网安加·百家讲坛 | 肖文棣：铸盾护企——面对勒索病毒产业链的企业防护之道

作者简介：肖文棣，OWASP中国广东分会负责人、网安加社区特聘专家，现任某外企安全架构师，负责应用安全设计、管理和评审等工作。

引言

随着信息技术的飞速发展，网络安全问题愈发凸显，企业面临的网络安全威胁日益严峻。

其中，勒索病毒作为一种新型的网络攻击手段，已经逐渐发展成为一个完整的产业链，不仅通过加密数据来勒索赎金，还通过威胁曝光数据来迫使受害者屈服。

面对这种新常态下的勒索病毒攻击，企业必须采取全面有效的防护措施，以确保业务的正常运行和数据的安全。

本文将从勒索病毒的特点、产业链构成、攻击方式以及企业防护策略等方面进行深入探讨，为企业构建一套全面、有效的勒索病毒防护体系提供参考。

勒索病毒概述及特点

勒索病毒是一种通过加密用户数据并索要赎金来获利的恶意软件。

勒索病毒的特点主要包括以下几个方面：

勒索病毒产业链构成

勒索病毒产业链已经形成了一个完整的闭环，包括病毒开发、传播、加密数据、勒索赎金以及数据泄露等多个环节。

具体构成如下：

1. 病毒开发：攻击者利用专业的技术知识，开发具有强大加密能力和隐蔽性的勒索病毒。

2. 病毒传播：攻击者通过各种手段将勒索病毒传播到目标系统，如利用漏洞、弱密码、钓鱼邮件等方式。

3. 加密数据：一旦病毒成功入侵系统，将开始加密用户的重要数据，使其无法正常使用。

4. 勒索赎金：攻击者向受害者发送勒索邮件，要求支付一定金额的赎金以获取解密密钥或避免数据泄露。

5. 数据泄露：如果受害者未在规定时间内支付赎金，攻击者可能会公开或出售加密数据，造成更大的损失。

勒索病毒的攻击方式及新常态

勒索病毒的攻击方式多种多样，包括但不限于以下几种：

1. 利用漏洞

攻击者利用操作系统、应用软件等存在的安全漏洞，将勒索病毒植入系统。比如2017年的WannaCry的勒索病毒在全球范围内爆发，就是主要利用了Windows操作系统中的MS17-010漏洞（也被称为“永恒之蓝”漏洞）进行传播和感染。

2. 弱密码攻击

通过猜测或暴力破解等方式获取用户的弱密码，进而入侵系统并植入勒索病毒。比如有一家公司的OA服务器受到长达72分钟的暴力破解尝试，期间出现了1057次登录失败的记录。攻击者使用了自动化工具，尝试了大量的密码组合，最终攻破了该OA服务器获取到权限后注入了勒索病毒。

3. 钓鱼邮件

伪造邮件、网站等诱导用户点击恶意链接或下载恶意附件，从而感染病毒。比如某企业收到一封来自未知发件人的邮件，邮件标题为“紧急通知：关于公司财务报表的更新”。由于邮件内容与该企业的日常业务相关，且发件人使用了伪造的内部邮箱地址，导致多名员工误以为是合法邮件并进行了点击。邮件中附带了一个名为“财务报表.zip”的附件，员工在下载并解压该附件后，计算机便感染了勒索病毒。

4. 恶意广告

在网页中嵌入恶意代码，当用户点击广告时触发病毒感染。比如在2021年，安全人员发现了一个名为Magniber的勒索病毒，该病毒主要通过色情网站的广告位进行传播。这一案例展示了勒索病毒如何利用恶意广告这一新型攻击手段进行感染。

5. 移动存储介质

通过感染U盘、移动硬盘等移动存储介质，在多个设备间传播病毒。比如在2022年，一家中型企业的财务部门遭受了勒索病毒攻击，其感染途径是通过一个被植入了勒索病毒的U盘。此次攻击导致该企业的财务数据被加密，严重影响了企业的正常运营。

随着技术的不断进步和攻击者的不断尝试，勒索病毒又呈现出以下几个新常态：

1. 攻击频率和规模不断增大：随着攻击技术的不断提高和攻击成本的降低，勒索病毒的攻击频率和规模呈现出不断增大的趋势，而且有些被勒索的企业还会被反复勒索。

2. 攻击手段多样化：攻击者不断尝试新的攻击手段，如利用钓鱼邮件、恶意广告、移动存储介质等方式进行传播，使得勒索病毒的传播更加隐蔽和难以防范。勒索病毒已经是产业化，方式变化多端，防不胜防。

3. 数据泄露威胁增加：随着数据泄露事件的不断发生，攻击者越来越倾向于利用数据泄露威胁来进行勒索。他们可能事先窃取企业的敏感数据，并在加密数据后以此作为筹码进行勒索。勒索病毒不仅仅加密数据，更可能进行更多威胁，甚至威胁向监管部门举报这些企业，这样企业就更可能屈服并付款。

4. 勒索金额不断攀升：随着攻击者对目标企业的了解和掌握程度的提高，他们可能会根据企业的规模、业务重要性等因素来设定更高的赎金金额。2022年，英国著名汽车经销商集团Pendragon和电信公司Intrado分别遭遇了勒索攻击，黑客组织在这两起事件中均要求了高达6000万美元的赎金。这是近期报道中勒索金额相当高的案例。