主要诱因

    4月11日,火绒“漏洞攻击拦截”功能模块上线后,采集到大量相关数据。根据“火绒威胁情报系统”监测和评估,自4月11日到28日,平均每日有100余万台电脑、服务器...

    用户6477171
  • 勒索病毒不要赎金或跟风“WannaRen" 火绒已解密并阻断传播渠道

    近日,有多位网友向火绒反馈遭遇勒索病毒攻击,火绒工程师远程查看后,发现攻击者通过一款后门病毒向用户植入了该勒索病毒:工程师一边对后门病毒进行溯源分析,同时升级产...

    用户6477171
  • 2019年全球十大流行勒索病毒

    2019年应该是勒索病毒针对企业攻击爆发的一年,这一年全球各地仿佛都在被“勒索”,每天全球各地都有不同的政府、企业、组织机构被勒索病毒攻击的新闻被曝光,勒索病毒...

    FB客服
  • 特别企划 | 勒索界面进化史:聊聊勒索软件中运用的心理学机制

    如果说有哪个词汇能同时让终端用户、安全专家以及企业信息主管感到恐惧,它可能就是——勒索软件。 安全圈内早已听说过 Archievus、Reveton、Crypt...

    FB客服
  • 腾讯安全发布《2019年度勒索病毒报告》,企业遭勒索损失增加

    勒索病毒是全球最严峻的网络安全威胁之一。2019年,勒索病毒持续在全球范围各大行业“刷存在感”,老牌勒索家族持续活跃,新型勒索病毒层出不穷,网络安全形势不容乐观...

    腾讯安全
  • 实战中应急响应溯源思路

    至2017年5月12日起,“勒索病毒”一词以迅雷之势出现在大众眼前,很多管理者谈之色变,令人恐惧的不是病毒,而是加密。大部分计算机使用人员当遇到病毒的第一时间,...

    FB客服
  • 【Python进阶】你真的明白NumPy中的ndarray吗?

    欢迎来到专栏《Python进阶》。在这个专栏中,我们会讲述Python的各种进阶操作,包括Python对文件、数据的处理,Python各种好用的库如NumPy、...

    用户1508658
  • 2014年中国X86服务器客户满意度研究:国外厂商依然强势 国内厂商需加快布局

    第一章:中国X86服务器市场满意度研究概述 1、项目说明:  调研说明:《2014年中国x86服务器市场及客户满意度研究报告》历时2个月完成。  本调研是由...

    人称T客
  • 「快速上手Flutter开发系列教程」之线程和异步UI

    Dart有一个单线程执行模型,支持Isolate(一种在另一个线程上运行Dart代码的方法),一个事件循环和异步编程。除非你自己创建一个 Isolate ,否则...

    CrazyCodeBoy

扫码关注云+社区

领取腾讯云代金券