搜索:勒索软件

Verizon 发布《 2018 年数据泄露调查报告》:勒索软件已成为最流行的恶意软件

据外媒报道,美国电信巨头 Verizon 于本周二在其 2018 年数据泄露调查报告 (DBIR)中称,勒索软件攻击事件数量在过去一年中翻了一倍,成为最流行的恶意软件,这是因为黑客组织想通过锁定关键的业务系统来要求支付赎金,从而获取巨大的利益。 Verizon 执行董事安全专业服务部门的 Bryan Sartin 在一份声明中表示:“勒索软件是目前最流行的恶意软件攻击形式。近年来它的使用量大幅增加,因为现在企业仍然没有投资合适的安全策略来打击勒索软件,这意味着他们在面对勒索攻击时别无选择,只能向网络犯罪分子支付赎金”。 Verizon 在分析了 53,000 多起安全事件(其中包括 2,215 起违规事件)后表示,勒索软件攻击占特定恶意软件事件的 39%。 推动勒索软件攻击的一个趋势是针对关键业务系统(非台式机)的能力,这些系统可能对公司造成更多损害,并且很可能黑客组织试图将其作为勒索目标从中获取更多的利益。目前随着时间的推移,勒索软件事件中的资产类别已经从用户设备走向服务器,Verizon 说这是因为黑客意识到加密文件服务器或数据库比单个用户的设备更具破坏性。 Verizon 表示,横向移动和其他威胁活动经常会卷入其他可用于感染和遮挡的系统中。这些勒索软件攻击对黑客组织来说很有吸引力,因为黑客本身几乎不需要承担任何风险或成本,并且也不需要违反保密条款来实现其目标。 Verizon 在其报告中称,目前许多黑客已将钱财视为其首要任务,根据调查,有 76% 的违规行为都是出于财务动机。 例如 2017 年勒索软件最突出的例子 —  5 月份的 WannaCry 和 NotPetya 攻击。WannaCry 勒索软件通过感染 150 个国家 30 多万个系统,要求支付 300 美元的赎金才能解密密钥。与此同时,NotPetya 加密了主引导记录,并要求以比特币作为赎金支付的主要形式。 10 月份,另一宗勒索软件活动 BadRabbit 震动了安全行业 ,这项与俄罗斯 Telebots 有关的活动是在俄罗斯、乌克兰和东欧的网站上使用恶意软件发起的。在该事件中,攻击者瞄准基础设施(不仅仅只是桌面系统)并造成了巨大损害,其中乌克兰遭受了关键网络资产和基础设施的最大破坏。 最近,在 2018 年 3 月,亚特兰大市成为勒索软件攻击的目标。该起事件影响了几个部门,并瘫痪了处理付款和传递法院信息的政府网站。随后,亚特兰大市被要求支付 51,000 美元以换取密钥来解密系统。 为减轻勒索软件攻击的可能性,Verizon 在其报告中建议用户应确保有常规备份,并且隔离那些很重要的资产,以及将其放在业务连续性的优先级上。 Verizon 发现,总体而言,黑客、恶意软件和社交攻击(如网络钓鱼)等是过去一年中最多的安全违规事件。 除此之外,分布式拒绝服务(DDoS)攻击是 Verizon 2018 年报告强调的另一个重大威胁。Verizon 表示:“ DDoS 攻击可能会对任何人造成影响,因为它经常会被用作伪装启动或者停止后重新启动,以隐藏正在进行的其他违规行为。 目前来说,大多数网络犯罪分子具有经济动机,因此,他们针对金融、保险和零售行业发起的攻击不足为奇。Corero Network Security 的产品管理总监 Sean Newman 认为对于能够希望实现 100% 正常运行的在线公司而言,实时检测并自动减轻攻击的 DDoS 技术应该是必备的要求。 消息来源:threatpost,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

黑客通过远程桌面服务安装新型 Matrix 勒索软件变体

MalwareHunterTeam 本周发现了两个新的 Matrix Ransomware 变体,这些变体正在通过被黑客入侵的远程桌面服务进行安装。尽管这两种变体都会对计算机的文件进行加密,但其中一种更加先进,可提供更多调试消息并使用密码来擦除可用空间。 根据勒索软件执行时显示的调试消息以及 BleepingComputer 论坛中的各种报告,该勒索软件目前正在通过攻击者直接连接到互联网的远程桌面服务向受害者分发。一旦攻击者获得访问计算机的权限,他们将上传安装程序并执行它。 目前有两种不同的 Matrix 版本正在发布。这两种变体都安装在黑客 RDP 上,加密未映射的网络共享,加密时显示状态窗口,清除卷影副本以及加密文件名。不过,这两个变体之间有一些细微差别,第二个变体([RestorFile@tutanota.com])稍微高级一些。这些差异如下所述。 变体 1:[Files 4463@tuta.io] 这种由[ Files4463@tuta.io ]扩展名标识的变体是较不先进的变体。当这个变体正在运行时,它将同时打开以下两个窗口来显示感染的状态。 一个窗口是关于加密的状态消息,另一个窗口是关于网络共享扫描的信息。 当文件被加密时,它会加密文件名,然后附加[ RestorFile@tutanota.com ]扩展名。 例如, test.jpg 会被加密并重命名为 0ytN5eEX-RKllfjug。[ Files4463@tuta.io ]。 该变体还会在每个扫描的文件夹中放置命名为!ReadMe_To_Decrypt_Files!.rtf 的赎金记录。该赎金说明包含用于联系攻击者并进行赎金支付的 Files4463@tuta.io,Files4463@protonmail.ch 和 Files4463@gmail.com 电子邮件地址。 该变体还将桌面背景更改为以下图像。 不幸的是,Matrix Ransomware 的这种变体无法免费解密。 变体 2:[RestorFile@tutanota.com] 第二个变体通过使用[ RestorFile@tutanota.com ]扩展名来标识。虽然这个变体的操作方式与前一个类似,但它有点更先进,因为它具有更好的调试消息,并且在加密完成后利用 cipher 命令覆盖计算机上的所有可用空间。 此外,该变体使用不同的联系人电子邮件地址,不同的扩展名和不同的赎金票据名称。 当这个变体正在运行时,它将利用下列窗口显示感染的状态。 请注意,与前一个版本相比,此版本中显示的日志记录更多。 当文件被加密时,它将加密文件名,然后附加[ RestorFile@tutanota.com ]扩展名到它。 例如, test.jpg 会被加密并重新命名为 0ytN5eEX-RKllfjug [RestorFile@tutanota.com ]。 此变体还会在每个扫描的文件夹中放置名为 #Decrypt_Files_ReadMe#.rtf 的赎金备注。 该赎金说明包含用于联系攻击者并进行赎金支付的 RestorFile@tutanota.com,RestoreFile@protonmail.com 和 RestoreFile@qq.com 电子邮件地址。 它还会将桌面背景更改为以下图像。 在此变体完成加密计算机后,它将执行“ cipher.exe / w:c ”命令以覆盖 C:驱动器上的可用空间。 这是为了防止受害者使用文件恢复工具来恢复他们的文件。 不幸的是,像以前的版本一样,这个版本不能免费解密。 如何保护您免受 Matrix Ransomware 的侵害 为了保护自己免受勒索软件攻击,一定要使用良好的计算习惯和安全软件。首先,您应始终拥有可靠且经过测试的数据备份,以备在紧急情况下可以恢复,如勒索软件攻击。 由于 Matrix Ransomware 可能通过黑客入侵的远程桌面服务进行安装,因此确保其正确锁定非常重要。这包括确保没有运行远程桌面服务的计算机直接连接到 Internet。而应将运行远程桌面的计算机放在 VPN 后面,以便只有那些在您的网络上拥有 VPN 帐户的人才能访问它们。 设置适当的帐户锁定策略也很重要,这样可以使帐户难以被强制通过远程桌面服务强制执行。 您还应该拥有安全软件,其中包含行为检测以对抗勒索软件,而不仅仅是签名检测或启发式检测。例如,Emsisoft 反恶意软件和 Malwarebytes 反恶意软件都包含行为检测功能,可以防止许多(如果不是大多数)勒索软件感染对计算机进行加密。 最后但并非最不重要的一点是,确保您练习以下安全习惯,在许多情况下这些习惯是所有最重要的步骤: – 备份 – 如果您不知道是谁发送的,请不要打开附件。 – 直到您确认该人实际寄给您的附件才开启附件, – 使用 VirusTotal 等工具扫描附件。 – 确保所有的 Windows 更新一旦出来就安装好! 另外请确保您更新所有程序,特别是 Java,Flash 和 Adobe Reader。 较旧的程序包含恶意软件分发者通常利用的安全漏洞。 因此重要的是让他们更新。 – 确保您使用的是安装了某种使用行为检测或白名单技术的安全软件。 白名单可能是一个痛苦的训练,但如果你愿意与它一起存货,可能会有最大的回报。 – 使用硬密码并且不要在多个站点重复使用相同的密码。 稿源:东方安全,封面源自网络;

波音遭遇勒索软件攻击, WannaCry 成为最大怀疑对象

据西雅图时报报道,波音公司于本周三遭遇了勒索软件攻击(疑似“ WannaCry ”), 其商用飞机制造总工程师 Mike VanderWel 警告称,该勒索软件正在从波音公司南卡罗来纳州北查尔斯顿的工厂扩散出去,并且可能已经导致 777 的翼梁自动装配工具产线瘫痪。VanderWel 担忧 恶意软件可能不仅会感染用于飞机功能测试的设备,也可能扩展到“飞机软件”中。 但随后波音在 Twitter 上发表声明说,媒体的报道与真实情况具有一定差距,因为根据波音网络安全运营中心的检测,恶意软件的入侵仅影响到少数系统,并且安全人员也已经采取了补救措施。 虽然 WannaCry 偶尔还是会被发现试图传播,但大多数情况下,安全研究人员已经能够有效地拦截这个勒索软件。这就是为什么一年之后,所有发布的补丁程序和 AV 软件都能检测到它。 目前,波音公司遭受的勒索软件还没有被 100% 确认为 WannaCry,安全人员猜测它也有可能只是 WannaCry 的模仿版。 消息来源:bleepingcomputer,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

亚特兰大市遭勒索软件网络攻击 机场停用 WiFi

民航资源网 2018 年 3 月 24 日消息:当地时间 3 月 22 日美国亚特兰大市政府遭遇网络攻击,随后亚特兰大国际机场关闭了机场的 WiFi 系统,使得机场 63000 余员工及每天 27.5 万人次的旅客无网可用。 3 月 22 日早上亚特兰大市政府遭到了勒索软件的网络攻击,多个内部系统受到影响。政府建议员工不要使用自己的电脑。 3 月 22 日下午亚特兰大机场通过官方 Twitter 宣布,临时关闭机场 WiFi 系统,机场正在努力解决这一问题。23 日机场方面表示,网络系统仍不能使用,此外安检等待以及航班信息等受到了影响,提醒旅客联系航空公司查询。 亚特兰大机场发言人表示,关于机场何时恢复WiFi尚无时间表。他表示,机场并没有受到网络攻击的直接影响,但出于谨慎考虑,决定将系统下线。 稿源:凤凰网、民航资源网,封面源自网络;

波兰警方逮捕 Polski、Vortex 、Flotera 勒索软件开发作者

外媒 3 月 17 日消息,波兰执法部门于上周星期五对外宣布著名网络犯罪分子 Tomasz T 已在波兰被警方逮捕。据悉,Tomasz T 被广泛认为是 Polski、Vortex 和 Flotera 勒索软件家族的开发作者。 波兰警方在此次逮捕行动中搜查了 Tomasz T 的住所并扣留了其电脑设备。通过该设备以及其远程服务器,一些重要数据被成功恢复,其中包括加密密钥。目前波兰警方正在鼓励 Polski、Vortex 和 Flotera 勒索软件的受害用户向地方当局提交正式诉讼,以便于获取其文件的解密秘钥。 目前这名自 2013 年起就开始活跃的网络犯罪分子被指控了 181 项不同的罪行,并且法院已批准其暂时拘留三个月。 消息来源:bleepingcomputer.,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

科罗拉多交通部感染 SamSam 勒索软件,被迫关闭 2000 台电脑

据外媒 2 月 23 日报道,科罗拉多州交通部(DOT)于本周三发生了一起勒索事件 — 黑客利用 SamSam 勒索软件感染 DOT 计算机系统,并以恢复数据为要挟条件来获取比特币赎金。不过日前 DOT 方面已采取了补救措施,但其表示不会通过支付赎金的方式,而是选择关闭 2000 多台员工计算机设备。 SamSam 是一款由单个团体部署的勒索软件,在 2016 年冬季被广泛使用。但据媒体介绍,目前黑客组织似乎准备利用 SamSam 开展新的攻击活动。 研究人员介绍了 SamSam 的部署方式:攻击者通过暴力破解 RDP 连接来访问公司内部网络,从而感染目标设备系统,以达到利用 SamSam 勒索软件加密相关文件的目的。 在最近的一些攻击活动中,SamSam 运营商通常会要求受害用户支付 1 比特币赎金,并在其计算机上留下 “ 我很抱歉 ” 的消息。 此外,研究人员还发现在今年 1 月份感染医院、市议会以及 ICS 公司的勒索软件似乎也是 SamSam。目前根据初步统计结果显示,黑客组织从这些攻击中赚取的赎金已超过 30 万美元。其中印第安纳州的一家受害医院在有备份数据的情况下也同意支付黑客 55,000 美元的赎金需求,因为该医院认为支付赎金比从备份恢复所有计算机数据更容易、更快。 但 DOT 表示,他们不会屈服黑客的赎金威胁,将会选择从备份中恢复数据。交通部官员告诉当地媒体其关键系统受到影响,例如管理道路监控摄像头、交通警报、留言板等重要模块。除此之外,DOT 的 IT 人员也正在与其防病毒提供商 McAfee 合作,在将 PC 重新引入网络之前,对受影响的工作站进行补救,并保护其他终端。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

俄罗斯暗网出现新型勒索软件 GandCrab ,要求支付达世币赎金、不得感染独联体国家

外媒 2 月 4 日消息,网络安全公司 LMNTRIX 的专家发现了一种名为 GandCrab 的新型勒索软件,通过感染受害用户系统以获得达世币(DASH)赎金(该服务由托管在 .bit 域中的服务器提供)。目前一些俄罗斯黑客团体正在暗网上为 GandCrab 广告宣传,主要通过使用 RIG 以及 GrandSoft 等开发工具包来分发该勒索软件。 在过去的几天里,LMNTRIX 实验室一直在追踪 GandCrab 勒索软件的流入,并发现此款勒索软件被设定为不得用于感染独联体(即前苏联成员国)国家的系统。 此外,一些有趣的地方也在追踪活动中被揭露: 1、有意向的买家被要求加入“ 合作伙伴计划 ”,其中勒索软件的利润分成 6:4  ; 2、大型合作伙伴能够将其收益比例提高到 70%; 3、作为一项勒索软件服务产品,GandCrab  需向 “ 合作伙伴 ” 提供技术支持和更新,比如输出了一个用户友好的管理控制台,可以通过 Tor 网络访问,以允许定制恶意软件(例如赎金金额、加密掩码等); 4、禁止合作伙伴针对独联体国家发起攻击(比如阿塞拜疆、亚美尼亚、白俄罗斯、哈萨克斯坦、吉尔吉斯斯坦、摩尔多瓦、俄罗斯、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦和乌克兰); 5、合作伙伴必须申请使用勒索软件,并且可用数量有限; 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国一家医院被迫支付 5.5 万美元赎金,以摆脱“SamSam” 勒索软件

外媒 1 月 16 日消息,美国印第安纳州汉考克地区一家医院(Hancock Health)被迫向黑客组织支付了价值 5.5 万美元的比特币赎金,以尽快摆脱勒索软件 “ SamSam ” 对其计算机设备的控制。据悉,该黑客组织通过暴力破解 RDP 端口,达到在更多的计算机设备上部署 SamSam 勒索软件的目的。 上周四( 1 月 11 日),Hancock Health 的工作人员发现黑客组织影响了医院的电子邮件和健康记录,但并没有窃取患者数据 。随后,经过相关研究人员展开调查发现,该组织使用 SamSam 勒索软件加密文件,并将文件重命名为“ I’m sorry ”。其实 SamSam 早在两年前就已出现过, 主要通过开放的 RDP 端口进行传播。 目前 Hancock Health 紧急采取了应对措施,例如通过 IT 人员介入暂停了整个网络;要求员工关闭所有计算机,以避免勒索软件传播到其他计算机;更有传言称医护人员利用笔和纸代替计算机来继续工作。 Hancock Health 表示尽管文件都有备份,但从备份中恢复文件很麻烦,因为要把所有的系统投入运行需要几天甚至几周的时间,以至于不得不向黑客组织支付赎金。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

美国一家医院遭到勒索软件攻击后依靠纸和笔运行

另一家美国医院已经成为勒索软件攻击的受害者。上个星期,一个勒索攻击设法感染了印第安纳州汉考克地区医院系统,要求医院支付不确定数量的比特币以提供解锁密钥。袭击发生在 1 月 11 日,影响了医疗中心的电子邮件,电子病历和其他内部操作系统。 医院强调,没有病人记录被从网络中删除,病人护理没有受到重大影响。该机构关闭了一些系统,以防止进一步的感染,并联系了联邦调查局和国家信息技术安全公司。截至周六上午,这些系统还未恢复正常,医院员工并继续使用笔和纸来更新患者的医疗数据。 以前一些勒索软件通过员工打开恶意电子邮件或网站链接进入医院系统,但汉考克健康医院的首席执行官史蒂夫·龙( Steve Long )说,在这种情况下情况并非如此。这家医院发言人表示,我们和其他医院一样,一直都在进行灾难演习,所以这一切都与我们多年来一直在进行的演练有关,当系统故障或系统违规时,如何继续提供世界一流的医疗和护理是我们多年来一直准备的事宜。 去年,堪萨斯心脏病医院和好莱坞长老会医疗中心遭到勒索软件袭击。 稿源:cnBeta,封面源自网络;

罗马尼亚联合欧洲刑警、FBI 逮捕 5 名黑客:涉嫌传播Cerber 和 CTB Locker 勒索软件

据外媒报道,欧洲刑警组织(Europol)、联邦调查局 (FBI)和罗马尼亚等相关执法机构于 12 月 13 日进行了一项大规模逮捕行动,警方在罗马尼亚东部抓获五名黑客,即近年来涉嫌入侵欧洲和美国境内数万台计算机后肆意传播勒索软件 Cerber 和 CTB Locker。目前,警方并未透露这五名被捕黑客详细信息。 CTB Locker(又名 Critroni)是 2016 年传播最广泛的勒索软件之一,且还是第一个使用 Tor 匿名网络隐藏其命令和控制服务器的勒索软件。Cerber 于 2016 年 3 月出现,它以 RaaS 模式为基础获得广泛分布:RaaS 模式允许任何可能的黑客散布恶意软件,从而获取 40% 的赎金。与大多数勒索软件一样,CTB Locker 和 Cerber 经销商使用的是最常见的攻击载体,比如钓鱼邮件和漏洞利用工具包。 欧洲刑警称,罗马尼亚当局于 2017 年初收到荷兰高科技犯罪组和其他当局提供的详细情报,其主要透露有一群罗马尼亚国民通过发送垃圾邮件感染当地计算机系统,并使用 CTB Locker 勒索软件对其数据进行加密。具体地来说,每封电子邮件都有一个附件(通常是存档发票),而该附件中包含一个恶意文件。一旦 Windows 用户打开后就会触发并感染设备,从而对其数据进行加密。 相关警方透露,在此次突袭行动中,当局缴获了大量的硬盘、外部存储设备、笔记本电脑、加密货币挖掘设备以及数百张 SIM 卡。值得注意的是,五名犯罪分子并非因为开发或维持这两款恶意软件被逮捕,而是因为涉嫌传播 CTB Locker 和 Cerber 。据悉,犯罪分子通过 CTB Locker 获得了 2700 万美元的赎金 ,而通过 Cerber 在 2017 年 7 月就赚取了 690 万美元,因此谷歌将其列为最有利可图的犯罪活动。目前,警方暂未透露更多相关细节。 消息来源:thehackernews ,编译:榆榆,校审:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。