勒索病毒發展至今，其勒索產業鏈已極其完善，勒索病毒傳播快、范圍廣，已然成為了全球網絡安全最大的威脅。本月，美創安全實驗室威脅平臺監測到多起勒索病毒攻擊事件，發現勒索病毒的感染量比11月有所增長。
從行業劃分來看，數據價值較高的傳統行業、醫療、教育、政府機構等行業仍是感染勒索病毒的重災區。
下圖是美創安全實驗室對勒索病毒監測后所計算出的12月份勒索病毒家族流行度占比分布圖。TellYouThePass、Phobos、Mallox三大勒索病毒家族的受害者占比最多。
勒索病毒傳播方式
下圖為勒索病毒傳播的各種方式的占比情況。根據統計可以看出，可以看出勒索病毒的主要攻擊方式依然以遠程桌面入侵為主，其次為通過海量的垃圾郵件傳播，或利用網站掛馬和高危漏洞等方式傳播，整體攻擊方式呈現多元化的特征。
2022年12月
Phobos勒索軟件從2019年開始在全球流行，并一直保持著很高的活躍度，并常年占據勒索病毒榜單前三，其不斷推出新變種，并頻繁通過RDP暴破、釣魚郵件等方式對企業單位及個人用戶進行攻擊，使受害者遭受數據財產的嚴重損失，影響十分惡劣。
Mallox（又被稱作Target Company）最早出現于2021年7月中旬，并在2021年12月開始進入國內。其采用RaaS（勒索軟件即服務）模式運營，將企業作為其攻擊目標。Mallox病毒主要針對企業的Web應用發起攻擊，包括Spring Boot、Weblogic、通達OA等，在拿下目標設備權限后還會嘗試在內網中橫向移動，獲取更多設備的權限，危害性極大。
12月初，浙江某醫藥企業披露了一次網絡攻擊。在攻擊期間，勒索軟件操控者設法獲得對內部服務器的控制權后，在服務器上安裝了TellYouThePass勒索軟件。據悉，該企業在發現網絡攻擊后立即關閉了部分IT系統，以防止攻擊的蔓延。此次攻擊也導致了部分服務的中斷，影響了多家線下門店的運營。
在線點評：
Tellyouthepass 勒索病毒從 2020 年開始活躍，早期利用永恒之藍漏洞攻擊套件擴散傳播，之后通過 Log4j2 漏洞、OA 漏洞等進行大面積掃描擴散傳播，針對 Windows 和 Linux 實現雙平臺勒索，該家族多次活躍直接導致國內多企業大面積業務停擺。
四川某企業披露，該企業在12月中旬遭到勒索病毒攻擊，造成了嚴重的IT服務中斷。經過排查，該企業服務器上的文件被加密鎖定，文件名也被篡改為“.[back23@vpn.tg].makop”后綴，并且已無法正常打開，通過后綴可確定該病毒為Makop勒索病毒。
在線點評：
2.企業需要加強自身的信息安全管理能力——尤其是弱口令、漏洞、文件共享和遠程桌面的管理，以應對勒索病毒的威脅。
上海某企業的服務器在12月遭遇了Mallox勒索病毒的攻擊，服務器上的數據庫文件以及相應備份被加密鎖定，軟件無法正常啟動，數據庫文件名也被篡改為“.mallox”后綴，對其公司造成了重大的損失。
在線點評：
1.Mallox勒索病毒傳播渠道有多個，包括匿隱僵尸網絡、橫向滲透以及數據庫弱口令爆破。
2.Mallox勒索病毒運行后迅速加密數據庫文件，導致文件不可用，影響業務運行，同時還會嘗試在內網中橫向移動，獲取更多設備的權限并進一步擴散。
（一）隔離中招主機
（二）排查業務系統
在已經隔離被感染主機后，應對局域網內的其他機器進行排查，檢查核心業務系統是否受到影響，生產線是否受到影響，并檢查備份系統是否被加密等，以確定感染的范圍。
（三）聯系專業人員
面對嚴峻的勒索病毒威脅態勢，美創安全實驗室提醒廣大用戶，勒索病毒以防為主，注意日常防范措施，以盡可能免受勒索病毒感染：
① 及時給辦公終端和服務器打補丁，修復漏洞，包括操作系統以及第三方應用的補丁，防止攻擊者通過漏洞入侵系統。
② 盡量關閉不必要的端口，如139、445、3389等端口。如果不使用，可直接關閉高危端口，降低被漏洞攻擊的風險。
③ 不對外提供服務的設備不要暴露于公網之上，對外提供服務的系統，應保持較低權限。
④ 企業用戶應采用高強度且無規律的密碼來登錄辦公系統或服務器，要求包括數字、大小寫字母、符號，且長度至少為8位的密碼，并定期更換口令。
⑤ 數據備份保護，對關鍵數據和業務系統做備份，如離線備份，異地備份，云備份等， 避免因為數據丟失、被加密等造成業務停擺，甚至被迫向攻擊者妥協。
⑥ 敏感數據隔離，對敏感業務及其相關數據做好網絡隔離。避免雙重勒索病毒在入侵后輕易竊取到敏感數據，對公司業務和機密信息造成重大威脅。
⑦ 盡量關閉不必要的文件共享。
⑧ 提高安全運維人員職業素養，定期進行木馬病毒查殺。
⑨ 部署美創數據庫防火墻，可專門針對RushQL數據庫勒索病毒進行防護。
⑩ 安裝諾亞防勒索軟件，防御未知勒索病毒。
為了更好地應對已知或未知勒索病毒的威脅，美創通過對大量勒索病毒的分析，基于零信任、守白知黑原則，創造性地研究出針對勒索病毒的終端產品【諾亞防勒索系統】。諾亞防勒索在不關心漏洞傳播方式的情況下，可防護任何已知或未知的勒索病毒。以下為諾亞防勒索針對勒索病毒的防護效果。
美創諾亞防勒索可通過服務端統一下發策略并更新。默認策略可保護office文檔【如想保護數據庫文件可通過添加策略一鍵保護】。
無諾亞防勒索防護的情況下：
在test目錄下，添加以下文件，若服務器中了勒索病毒，該文件被加密，增加統一的異常后綴，并且無法正常打開。
開啟諾亞防勒索的情況下：
雙擊執行病毒文件，當勒索病毒嘗試加密被保護文件，即test目錄下的文件時，諾亞防勒索提出警告并攔截該行為。
查看系統上被測試的文件，可被正常打開，成功防護惡意軟件對被保護文件的加密行為。
開啟堡壘模式的情況下：
為保護系統全部文件，可一鍵開啟諾亞防勒索的堡壘模式。堡壘模式主要針對亞終端，例如ATM機，ATM機的終端基本不太會更新，那么堡壘模式提供一種機制：任何開啟堡壘模式之后再進入終端的可執行文件都將被阻止運行，從而實現諾亞防勒索的最強防護模式。
運行在堡壘模式下，執行該病毒，立刻被移除到隔離區，因此可阻止任何已知或未知勒索病毒的執行。
美創訂閱號
美創服務號
第59號公眾號
浙公網安備 33010502006954號