最近观察到的一起麒麟勒索软件攻击背后的威胁行为者，在一小部分受损的端点上窃取了存储在谷歌浏览器中的凭据。
网络安全公司 Sophos 在周四的一份报告中表示，将凭证收集与勒索软件感染结合起来是一种不寻常的转折，可能会产生连锁后果。
此次攻击于 2024 年 7 月被发现，通过缺乏多因素身份验证 (MFA) 的 VPN 门户的泄露凭据渗透目标网络，威胁行为者在首次访问后 18 天开展后利用行动。
研究人员 Lee Kirkpatrick、Paul Jacobs、Harshal Gosalia 和 Robert Weiland表示：“一旦攻击者到达有问题的域控制器，他们就会编辑默认域策略，引入包含两项的基于登录的组策略对象 (GPO)。”
第一个是名为“IPScanner.ps1”的 PowerShell 脚本，用于收集存储在 Chrome 浏览器中的凭证数据。第二个是批处理脚本（“logon.bat”），用于调用命令来执行第一个脚本。
研究人员补充道：“攻击者让这个 GPO 在网络上活跃了三天多。”
“这为用户登录设备提供了充足的机会，在他们不知情的情况下，触发系统上的凭证窃取脚本。同样，由于这一切都是使用登录 GPO 完成的，因此每个用户每次登录时都会遇到这种凭证窃取。”
随后，攻击者窃取了被盗凭证，采取措施抹去活动证据，然后加密文件并将勒索信放到系统的每个目录中。
Chrome 浏览器中存储的凭证被盗意味着受影响的用户现在需要在每个第三方网站上更改用户名-密码组合。
研究人员表示：“可以预见的是，勒索软件团体将继续改变策略并扩大其技术范围。”
“如果他们或其他攻击者决定挖掘终端存储的凭证——这可能为后续攻击提供契机，或为高价值目标提供大量信息以供通过其他方式利用——那么正在进行的网络犯罪故事可能已经揭开了新的黑暗篇章。”
勒索软件不断发展的趋势
目前，人们观察到Mad Liberator和Mimic等勒索软件组织分别使用未经请求的 AnyDesk 请求进行数据泄露，并利用暴露在互联网上的 Microsoft SQL 服务器进行初始访问。
尽管采取了一系列执法行动，勒索软件仍然是网络犯罪分子的一项有利可图的事业，2024 年有望成为迄今为止勒索软件收入最高的一年。这一年还出现了有史以来最大的勒索软件支付，向Dark Angels勒索软件集团支付了约 7500 万美元。
•
区块链分析公司 Chainalysis 表示：“最严重的勒索软件的平均赎金金额已从 2023 年初的不到 20 万美元飙升至 2024 年 6 月中旬的 150 万美元，这表明这些勒索软件优先针对大型企业和关键基础设施提供商，这些提供商可能更有可能支付高额赎金，因为它们财力雄厚且具有系统重要性。 ”
据估计，今年上半年勒索软件受害者向网络犯罪分子支付了 4.598 亿美元，高于去年同期的 4.491 亿美元。然而，按链上衡量的勒索软件支付事件总数同比下降了 27.29%，表明支付率有所下降。
此外，俄语威胁团体占去年与勒索软件相关的所有加密货币收益的至少 69%，超过 5 亿美元。
✦
•
根据 NCC Group 分享的数据，2024 年 7 月观察到的勒索软件攻击数量环比从 331 起跃升至 395 起，但低于去年记录的 502 起。最活跃的勒索软件家族是 RansomHub、LockBit 和 Akira。最常受到攻击的行业包括工业、消费周期性行业以及酒店和娱乐业。
工业组织是勒索软件团体的有利可图的目标，因为它们的运营具有任务关键性，并且中断的影响很大，从而增加了受害者支付攻击者要求的赎金金额的可能性。
✦
•
Sophos 全球首席技术官 Chester Wisniewski表示：“犯罪分子将重点放在可能造成最大伤害和破坏的地方，因此公众会要求快速解决问题，他们希望通过支付赎金来更快地恢复服务。”
“这使得公用事业成为勒索软件攻击的主要目标。由于它们提供的基本功能，现代社会要求它们快速恢复，并尽量减少干扰。”
✦
•
NCC 集团表示：“勒索软件攻击者会策略性地安排攻击时间，以配合某些地区的假期高峰期，从而最大限度地造成破坏，并迫使组织付款。”
✦
•
Malwarebytes 在其 2024 年勒索软件状况报告中强调了过去一年勒索软件策略的三种趋势，包括周末和凌晨 1 点至凌晨 5 点之间的攻击激增，以及从最初访问到加密的时间减少。
WithSecure表示，另一个明显的变化是边缘服务的利用和针对中小企业的增加，并补充说 LockBit 和 ALPHV（又名 BlackCat）的拆除导致网络犯罪社区内部信任的侵蚀，导致关联公司远离主要品牌。
✦
•
Coveware表示，2024 年第二季度该公司处理的事件中有超过 10% 与特定品牌无关，这意味着它们“是故意独立于特定品牌运作的攻击者所为，我们通常称之为‘孤狼’”。
✦
•
欧洲刑警组织在上个月发布的评估报告中表示：“持续关闭网络犯罪论坛和市场缩短了犯罪网站的生命周期，因为网站管理员试图避免引起执法部门的注意。”
“这种不确定性，加上退出骗局的激增，导致了犯罪市场持续分裂。最近的执法行动和勒索软件源代码的泄露（例如 Conti、LockBit 和 HelloKitty）导致了活跃的勒索软件团体和可用变种的分裂。”
原文始发于微信公众号（CAAI人工智能与安全专委会）：热点关注 | 新的 Qilin 勒索软件攻击利用 VPN 凭证窃取 Chrome 数据
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论