Sophos:勒索軟件及重大網絡攻擊趨勢再現

網絡安全廠商Sophos發布《2021年網絡威脅報告》,揭示勒索軟件及不同級別的攻擊者和其迅速變化網絡攻擊模式,將如何影響2021年威脅的環境及資訊安全。

報告由SophosLabs研究人員,連同Sophos的威脅狩捕、事故快速回應專員,以及雲端安全及人工智能專家等共同撰寫,就安全威脅及趨勢的起源及實際影響作全方位分析。

《2021年網絡威脅報告》中三大主要趨勢包括:

  1. 不同級別的勒索軟件操作者的技能及資源水平差別將擴大:最高級別的勒索軟件系列上將不斷改良其手法,技術和流程(TTPs)將更貼近國家級攻擊般複雜,用以針對大型企業,勒索數以百萬美元巨額。在2020年,這些勒索軟件系列包括Ryuk and RagnarLocker。反觀另一方面,Sophos估計入門或學徒級的攻擊數量將會增加,他們將較趨向備有步驟說明或者如Dharma 之類的租用式勒索軟件來向大量的小型目標發動攻擊。

另一個趨勢是勒索軟件是「次級敲詐」,即除了受害者數據加密,攻擊者將同時偷取敏感或機密資訊,再威脅公開這些資訊以進行勒索。在2020年,Sophos曾指出Maze、RagnarLocker、Netwalker、REvil等軟件均採用這種方法牟利。

Sophos首席研究科學家Chester Wisniewski表示:「勒索軟件的商業模式是多變而複雜的。在2020年,Sophos發現攻擊者開始根據他們的技能和目標進行分類。然而,Sophos亦發現有些勒索軟件系列均擁有強勁工具,更會形成具個性特色的團伙。例如Maze似乎已經退隱江湖,但Maze的部分工具和技能以全新的Egregor形象出現。網絡威脅的環境可謂是沒有空檔的,當一個勢力消失,另一個勢力便會立即補上。很多情況下,我們幾乎無法預測勒索軟件的下個目標,但Sophos threat report上所述的攻擊趨勢相信會在2021年持續。」

Sophos首席研究科學家Chester Wisniewski表示,對訓練有素的狩獵者或IT主管而言,使用端點偵測與回應 (EDR) 功能,這些痕跡就是珍貴的線索,觸發安全小組發現攻擊者和潛在攻擊。
  1. 我們需更留心商品惡意軟件如loaders 、 殭屍網絡及人手控制的Initial Access Brokers等日常威脅。這些威脅看似低級,但是它們目的是在目標中站穩陣腳,採集所需數據及送回command-and-control 網絡,等待下一步指示作出攻擊。如果有人手控制這些威脅,他們將會檢視每個受影響機器的位置或其他有價值的線索,然後將最具價值的受害者資訊售賣給最高價的競投者,例如某個勒索軟件組織。例如,在2020年Ryuk使用Buer Loader來發送勒索軟件。

Wisniewski續指:「商品類惡意軟件似乎對於安全系統而言只是小事。但是,Sophos的分析指出,防衛者需認真對待這些攻擊,因為其後果可以十分嚴重。 只需一部機器受到感染,便可傳染大量其他機器。很多安全小組都以為,只要將惡意軟件封鎖及移除,並將受感染的機器清理好之後,事件就可以平息。但是,他們未必意識到攻擊目標並不止一部機器,而且看似普通的Emotet 和 Buer Loader惡意軟件都可以引起更高級Ryuk或Netwalker等攻擊,直至某個深夜或週末當勒索軟件已作好部署時,資訊科技部門才會發現問題。如果無法預測看似細小的感染,將會導致相當嚴重的後果。」

  1. 任何級別的攻擊者都會增加使用獲認可的工具、著名的設施以及常用的網絡目的地,以避開偵測及安全措施,以及阻撓分析和身分暴露。使用獲認可的工具讓攻擊者能在不被發現下在網絡內四處遊走,直至他們開展勒索軟件之類的大規模攻擊。對於由國家資助的攻擊者而言,使用常用工具更可令抓捕元兇變得更為困難。在2020年,Sophos也曾報告大量攻擊者採用的標準攻擊工具。

Wisniewski評價道:「在Sophos就有關2020年的威脅環境評估中已清楚顯示,攻擊者會使用普通工具及技巧來隱藏主動式攻擊。此技巧為傳統的安全措施帶來威脅,因為普通工具不會令系統自動起疑。此時,由人手控制的威脅狩捕及回應服務將可大顯身手,因為人類專家知道如何找尋細小的異常和痕跡,例如發現在不合適的時間和地點使用獲認可的工具。對訓練有素的狩獵者或 IT 主管而言,使用端點偵測與回應 (EDR)功能時,這些痕跡就是珍貴的線索,觸發安全小組發現攻擊者和出現潛在攻擊。」

其他在《2021年網絡威脅報告》中發現的威脅包括:

  • 攻擊伺服器:攻擊者以Windows和Linux系統的伺服器作為攻擊對象,利用它們在企業的內部開展攻擊。
  • COVID 19疫情對資訊科技安全的影響,例如在家工作者使用的個人網絡的防護程度不同,所帶來的安全挑戰。
  • 雲端環境的安全挑戰:儘管雲端計算已成功負起企業對安全雲端環境的需求壓力,但是它也帶來與傳統網絡不同的的挑戰。
  • 常用服務如RDP和VPN集中器,仍然是攻擊者在網絡週邊上的攻擊對象。攻擊者同時使用RDP在受攻擊的網絡上橫向移動。
  • 軟件應用程式通常被標示為「潛在不必要」,因為它們傳送大量廣告,但會使用難以和惡意軟件區分的技巧。
  • 一個久遠的VelvetSweatshop重出江湖,它是一個早期的Microsoft Excel的預設密碼功能,用於在文件上隱藏巨集或其他惡意內容,逃避威脅偵測。
  • 他們需要採取流行病學的方法來將未見、未偵測到及未知的網絡風險進行量化分析,以改善偵測、風險評估及設定優先順序之間的連接。
benny

benny

Benny Yeung ~ 企業IT傳媒人,經常四周穿梭科技巨企及論壇,熱愛探討新商機。性格貪玩,但喜歡閱讀沉悶的企業賺蝕數字,最重視辦事效率。