网络安全和基础设施安全局和联邦调查局联合发布《ALPHV Blackcat 勒索软件公告》

联邦调查局（FBI）和网络安全和基础设施安全局（CISA）发布本联合CSA，以传播与ALPHV Blackcat勒索软件即服务（RaaS）相关的已知IOC 和TTP，这些IOC 和TTP 是最近在2023 年12 月6 日通过FBI 调查发现的。

本公告对2022年4月19日发布的FBI FLASH BlackCat/ALPHV勒索软件破坏指标进行了更新。自上次报告以来，ALPHV Blackcat 行为者发布了新版本的恶意软件，FBI在全球范围内确定了1000 多名通过勒索软件和/或数据勒索成为目标的受害者。

联邦调查局和 CISA鼓励关键基础设施组织实施本CSA 中缓解措施部分的建议，以降低ALPHV Blackcat 勒索软件和数据勒索事件发生的可能性和影响。

2023 年 2月，ALPHV Blackcat 管理员宣布 ALPHV Blackcat 勒索软件 2.0 Sphynx 更新，该更新经过重写，为附属机构提供了更多的功能，如更好的防御规避和更多的工具。ALPHV Blackcat 更新版能够加密Windows 和Linux 设备以及VMWare 实例。ALPHV Blackcat 的附属机构拥有广泛的网络，在勒索软件和数据勒索行动方面经验丰富。据联邦调查局称，截至2023 年 9月，ALPHV Blackcat 关联公司已入侵1000 多个实体--其中近75% 在美国境内，约250 个在美国境外--索要的赎金超过5 亿美元，收到的赎金近3 亿美元。

注：本公告使用MITRE ATT&CK® for Enterprise 框架第14 版。请参阅"MITRE ATT&CK 战术和技术"部分，查看与MITRE ATT&CK战术和技术相对应的威胁行为者活动表。有关将恶意网络活动映射到MITRE ATT&CK 框架的帮助，请参阅CISA 和MITRE ATT&CK 的《MITRE ATT&CK 映射最佳实践》和CISA 的Decider 工具。

ALPHV Blackcat 分支机构使用先进的社交工程技术和对公司的开放源代码研究来获得初始访问权。行为者冒充公司IT和/或服务台员工，使用电话或短信[T1598]从员工处获取访问目标网络的凭证[T1586]。ALPHV Blackcat 分支机构使用统一资源定位器(URL)与受害者实时聊天，传达要求并启动恢复受害者加密文件的程序。

在访问受害者网络后，ALPHV Blackcat 分支机构会部署AnyDesk、Mega sync 和Splashtop等远程访问软件，为数据外泄做准备。接入网络后，ALPHV Blackcat 分支机构使用合法的远程访问和隧道工具，如Plink 和Ngrok [S0508]。ALPHV Blackcat 附属机构声称使用Brute Ratel C4 [S1063] 和Cobalt Strike [S1054]作为指挥和控制服务器的信标。ALPHV Blackcat 分支机构使用开源的中间对手攻击[T1557]框架Evilginx2，这使他们能够获取多因素身份验证（MFA）凭证、登录凭证和会话cookies。他们还从域控制器、本地网络和已删除的备份服务器获取密码，以便在整个网络中横向移动[T1555]。

为了躲避检测，关联公司会使用允许列表应用程序，如Metasploit。一旦安装到域控制器上，交换服务器上的日志就会被清除。然后使用Mega.nz 或Dropbox移动、渗出和/或下载受害者数据。然后部署勒索软件，并将赎金说明嵌入为file.txt。根据公开报告，附属机构还使用POORTRY 和STONESTOP 终止安全进程。

一些ALPHV Blackcat分支机构在获取访问权限后会外渗数据，并在不部署勒索软件的情况下勒索受害者。在渗出和/或加密数据后，ALPHV Blackcat 分支机构会通过TOR [S0183]、Tox、电子邮件或加密应用程序与受害者通信。然后，威胁行为者会从受害者系统中删除受害者数据。ALPHV Blackcat 分支机构主动提供网络修复建议作为付款奖励，向受害者提供"漏洞报告"和"安全建议"，详细说明他们是如何侵入系统的，以及在收到赎金后如何防止今后再次受害。

请参见表1 至表3，了解本警告中所有参考的威胁行为者战术和技术。

表1：ALPHV "黑猫"/ALPHV "威胁行为者"的攻击和拦截技术- 侦查

表2：ALPHV黑猫/ALPHV威胁行动者ATT&CK 技术- 资源开发

表3：ALPHV Blackcat/ALPHV 威胁行为者ATT&CK 技术- 凭证访问

如果检测到入侵，组织应：

联邦调查局和CISA建议各组织实施以下缓解措施，以根据威胁行为者的活动改善组织的网络安全态势，并降低ALPHV Blackcat威胁行为者入侵的风险。这些缓解措施与CISA 和国家标准与技术研究院(NIST) 制定的跨部门网络安全性能目标(CPG) 相一致。CPGs提供了一套CISA 和NIST 建议所有组织实施的最低实践和保护措施。CISA和NIST 以现有的网络安全框架和指南为基础制定了CPGs，以防范最常见、影响最大的威胁、战术、技术和程序。请访问CISA 的跨部门网络安全绩效目标，了解有关CPGs 的更多信息，包括其他建议的基准保护措施。

除了应用缓解措施外，CISA还建议针对本建议中映射到MITRE ATT&CK for Enterprise 框架的威胁行为，对贵组织的安全计划进行演练、测试和验证。CISA建议测试您现有的安全控制清单，以评估它们在与本建议中描述的ATT&CK 技术相对照时的表现。