2020上半年勒索病毒報告：勒索手段升級，不交贖金就公開數據

　　近日，騰訊安全正式對外發布《2020上半年勒索病毒報告》(以下簡稱“報告”)。《報告》顯示，上半年全球大型企業遭受勒索病毒打擊的事件依然高頻發生。其中，最活躍的勒索病毒家族發起針對性極強的大型“狩獵”活動，對企業開出天價解密贖金;新型勒索病毒層出不窮，技術上不斷進化。而勒索手段也從單純的贖金換密鑰，升級到不給贖金就公開機密數據。騰訊安全也提供從威脅情報到安全産品的整體防護解決方案，協助企業抵禦勒索病毒攻擊。

　　  據騰訊安全威脅情報大數據顯示，2020上半年勒索病毒依舊十分活躍，但總體感染情況較去年略有下降。從勒索病毒攻擊的地區分布看，廣東、浙江、山東、河南、上海等經濟較發達地區成為重點目标，其它省份也遭受到不同程度攻擊。從勒索病毒影響的行業看，數據價值較高的傳統企業、教育、醫療、政府機構遭受攻擊最為嚴重，互聯網、金融、能源行業緊随其後，也遭到勒索病毒攻擊影響。

　　  攻擊更精準，不交贖金立即公開敏感數據

　　  由于攻擊政企機構更容易獲得贖金，于是活躍勒索病毒團夥越來越多地将高價值大型政企機構作為重點打擊對象。據《報告》顯示，為了追求利益化，多數情況下，攻擊者在攻陷企業一台網絡資産之後，會利用該資産持續滲透攻陷更多資産，之後大量植入文件加密模塊，從而迫使企業在業務系統大面積癱瘓的情況下繳納贖金。

　　  注：上圖的勒索病毒樣本僅針對特定目标的IT設備

　　  此外，為避免勒索失敗，攻擊者還采取了新的勒索策略。即，先竊取政企機構敏感數據，再對企業資産進行加密。如果企業拒絕繳納贖金解密，就在暗網“恥辱牆”頁面公開企業部分敏感數據進一步實施勒索，若企業依然拒絕繳納贖金，勒索團夥就會直接公開所竊取的企業敏感數據。對于大型企業而言，數據洩露帶來的不止有經濟上的損失，還會嚴重影響企業形象，使自身失去公衆信任。因此，面對這種以洩露數據為手段的勒索攻擊，就算企業有數據備份，也隻能被迫選擇支付贖金。

　　  加密、合作、定制化，勒索病毒技術手段升級

　　  經過長期的演變，勒索病毒在“勒索”這件事上越發成熟。

　　  首先，為了對攻擊目标進行精準打擊，很多勒索病毒會利用僵屍網絡龐大的感染基數進行迅速擴張。例如GandCrab勒索團夥就借助Phorpiex僵屍網絡的持續投遞獲利超20億美金。而新開發出的勒索家族為了快速切入市場，也會選擇與僵屍網絡進行合作以獲得市場知名度。據《報告》顯示，僵屍網絡已成為勒索病毒傳播渠道的中堅力量，在勒索病毒事件溯源中的占比越來越高。

　　  其次，為了提升加密效率降低資源消耗，勒索病毒作者在加密流程的細節上進行優化。從早期的單線程文件加密，升級到針對每個磁盤分區進行多線程加密;從單一的x86可執行病毒版本到增加x64可執行版本;利用高危漏洞進行内核提權，或使用壓縮打包的方式進行提權來加密更多文件等等。此外，勒索病毒還開始擴大加密範圍，不止加密文件，同時對文件名也進行加密。

　　  值得一提的是，勒索病毒還開始了“聯手”合作。騰訊安全專家觀察發現，有攻擊者攜帶不止一種勒索病毒。據推測，這可能是攻擊者為避免單一病毒由于安全環境等問題導緻的加密失敗，而開始與多個勒索病毒家族合作。同時，更多的勒索病毒開始針對國内市場做優化，例如增加中文版本的勒索信件，勒索加密擴展後綴使用具有國内風格的命名方式等。由此可見，國内依然為勒索團夥關注最為密切的市場之一。

　　  加強信息安全建設，保障企業不被“勒索”

　　  面對嚴峻的勒索病毒威脅态勢，《報告》中指出可按照“三不三要”思路進行日常安全管理，以提高企事業單位及政府機構的網絡安全意識。即标題吸引人的未知郵件不要點開、不随便打開電子郵件附件、不随意點擊電子郵件中的附帶網址;重要資料要備份、開啟電子郵件前确認發件人可信、系統補丁/安全軟件病毒庫保持實時更新。

　　  同時，騰訊安全專家提醒廣大政企用戶，可根據業務節點攔截位置部署專業的安全産品，并根據騰訊安全威脅情報中心提供的情報數據配置各節點聯防聯動、統一協調管理，提升整體網絡抗攻擊能力。

　　  此外，專家還建議個人用戶安裝騰訊電腦管家、企業客戶部署騰訊T-Sec終端安全管理系統攔截查殺各類勒索病毒，保護各終端節點。同時，啟用騰訊電腦管家「文檔守護者」，該功能集成針對主流勒索病毒的解密方案，并提供完善的數據備份方案，為數千萬用戶提供文檔保護恢複服務。