搜索:勒索软件

讲俄语的开发者创造了世界上 75% 的加密勒索软件

据卡巴斯基实验室统计,在 2016 年全球有 1445434 个用户遭到 62 个加密勒索软件家族 54000 个变种的攻击。平均每隔 10 秒就有一个普通用户遭到勒索,每隔 40 秒就有一个组织或者企业成为攻击目标。 卡巴斯基实验室统计的 2016 年勒索软件威胁 卡巴斯基实验室研究员发现, 62 个加密勒索软件家族中有 47 个是由使用俄语的开发者创建的。这个结论是基于对俄罗斯地下论坛、指挥与控制基础设施和相关文献的观察分析得出。 近年来加密勒索软件发展迅速 一方面归因于灵活且良好的地下生态系统,犯罪分子几乎不需要额外的技术和资金投入,即可借助平台分发勒索软件进行攻击并获得赎金抽成。另一方面,虚拟货币的发展(如比特币),使加密勒索攻击更容易货币化。 参与“业务”的三种类型 俄罗斯地下加密勒索市场目前为犯罪分子提供三种不同的参与方式 ·研发新的勒索软件用于销售 ·发展并支持联盟营销计划,分发勒索软件 ·作为合作伙伴参与联属计划 第一种类型的参与者处于金字塔顶端,不需要参与实际攻击,只负责开发勒索软件,但需要具有很强的代码编写技能。 第二种类型的参与者扮演着代理商的角色,负责联盟营销计划的经营(如一些犯罪社区),借助漏洞包、恶意垃圾邮件等附加工具分发勒索软件。 第三种类型的参与者处于生态链的底层,是联盟营销计划的合作伙伴,负责协助分发恶意软件,可获取赎金的部分抽成。 小结 卡巴斯基实验室还很难解释为什么这么多勒索软件家族由俄语犯罪分子开发。目前卡巴斯基正在跟踪几个专门从事加密勒索软件开发和分发的组织。他们的目标列表不仅包括普通的互联网用户,还包括中小型企业,传播范围也从俄罗斯地区蔓延向世界其他地区。 勒索软件攻击企业的方式也发生着改变。它们不再依赖于钓鱼邮件传播勒索软件。相反,它们开始攻击企业的服务器并利用开源漏洞工具传播勒索软件,并建立后门持续监控网络、识别重要文件。攻击目标也变得更加有针对性,并逐渐向大型企业转移。 此外,卡巴斯基实验室还在其博客中介绍了俄罗斯地下勒索软件市场的成本和利润之间的关系以及各层人员间的利益分配。卡巴斯基希望借此提高公众对勒索软件的危机意识做好防范工作、并为想打击勒索软件的有志人士提供参考信息。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

工控系统将成为勒索软件下一个目标

我们目睹了一系列以 Windows 、Mac、Android 设备以及智能电视为目标的勒索软件。近年来,勒索软件将目标转向医疗机构、教育部门、市政交通以及企业,因为黑客发现通过加密企业的关键数据,使其业务、系统无法正常运行可以勒索更多的赎金。这样一个有利可图的“商业模式”不可能很快被放弃,那么它又将如何继续演变、它的下一个目标又是什么? 针对工控系统的勒索软件 佐治亚理工学院的安全研究人员对勒索软件如何潜在影响工业控制系统(ICS)进行了一项研究。他们开发了一种新型的勒索软件,并模拟勒索软件接管水处理厂的控制系统,攻击者将控制可编程逻辑控制器( PLC )并执行带有严重后果的命令。 模拟攻击旨在突出工业控制系统的漏洞,包括工业设施(如制造厂、水和废水处理设施)的控制系统,以及用于控制自动扶梯、电梯、HVAC 系统的楼宇智能管理系统。研究员将在旧金山的 RSA 会议上首次展示勒索软件入侵 PLC 设备。 研究员模拟了一个水处理设备(其中包括测试用的 PLC 、泵、管子和罐子)并模拟黑客接管了控制系统,命令可编程逻辑控制器( PLC )关闭阀门、增加水中的氯气含量、向工作人员显示虚假的操作信息。黑客可以威胁运营商支付赎金,否则就将大量的氯倒入水中。适量的氯可起到消毒作用并可安全饮用,但大量的氯会造成不良反应。 下面是工控勒索软件攻击的一般流程: 入侵工控系统 → 探测并感染 PLC 设备 → 利用弱密码等策略访问设备 → 加密、修改 PLC 上位机程序 → 索要赎金 结论 工控系统至今还没受到勒索软件影响,不是因为它们比传统网络更安全 ,而是由于网络罪犯还没有找到一个可盈利的商业模式值得让其花费时间去攻击。 近期发生的旧金山市政地铁系统感染勒索软件被迫免费开放,以及英国最大的 NHS 信托医院感染恶意软件导致电脑设备被迫离线等案例表明,攻击者开始将注意力转移到工控网络。可以想象,在这种情况下,工控勒索软件索要的赎金可能高于迄今为止所见到的案例,另一方面,攻击者承担的风险也将大大提高,因为政府机构必定会追踪他们。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

英国 54% 企业曾遭勒索软件攻击,37% 选择支付赎金

在刚刚过去的 2016 年,勒索敲诈类型的恶意攻击越来越频繁和复杂,因为网络犯罪份子从中看到了赚钱的机会。位于英国的技术服务集团今天发布了一张信息图,洞察了勒索软件的肆虐情况。根据数据显示,2016 年勒索类型的攻击增长了 3500%,在 2015 年 12 月至 2016 年 4 月勒索软件的数量增加了 600%。 全球 41% 的企业遭受勒索软件的攻击,不过在英国地区这个数据更高,为 54% 。勒索软件占企业攻击的四分之一,而更令人担忧的是 37% 的受害者都选择支付了赎款。 电子邮件依然是最常见的分发方法,占比为 59%,其次是网站、社交媒体和受感染的闪存。用于诱骗商业用户的虚假邮件类型包含发票,发货信息和逾期账户。带受感染宏的老式 Word 文档也增加了 40%。 稿源:cnBeta;封面来自网络

俄亥俄州县政府感染勒索软件,911 调度等系统全部瘫痪被迫“手动”办公

据外媒报道,美国俄亥俄州利金县政府被迫关闭了感染勒索软件的计算机系统和电话系统,县各办事处回归“手动”处理工作。 县政府官员称:感染始于 1 月 31 日,系统已被及时关闭并尽可能多的“抢救”数据。当地媒体报道称,所有县级办事处都处于开放状态,但大量的在线服务和电话线已不再运作。此次网络攻击影响了许多地方政府部门,包括 911 指挥中心、审计办公室、警察局。政府员工无法使用电脑和电话,只能手动执行工作,庆幸的是尽管 911 指挥中心无法使用 IT 指挥调度系统,但公民仍可以通过拨打 911 报警专线进行求助。 目前,FBI 已经介入调查。县委员 Tim Bubb 表示没有发生数据泄露,文件仅被加密无法打开,政府相关事务也不受影响,只是运行效率没有往常那么高。县政府表示不打算支付赎金解密文件并拒绝透露勒索软件及赎金信息。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

打击勒索软件:Avast 新发布三款解密工具

捷克反病毒软件厂商 Avast 今日在博客上宣布已新推出三款勒索软件解密工具,目前该公司的“反勒索软件工具”的总数也达到了 14 款。Avast 反向工程与恶意软件分析师 Jakub Kroustek 在博文中表示:“在过去一年里,我们发现了超过 200 个勒索软件新株系,野外的利用有些泛滥,但好消息是数以百万计的 Avast 和 AVG 用户得到了保护,可以免受这种威胁”。 新发布的解密工具,解决了三款不同的勒索软件分支,分别是 HiddenTear、Jigsaw、以及 Stampado/Philadelphia 。 勒索软件 HiddenTear 已经肆虐了有一段时间,而且它的代码就托管在 GitHub 上,因此有许多黑客开始利用这款勒索软件的代码。通常它们的套路是,在所有文件被加密之后,勒索软件会在用户桌面上附上一份文本文件。 被勒索软件加密的文件后缀也是五花八门,比如  .locked 、 .34xxx 、 .bloccato 、 .BUGSECCCC 、 .Hollycrypt 、 .lock 、 .saeid 、 .unlockit 、 .razy 、 .mecpt 、 .monstro 、 .lok 、 .암호화됨 、 .8lock8 、 .fucked 、 .flyper 、 .kratos 、 .krypted 、 .CAZZO 、 .doomed 等 。 Jigsaw 则于 2016 年 3 月份被发现,许多变种都选择在屏幕上呈现同名电影 Jigsaw Killer 的照片。该勒索软件今年 1 月的新变种要求受害者阅读两篇有关勒索软件的文章,然后将会提供免费的解密密钥。 被 Jagsaw 劫持的文件后缀有 .kkk 、 .btc 、 .gws 、 .J 、 .encrypted 、 .porno 、 .payransom 、 .pornoransom 、 .epic 、 .xyz 、 .versiegelt 、 .encrypted 、 .payb 、 .pays 、 .payms 、 .paymds 、 .paymts 、 .paymst 、 .payrms 、 .payrmts 、 .paymrts 、 .paybtcs 、 .fun 、 .hush 等 。 Stampado 于 2016 年 8 月份开始冒泡,并在暗网上被出售。网络上有许多版本,其中就有 Philadelphia 。多数情况下,被其劫持的文件后缀为 .locked,且其会每隔 6 个小时删除一个新文件,除非你交付赎金。 稿源:据 cnBeta 内容重新整理;封面:百度搜索  

RIG 工具包利用旧版本软件漏洞,无需点击即可传播勒索软件 Cerber

安全公司 Heimdal Security 的专家称,新恶意广告活动利用 “RIG 漏洞利用工具”针对浏览器旧版本软件漏洞传播勒索软件 Cerber ,此过程无需用户任何点击。 攻击者首先会在利用网站漏洞注入恶意脚本,当受害者浏览合法网站时,无需点击任何链接网站会自动跳转至攻击者的网站,并利用 RIG Exploit kit 扫描设备是否存在旧版本的应用程序:Flash Player,、Silverlight、IE、Edge ,之后利用软件漏洞安装勒索软件 Cerber 。 RIG 漏洞利用工具涉及的漏洞: CVE-2015-8651 CVE-2015-5122 CVE-2016-4117 CVE-2016-1019 CVE-2016-7200 CVE-2016-7201 CVE-2016-3298 CVE-2016-0034 虽然许多互联网用户仍然选择忽略软件更新,但往往网络犯罪分子就是利用软件漏洞进行破坏。广大网民应及时更新软件,避免受到损失。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

洛杉矶学院感染勒索软件被迫支付近三万美金

洛杉矶山谷学院( LAVC )感染勒索软件,IT 系统网络无法使用。七天后,学院无奈只得支付 28000 美元赎金解密文件、恢复正常教学秩序。 事件发生在新年之夜,洛杉矶山谷学院的网络、财务系统、电子邮件和语音邮件系统都遭到破坏,1800 名学生和员工无法正常学习和工作。黑客给了学院一周时间去支付赎金,并威胁不支付赎金将删除解密密钥。然而,遗憾的是,该学院像之前大多数受害者一样没有备份数据。最终在多方的压力下,洛杉矶学院只能同意支付赎金,以便迅速恢复系统和数据、开展教学。 据学校高层透露,他们之所以支付赎金重要的一点是,赎金成本比删除未知的勒索软件病毒以恢复数据和其他服务的成本低得多。不过,这种缴纳赎金的事情还是需要慎重考虑。最近亦有外媒报导 勒索软件 KillDisk 勒索 21.8 万美元巨额赎金,付款后却无法恢复文件的情况。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

当心“教育部”电子邮件,校长中招感染勒索软件需付七万赎金

英国欺诈与网络犯罪举报中心“ Action Fraud ”向教育部门发出勒索软件警告:欺诈分子正冒充政府官员,诱骗教育机构工作人员安装勒索软件,加密文件并勒索 8000 英镑( 6.7 万人民币)赎金。 欺诈分子打电话声称来自教育部“ Department of Education ”并索要个人、校长或财务管理员的电子邮件和电话号码。 之后,欺诈分子解释称需要直向校长接发送表格文件,这些文件是用来指导心理健康评估的相关工作,由于文件包含敏感信息,所以不能直接发送到学校公共邮箱。邮件附件的压缩包中含有伪装成 EXCEL 和 Word 的勒索软件,成功感染电脑的勒索软件会加密文件并索要高达 8000 英镑的赎金。欺诈分子还会冒充公司、养老金部门、电信提供商进行此类诈骗。 防范措施: ○ 英国“教育部”名称为“ Department for Education ”而不是“ Department of Education ”,工作人员应保持严谨的态度进行查证,提高警惕。 ○ 不要点击任何不可信或者是异常邮件 ○ 定期备份重要数据 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

新勒索软件 FireCrypt 另类特性可实现 DDoS 攻击

MalwareHunterTeam 的安全研究人员发现,勒索软件变种 FireCrypt 自带了某些新功能,允许攻击者发动小规模的 DDoS 攻击。 勒索功能 一旦,恶意 EXE 文件被触发,FireCrypt 将杀死计算机的任务管理器( taskmgr.exe )并使用 AES-256 加密算法加密 20 种文件类型。所有加密文件都会添加“ .firecrypt ”的扩展名。加密完成后会索要 500 美元赎金。FireCrypt 和勒索软件 Deadly 源代码很相似,都使用源代码的电子邮件和比特币地址,很有可能是 Deadly 的升级版。 DDoS 功能 FireCrypt 源码中含一个硬编码的 URL 地址,勒索软件会不断地连接该 URL 下载相应内容并存储在 %Temp% 磁盘文件名下,同时命名为 [random_chars]-[connect_number].html 。 该 URL 为巴基斯坦电信管理局的官网地址,勒索软件作者称该功能为“ DDoSer ”并希望借此发动 DDoS 攻击,不过感染设备至少要达到上万台才能达到攻击效果。 目前,还没有安全公司发布解密工具。如果受害者不希望支付 500 美元赎金迅速解密文件,则需耐心等待解密工具公布并保留好被加密文件的副本。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

HR 接收简历意外感染勒索软件 GoldenEye,须付上万赎金解密文件

长期以来,勒索软件一直被认为是消费者和企业的主要威胁。最近一系列针对企业人力资源( HR )部门的恶意活动表明,勒索软件对企业的威胁正持续上升。攻击者精心设计了一个简历邮件,其中不仅包含了应聘人的简短介绍,还包含了两个“详细介绍”的附件。 安全公司 Check Point 称,此类钓鱼邮件专门针对人力资源部门,因为 HR 不可避免的需要打开陌生人的电子邮件和附件去了解情况。垃圾邮件一直被用作为恶意软件的传播媒介,毫无疑问,攻击者继续使用这种方法去传播勒索软件“ GoldenEye ”, “ GoldenEye ”是勒索软件 Petya 的一个变种系列,恶意宏代码可执行、加密计算机上的文件。加密完成后,代码会修改主引导记录( MBR ),重新启动电脑并加密磁盘文件。 安全公司 Check Point 表示“ GoldenEye ”主要针对德语用户。钓鱼邮件中包含两个附件,其中一个附件是正常的 PDF 求职信,目的是为了迷惑受害者让她相信这确实是一个求职者。此后,受害者会打开另外一个带有恶意宏功能的 Excel 文件。 Excel 会显示一个正在加载的图片并请求受害者启用内容,以便继续加载宏文件。一旦受害者单击“启用内容”,宏内的代码将被执行并启动加密文件进程,使受害者无法访问文件。 勒索软件“ GoldenEye ”会以 8 个字符的随机扩展名加密文件,所有文件加密后,将会显示一个勒索信“你的文件已被加密.txt”。 你以为结束了?显示完勒索信后,勒索软件会强制电脑重新启动并开始加密电脑磁盘,在加密磁盘过程中屏幕会显示一个“假的”磁盘修复进程。最终,加密完成并显示解密方法。受害者需要缴纳 1.3 比特币的赎金(约 1.1 万人民币)。此外,勒索软件作者还提供邮件“咨询”服务,全程帮助受害者解决恢复文件过程中遇到的各种问题。 目前,尚且没有安全公司发布解密工具解密文件。人力资源部门在接收邮件时应警惕查看附件( Word、Excel、PDF ),禁用宏功能,切勿点击不可信链接,并及时做好文件备份。 稿源:HackerNews.cc 翻译整理,封面来源:百度搜索。 转载或引用请注明“转自 HackerNews.cc ” 并附上原文链接。违者必究。