技术干货 | 用零信任消灭勒索病毒

admin 2021年4月16日10:00:50评论66 views字数 4922阅读16分24秒阅读模式

本公众号发布的文章均转载自互联网或经作者投稿授权的原创,文末已注明出处,其内容和图片版权归原网站或作者本人所有,并不代表安世加的观点,若有无意侵权或转载不当之处请联系我们处理,谢谢合作!


欢迎各位添加微信号:asj-jacky

加入安世加 交流群 和大佬们一起交流安全技术




技术干货 | 用零信任消灭勒索病毒

1、勒索病毒介绍



最早的勒索病毒源自美国国安局。一个叫“shadow broker”的黑客组织从美国国安局下属单位窃取数据的时候,顺手从国安局的武器库里偷出来一些黑客工具,直接就公开到了互联网上。


公开之后,有黑客基于这些工具开发勒索病毒,进行敲诈勒索。第一批人尝到甜头之后,越来越多的人开始效仿,开发变种病毒。从此,勒索病毒开始席卷全球,灾难开始爆发。


技术干货 | 用零信任消灭勒索病毒


勒索病毒就长上面这样。服务器中了勒索病毒之后,服务器上的文件会被加密,无法打开。病毒完成加密之后,会在界面上弹出勒索信息:你的文件都被加密了,只有拿到私钥,才能解密。支付几个比特币的赎金,就给你解密的私钥。


这种加密的破解难度很高,所以很多公司无可奈何之下,只能选择支付赎金。


技术干货 | 用零信任消灭勒索病毒


技术干货 | 用零信任消灭勒索病毒

2、勒索病毒为什么能肆虐



(1)病毒变种多,难以查杀


勒索病毒变种非常多,变化很快。杀毒软件一般是根据已知的病毒库去对比特征、发现病毒的。新开发的病毒的特征没那么快进入病毒库,所以很多新病毒,杀毒软件识别不出来。


一般勒索病毒的开发者发布病毒之前,肯定也会自己测一下,常见的杀毒软件杀不了,才去展开攻击。所以,面对勒索病毒,现有防病毒手段难以奏效。


(2)传染性极强


勒索病毒可以通过漏洞传播,国内大量用户使用盗版系统,补丁更新不及时,导致漏洞广泛存在。


用户中毒后,勒索病毒会自动扫描其他设备的漏洞,所以传播性极强。


(3)病毒开发者难以追踪


勒索过程一般是用比特币结算的,比特币是去中心化的,没有一个总的服务器可以查询账户对应的个人信息,所以基本追踪不到黑客本人。世界上这么多勒索病毒,现在都没几个开发者落网。


成本低而且收益高,所以搞勒索病毒的人越来越多。


技术干货 | 用零信任消灭勒索病毒


技术干货 | 用零信任消灭勒索病毒

3、勒索病毒的传播原理



勒索病毒可以通过漏洞、邮件、程序木马、网页挂马等形式传播。利用漏洞进行传播是勒索病毒最常见的传播方式。


最早的勒索病毒只是一个软件,现在勒索病毒技术上越来越强大,已经变成云服务了(RaaS,Ransomware-as-a-Service勒索软件即服务)。云服务让勒索病毒更加强大。例如,加密所用的密钥是从云端获取的,勒索信息在后台可以实时编辑等等。


技术干货 | 用零信任消灭勒索病毒


(1)传播目标


从操作系统方面看,传播目标中Windows和Linux都有。重灾区是Windows XP、Windows 7等老旧系统。虽然微软官方都已经不再维护了,但是国内很多的机关单位仍在大量的使用这些老旧的系统。


技术干货 | 用零信任消灭勒索病毒


个人电脑和企业服务器都是勒索病毒的目标。企业服务器多暴露在公网,所以比个人电脑更容易被攻击。


(2)入侵


勒索病毒攻击一般始于网络端口扫描。找到网络内高价值服务器、数据库后,利用漏洞进入目标服务器。


著名的勒索病毒WannaCry就是利用了Windows的smb协议(文件共享)的漏洞进行传播的。扫描445端口,发现漏洞之后,就能在电脑里执行任意代码,植入后门程序,然后继续扫描传播。


WannaCry使用Doublepulsar后门程序向目标电脑传输木马和其他下一步所需的工具,远程安装并运行。


传输过程是加密的,安全设备很难检测到恶意软件的传输。


为什么第一批病毒受害者多为高校、医院等机构呢?就是因为很多勒索病毒是利用445端口进行攻击。


由于国内曾多次出现利用445端口传播的蠕虫病毒,部分运营商对个人用户封掉了445端口。但是教育网并无此限制,存在大量暴露着445端口的机器,因此成为攻击的重灾区。


(3)获取密钥


勒索病毒的加密算法几乎都比较复杂,需要获取“密钥”才能进行加密。而且要保证对每个用户使用不同的密钥。


所以,勒索病毒利用漏洞入侵目标之后,首先要从自己的服务器端获取密钥,才能开始加密。


为了隐藏自己,勒索病毒跟服务端的通信一般都是通过Tor协议进行通信,或者是经过多层代理服务器的跳转然后进行通信。这两种方式都可以防追踪,避免服务器被别人发现。


所以,WannaCry利用后门进入目标电脑之后,第一件事就是安装一个tor客户端,再通过tor客户端与自己的服务器通信。


勒索病毒会上传当前设备的信息,比如系统版本等,勒索病毒服务器根据设备信息来判断下发什么样的加密方式和密钥。


(4)收集目标文件


勒索病毒会进行一些准备工作,为下一步文件加密做好准备。


例如,勒索病毒会停掉数据库和服务器,释放其所占用的资源,以便对这些数据进行加密。


勒索病毒会使用工具破坏服务器内的安全软件,例如关闭Windows Defender。


最后勒索病毒一般会对被攻击计算机上的文件进行遍历,对比文件的扩展名,找到最有价值的数据进行加密。


不同的病毒会以不同的文件为目标,WannaCry的目标包括office文档、代码、视频、图片、程序、密钥、数据库文件、虚拟盘等等。


技术干货 | 用零信任消灭勒索病毒


(5)文件加密


勒索病毒的加密过程很快。受害者的文件会被篡改文件后缀。加密后的各类文件都无法正常打开,只有支付赎金才能解密恢复。


例如,Ripid病毒对文件进行加密之后,就会添加.rapid拓展名。并在每个文件夹中创建“How Recovery Files.txt”提示文件,让受害者知道如何进行付款。


(6)勒索信息


勒索病毒的最后一步就是展示勒索信息。


例如,WannaCry会在加密文件之后,运行锁屏程序,并进行重启,用户再次进入电脑时就会看到弹出的勒索信息。


比较讽刺的是一般勒索病毒的体验会做的特别的好。


例如,一般勒索信息都支持多语言切换。


做勒索病毒的人里面还有很多营销大师。


例如,48小时内未支付,赎金翻倍。如不交赎金,则会将数据公开拍卖。企业即使在有文件备份的情况下,为了数据不被泄露,也不得不交付赎金。


技术干货 | 用零信任消灭勒索病毒


(7)其他进攻手段


僵尸网络、银行木马等与勒索病毒的合作也越来越多,例如MegaCortex勒索病毒会通过Qakbot银行木马传播,Ryuk勒索病毒会通过Trickbot银行木马传播。


甚至有人会在“暗网”招收不同地区的代理进行合作,利用RDP弱口令渗透、钓鱼邮件、软件捆绑、漏洞等多种手段进行传播。


例如,STOP勒索病毒会藏匿在激活工具、下载器、破解软件内,”微信支付”勒索伪装成薅羊毛软件等。


技术干货 | 用零信任消灭勒索病毒

5、如何防御勒索病毒



防御勒索病毒没法单纯依赖杀毒。因为病毒刚开发出来的时候,杀毒软件的病毒库还没收录。这时的杀毒软件是无法识别勒索病毒的。

技术干货 | 用零信任消灭勒索病毒


既然没法彻底杀死,那么面对勒索病毒,最好的办法是做好防控。


“零信任”是目前最好的做访问控制的安全架构。


技术干货 | 用零信任消灭勒索病毒

6、零信任怎么防御勒索病毒



(1)网络隐身,减少攻击面


暴露在互联网上的端口,如135、139、445、3389等等,都非常容易成为勒索病毒攻击的目标。一旦运行在这些端口上的服务没有及时升级,被勒索病毒找到漏洞,就很容易攻击进来。


零信任架构的网关一般都具备网络隐身的能力,可以限制这些端口的暴露面。网关上的防火墙跟用户身份绑定,端口只对合法用户开放,对其他人关闭。


零信任网关会检查流量中的身份信息,合法的流量才允许通过。


勒索病毒发出的流量中没有合法的身份信息。所以,勒索病毒的所有请求都会被拒绝。勒索病毒针对445端口发起攻击的话,会发现445端口根本无法建立连接。对勒索病毒来说,零信任网关的所有端口都是关闭的,完全无法扫描到任何漏洞。


技术干货 | 用零信任消灭勒索病毒


隐身技术的更多细节可以参考我的另一篇文章《零信任里的隐身黑科技》。


(2)切断病毒的远程通信


勒索病毒一般需要连接到服务端来获取加密密钥。


零信任可以对服务器的出口做访问控制策略。服务器出口方向只开放真正需要访问的外部IP和端口,这样可以防止勒索病毒连接远端服务器下载密钥信息。


这样,就可以阻断勒索病毒与服务端的通信,勒索病毒无法获取密钥和其他工具,自然就无法进行后续的攻击了。


(3)微隔离,避免横向扩散


零信任的理念是始终假设威胁已经存在。如果有一个服务器已经中毒了,那么我们应该做的是不让这个服务器传染其他服务器。


微隔离技术是零信任架构的重要组成部分,可以实现服务器之间的访问控制。


微隔离技术能实现比普通的防火墙更细粒度的管控。利用微隔离技术,可以给每个设备建立访问规则。


默认情况下,所有连接都会被拒绝。零信任只授予完成工作所须的最小权限。只有少数服务器可以访问那些敏感端口。


这样就限制了病毒的二次传播和横向蔓延。


技术干货 | 用零信任消灭勒索病毒


实施微隔离不是一蹴而就的,可以先对敏感性高的,或者风险性高的服务器进行隔离。通过建立可视化视图,可以理清服务器间的依赖关系,先对网络中的关键节点进行控制。


更多细节可以参考我的另一篇文章《用微隔离实现零信任》。


(4)用户设备的持续验证


勒索病毒可能会通过钓鱼邮件、网页挂马等方式进入用户电脑。


零信任架构中通常会有一个客户端软件,安装在用户电脑上。客户端会定期扫描。


一旦发现病毒入侵迹象,立即通知管控平台和网关,将用户变为不可信状态。零信任网关立即阻断这个用户的所有连接,并且在白名单中将用户剔除,不再允许用户访问任何资源,直到用户清理完病毒为止。


如果用户电脑上没有发现病毒,但是有其他安全漏洞,那么这个用户也会因为可信等级过低而被隔离。


例如,用户电脑上的病毒库比较老旧,或者操作系统没有升级到最新,或者开启了高危的服务端口,或者安装了没有签名的软件等等。用户有一项没有满足就扣10分。如果用户低于80分,就无法访问敏感数据。一旦信任分低于60分,那么用户就会被彻底隔离。


技术干货 | 用零信任消灭勒索病毒


(5)多因子身份认证


如果用户密码过于简单,那么勒索病毒有可能通过破解密码,直接获取系统权限,进而感染、传播。


零信任包含身份认证系统,这相当于在业务系统外面又加了一层防护罩。用户必须先通过零信任的身份验证,才能获取权限连接到业务系统。


零信任的身份认证可以做统一的加强。例如,禁止用户使用弱口令,禁止不同端点使用相同或相似的密码。增加多因子认证。用户登录时要求插入Ukey,或者用户访问敏感数据前要求输入短信验证码等等。


技术干货 | 用零信任消灭勒索病毒


(6)异常行为识别


中了病毒的设备跟普通用户在行为方式上有很大不同。


例如,病毒需要不停地探测身边的其他设备,寻找漏洞,进行传播。再比如,当病毒入侵到一个设备之后,必然会创建新的管理员账号,并开始复制各类攻击工具。


零信任架构中的用户行为识别系统可以检测到这种行为特征。发生异常行为时,会立即触发一次强认证。病毒必然无法通过认证。此时,网关就可以对认证失败的病毒设备进行隔离,阻断该设备一切连接。


技术干货 | 用零信任消灭勒索病毒


整个事件会在后台记录,发出告警。IT团队可以及时找到异常设备,进行漏洞修复和数据恢复。


技术干货 | 用零信任消灭勒索病毒

7、其他补救方式



零信任是一个逐步建设的过程,业务系统没有全部接入零信任之前,怎么避免中招?


(1)重要数据定期备份


正所谓有备无患,对用户来说,有了备份,文件被勒索病毒加密了也可以快速恢复。


但是对企业来说,单纯靠备份是不够的。因为如果勒索病毒攻进来了,业务办公肯定要受到严重影响,备份只能帮助挽回数据损失,耽误的业务宕机时间是无法弥补回来的。


备份时,要注意最好是进行远程异地的备份。或者是存在一个单写多读的存储设备上,只能写入一次,可以多次读取。避免备份本身被感染。


为了真的出问题时能快速响应,最好定期进行应急演练。做足准备,才能保证真出问题的时候,快速恢复到正常状态。


(2)系统漏洞补丁自动升级


实施零信任后,可以有效地隐藏漏洞,但其实漏洞仍然存在,企业还是应该尽可能地打补丁修复。


技术干货 | 用零信任消灭勒索病毒

8、中毒后如何解除



勒索病毒重点在于防,但是已经中招的话,也可以碰碰运气。如果是很老的病毒的话,是可以解除的。


技术干货 | 用零信任消灭勒索病毒


(1)去MalwareHunterTeam的官网上传病毒样本,确认病毒属于哪个家族


(2)上网搜索相应的解密工具,例如卡巴斯基等公司都出过勒索病毒解密工具集。


如果是最新的病毒,可能是解除不了的。所以重点其实还是在于预防。


技术干货 | 用零信任消灭勒索病毒

9、总结



勒索病毒的变种越来越多,勒索病毒已经成为了一种常见的威胁。零信任帮你可以缩小攻击面,降低勒索病毒带来的伤害。如果你不希望有一天要靠备份文件重建系统的话,最好还是尽早实施零信任或类似架构为好。




本文始发于微信公众号(安世加):技术干货 | 用零信任消灭勒索病毒

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年4月16日10:00:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   技术干货 | 用零信任消灭勒索病毒http://cn-sec.com/archives/333697.html

发表评论

匿名网友 填写信息