Babuk勒索軟件源代碼公開(kāi) 曾入侵并勒索華盛頓特區警察局

勒索軟件乃是勒索團伙的安身立命之本，一般加密完受害者的文件都是會(huì )刪除己身的，連讓別人分析的機會(huì )都不給，其重要程度可想而知，更不用提主動(dòng)泄露了。不過(guò)凡事總有例外，在一個(gè)俄語(yǔ)黑客論壇上，就有黑客泄露了自家的Babuk勒索軟件的完整源代碼。

說(shuō)起Babuk這個(gè)黑客組織，它的來(lái)頭可不小——它曾成功侵入華盛頓哥倫比亞特區警察局，從中加密并竊取了約250G文件，其中包含了警方調查報告、本地幫派、警方線(xiàn)人等敏感信息。令人更為震驚的是，它以警方線(xiàn)人信息作為要挾，向警察局勒索400萬(wàn)美元的贖金。對此，華盛頓特區警察局方面只答應支付10萬(wàn)美元。乍看起來(lái)警方很果決很不配合是吧？其實(shí)警方已經(jīng)是在讓步了，因為此前幾乎沒(méi)有警方向勒索軟件團伙妥協(xié)的案例。

雙方都堅持自己的條件不讓步，談判就此破裂，Babuk勒索軟件團伙像他們一開(kāi)始說(shuō)的那樣公布了警方線(xiàn)人信息?？梢韵胂笠幌?，警方利用談判爭取來(lái)的時(shí)間，搶在黑客公布信息前撤走全部線(xiàn)人——電影題材又有了，可謂是藝術(shù)來(lái)源于生活。

普普點(diǎn)評

有的黑客組織在各國高強度的打擊下被迫解散，而有的組織卻愈發(fā)猖狂，竟然敢于公開(kāi)勒索警方。更令人意外的是，該組織勒索失敗后竟然真的公開(kāi)了警方重要的敏感信息，導致警方多年的部署功虧一簣。如此猖狂的組織雖然最后被迫解散，但是該組織成員迅速又組成兩個(gè)新的黑客組織。相比于企業(yè)，國家相關(guān)部門(mén)的信息安全不再只是信息的安全，保護關(guān)鍵信息的安全就是保護相關(guān)人員的生命安全。

醫療行業(yè)CISO面臨的挑戰與對策

醫療行業(yè)向來(lái)是網(wǎng)絡(luò )攻擊者的“青睞對象”。過(guò)去，攻擊者的目標是醫療機構存儲的患者個(gè)人健康和財務(wù)數據，但勒索軟件的出現極大地改變了醫療行業(yè)的威脅格局。

相關(guān)數據顯示，受新冠疫情影響，醫療行業(yè)網(wǎng)絡(luò )安全威脅持續加劇，2020 年，針對醫療行業(yè)的網(wǎng)絡(luò )攻擊增加了50%以上。在記錄的599起醫療行業(yè)網(wǎng)絡(luò )安全事件中，403起是由黑客和IT事件引起的，通過(guò)部署勒索軟件和加密關(guān)鍵數據的攻擊手段極為常見(jiàn)。

“許多遭受勒索軟件攻擊的醫療企業(yè)，都會(huì )權衡收入損失與贖金成本以及后續攻擊的可能性?！薄傲硗?，醫療企業(yè)是否支付贖金的考量因素還包括患者安全，即使是短暫的醫療設備停機，也可能對患者造成傷害或使社區服務(wù)中斷。因此醫療機構面臨著(zhù)支付贖金和恢復關(guān)鍵系統的巨大壓力，并且這種狀況短時(shí)間內可能無(wú)法改變?！?/span>

喬伊斯還指出，醫療機構的第三方系統包括：醫院的核心EMR系統、面向患者的web門(mén)戶(hù)、移動(dòng)設備、聯(lián)網(wǎng)MRI，以及患者可穿戴設備和手術(shù)機器人。上述很多設備系統比傳統系統更易遭到網(wǎng)絡(luò )威脅。

普普點(diǎn)評

建議醫療行業(yè)CISO可以通過(guò)采用零信任架構，以確保共享對移動(dòng)設備在訪(fǎng)問(wèn)資源之前是安全的。多因素身份驗證也可以部署在移動(dòng)設備上，使它們更加安全和私密。最后，共享移動(dòng)設備上的密碼自動(dòng)填充是一種有用的解決方案。對系統安全信息的例行評估將有助于防止攻擊及其帶來(lái)的后果。制定一套流程也很重要，以防出現違規行為，或者在攻擊發(fā)生后快速通知患者和其他受影響的各方采取適當的預防措施。

全球頭號惡意軟件團伙成員之一被逮捕

TrickBot的“名氣”不小，是全球數一數二的惡意軟件團伙，于2016年開(kāi)始進(jìn)入大眾視野。該團伙主要針對Windows和Linux設備，感染的僵尸網(wǎng)絡(luò )計算機規模超百萬(wàn)。TrickBot旗下有眾多惡意軟件，如TrickBot、BazaLoader、BazaBackdoor、PowerTrick 和 Anchor，并且成員“銳意進(jìn)取”，長(cháng)期堅持改進(jìn)軟件。?

除了在技術(shù)層面不斷升級進(jìn)化，在運營(yíng)層面TrickBot也別具一格，不僅沒(méi)有像多數網(wǎng)絡(luò )犯罪團伙一樣單打獨斗或者互相競爭，反而是追求相互合作，如Ryuk和Conti的勒索軟件都曾由TrickBot團伙協(xié)助部署。

由于TrickBot團伙規模龐大、危害性高且造成了巨大的經(jīng)濟損失，美國網(wǎng)絡(luò )司令部曾與微軟及眾多安全公司合作，在2020年10月聯(lián)合行動(dòng)一舉摧毀了TrickBot僵尸網(wǎng)絡(luò )的基礎設施。根基被毀，元氣大傷，TrickBot一度陷入沉寂，但沒(méi)過(guò)多久該組織就卷土重來(lái)，繼續活躍于網(wǎng)絡(luò )犯罪活動(dòng)。

據韓國KBS報道，近日一名TrickBot惡意軟件團伙的成員在機場(chǎng)被捕。該名男子因疫情管制長(cháng)期滯留韓國導致護照過(guò)期，最終因美國提出的引渡要求被逮捕。該男子應該是今年第二位被捕的TrickBot成員。

普普點(diǎn)評

可喜的是終于又一名不法分子落入法網(wǎng)。惡意軟件團伙近年四處荼毒，對各國企業(yè)的利益造成了巨大的破壞和經(jīng)濟損失，但是由于互聯(lián)網(wǎng)的特性，幕后人員的抓獲工作一直是個(gè)大難題。好在各國一直沒(méi)有放棄追查不法分子的身份，相信后續還會(huì )有更多的嫌疑人落網(wǎng)。對于企業(yè)單位數據的安全性，光靠打擊黑客組織是遠遠不夠的。相關(guān)企業(yè)單位還是應該建立起信息安全防護體系，來(lái)抵擋可能發(fā)生的攻擊行為。

微軟又有高危0day漏洞

微軟通告了一個(gè)高危的遠程代碼執行漏洞，存在于瀏覽器渲染引擎MSHTML之中。據微軟表示，已經(jīng)監測到有黑客在利用這個(gè)漏洞對Windows系統發(fā)起攻擊。

攻擊者會(huì )向潛在受害者發(fā)送專(zhuān)門(mén)制作的惡意Office文檔，如果潛在受害者沒(méi)有防備地將其打開(kāi)，文檔會(huì )加載Internet Explorer，然后通過(guò)使用特定的ActiveX控件下載惡意軟件。這種攻擊方式的可行性已得到安全研究人員證實(shí)。

值得慶幸的是，如果Microsoft Office是使用默認配置運行，在受保護視圖模式或Office 365應用程序防護下打開(kāi)文件，能有效阻止攻擊（受保護視圖是一種只讀模式，可禁用大部分編輯功能；Office 365應用程序防護會(huì )隔離不受信任的文檔，拒絕對其他文件的訪(fǎng)問(wèn)請求）。

目前微軟尚未發(fā)布安全更新，不過(guò)提供了一個(gè)臨時(shí)的應對策略——禁用在Internet Explorer中安裝的ActiveX控件。鑒于漏洞利用價(jià)值高且已被在野利用，微軟建議用戶(hù)立即采取應對措施。

如果之后更新了漏洞補丁或者出于其他原因要取消禁用ActiveX控件，刪除之前添加的注冊表項即可。

普普點(diǎn)評

通過(guò)軟件漏洞，不法分子可以將木馬偽裝成文檔，只要用戶(hù)一打開(kāi)文檔，電腦就將被攻擊?，F如今黑客組織的攻擊方式越來(lái)越多樣化，特別是這種利用常規軟件漏洞發(fā)起的攻擊，總是令人防不勝防。這類(lèi)軟件用戶(hù)數量眾多，一旦漏洞成功被不法分子所利用，波及的用戶(hù)數量是非常龐大的。相關(guān)軟件公司應該及時(shí)進(jìn)行漏洞修復，保障用戶(hù)的信息安全。而對于用戶(hù)自身，需要提高防范意識，要確認文件來(lái)源的可靠性。

俄羅斯的“百度”Yandex遭受其史上最大的DDoS攻擊

Yandex是俄羅斯的第一大搜索引擎，很多人會(huì )將其稱(chēng)為俄羅斯的“百度”，但它在俄羅斯的地位或許還不止于此。Yandex是俄羅斯最大的互聯(lián)網(wǎng)服務(wù)提供商，涵蓋了搜索引擎、電子商務(wù)、電子郵件等互聯(lián)網(wǎng)業(yè)務(wù)，稱(chēng)之為俄羅斯的“BAT”也不為過(guò)。

據外媒報道，近日Yandex遭受了俄羅斯互聯(lián)網(wǎng)歷史上最大的DDoS攻擊，攻擊峰值達到了每秒2180萬(wàn)次請求。Yandex內部人士稱(chēng)本次DDoS攻擊難以遏制，截止本周仍在繼續遭受攻擊。想象一下在中國若是百度不能正常使用會(huì )造成多大的影響，大概就能理解這對于俄羅斯人來(lái)說(shuō)是多么嚴重的一次網(wǎng)絡(luò )攻擊事件。

據為Yandex提供DDoS保護的Qrator Labs 的首席執行官Alexander Lyamin透露，本次DDoS攻擊是由一個(gè)新的僵尸網(wǎng)絡(luò )發(fā)起的，該僵尸網(wǎng)絡(luò )被標記為Méris，由大約20多萬(wàn)臺設備組成。

Alexander Lyamin 團隊觀(guān)察到大規模惡意流量來(lái)自波羅的海地區，懷疑其僵尸網(wǎng)絡(luò )來(lái)自拉脫維亞公司MikroTik。在過(guò)去幾年，MikroTik公司的設備被使用于多個(gè)僵尸網(wǎng)絡(luò )。據說(shuō)該公司的設備運行的是舊版本軟件，其所有者也沒(méi)有更新補丁，從而使得黑客能夠利用已知的漏洞輕易感染這些設備。

普普點(diǎn)評

大量不注重安全防護的個(gè)人電腦或許是DDoS攻擊的幫兇?？赡芫驮谟脩?hù)不知清的時(shí)候，用戶(hù)的電腦已經(jīng)感染了病毒，成為任人擺布的“肉雞”，被用千加密貨幣挖礦、發(fā)送惡意郵件或者協(xié)助發(fā)起DDoS攻擊。無(wú)論對千企業(yè)還是個(gè)人，信息安全都是不容忽視的重要環(huán)節。除了要使用防病毒技術(shù)手段去防范非法入侵，還需要使用者在日常使用過(guò)程中從源頭處采取相應措施，最大程度上降低被非法利用的可能性。

SIEM市場(chǎng)規模將在2027年超過(guò)60億美元

近日，研究機構Valuate發(fā)布一項報告，數據顯示到2027年，全球安全信息和事件管理(SIEM)市場(chǎng)規模預計將從2020年的39.383億美元升至64.362億美元，2021~2027年預測期內復合年增長(cháng)率為6.8%。

報告指出推動(dòng)SIEM市場(chǎng)需求的重要因素包括：對威脅事件的持續檢測與響應、滿(mǎn)足監管要求，以及日志管理的重要意義等。同時(shí)，企業(yè)安全防護意識的增強，以及全球范圍內對網(wǎng)絡(luò )安全治理和合規管理進(jìn)一步推動(dòng)了SIEM市場(chǎng)的發(fā)展。

隨著(zhù)遠程辦公、SaaS應用程序和 BYOD策略越來(lái)越受歡迎，組織需要從傳統網(wǎng)絡(luò )邊界之外管理網(wǎng)絡(luò )危險所需的可見(jiàn)性級別。SIEM能夠幫助企業(yè)通過(guò)低成本實(shí)現威脅檢測和日志管理，并在提高生產(chǎn)力的同時(shí)提供眾多安全解決方案。SIEM系統監控所有用戶(hù)、設備和應用程序的所有網(wǎng)絡(luò )活動(dòng)，無(wú)論數字資產(chǎn)和服務(wù)在何處訪(fǎng)問(wèn)，都可以提高整個(gè)基礎設施的可見(jiàn)性并檢測威脅。

此外，當發(fā)生安全問(wèn)題時(shí)，SIEM系統使企業(yè)能夠在一個(gè)中心位置收集和分析來(lái)自其所有數字資產(chǎn)的日志數據。這使他們能夠重現以前發(fā)生的事件或評估新事件，以檢查可疑活動(dòng)并改進(jìn)安全系統。

普普點(diǎn)評

按照行業(yè)劃分，零售業(yè)SIEM市場(chǎng)預計發(fā)展最快，因為電子商務(wù)領(lǐng)域企業(yè)對于其財務(wù)和個(gè)人信息的安全性擔憂(yōu)不斷增加導致的。在全球范圍內，信息安全的重要性正不斷凸顯。隨著(zhù)大數據、人工智能等技術(shù)的快速發(fā)展，數據不再只是數據，而是龐大的資源。對海量數據進(jìn)行分析利用，人們可以輕而易舉的完成從前無(wú)法想象的事情；而信息安全正是“數據列車(chē)“的軌道，信息安全相關(guān)行業(yè)正迎來(lái)前所未有的機遇。

超三成網(wǎng)絡(luò )攻擊可在30分鐘以?xún)韧瓿?/strong>

CrowdStrike最新報告指出，過(guò)去一年中，威脅行為者從最初訪(fǎng)問(wèn)權限轉移到橫向移動(dòng)所需的平均時(shí)間為1小時(shí)32分鐘，減少了67%。而且在36%的網(wǎng)絡(luò )攻擊中，攻擊者在30分鐘內就實(shí)現了橫向移動(dòng)。橫向移動(dòng)意味著(zhù)攻擊者能夠發(fā)現重要數據和部署勒索軟件。這給安全運營(yíng)團隊帶來(lái)了額外壓力。該報告的調查對象來(lái)自CrowdStrike全球客戶(hù)的大約248,000個(gè)全球端點(diǎn)。

CrowdStrike的EMEA首席技術(shù)官Zeki Turdi指出：“一旦發(fā)生橫向移動(dòng)，事件就會(huì )變得更難解決，成本也更高。簡(jiǎn)而言之，在一臺機器上處理威脅行為者比多臺機器更容易。對于開(kāi)始橫向移動(dòng)的威脅行為者，他們已經(jīng)對網(wǎng)絡(luò )進(jìn)行了一些基本的偵察，但更重要的是擁有允許他們開(kāi)始在網(wǎng)絡(luò )中移動(dòng)的憑據。他們可能借此對企業(yè)迅速的造成傷害?！?/span>

根據報告，在2020年7月至2021年6月期間，所有垂直行業(yè)和地理區域的攻擊嘗試與去年同比增加了60%。但并非所有這些活動(dòng)都與數據收集和勒索軟件部署有關(guān)，CrowdStrike記錄了交互式入侵中加密劫持攻擊同比增長(cháng)了100%。

普普點(diǎn)評

威脅行為者正變得越來(lái)越隱蔽。在68%CrowdStrike索引的檢測中，攻擊者根本沒(méi)有使用惡意軟件，這意味著(zhù)越來(lái)越多的攻擊行為繞過(guò)了傳統安全工具的監控。不法分子的攻擊手段不斷在變化，依靠單一的防護軟件很難抵抗這些攻擊行為。對于企業(yè)及用戶(hù)，自身的信息安全體系建設十分重要，通過(guò)多種防護設備組成的防御網(wǎng)絡(luò )能有效抵抗惡性攻擊；同時(shí)要及時(shí)修復系統漏洞，不給黑客可趁之機。