勒索軟件生態(tài)系統(tǒng)在2023年將變得更加多樣化
Conti和REvil等大型勒索軟件團伙的衰落催生了更多的勒索軟件小型團伙，這對網(wǎng)絡安全帶來了更多的威脅。
勒索軟件生態(tài)系統(tǒng)在2022年發(fā)生了重大變化，網(wǎng)絡攻擊者從占主導地位的大型團體轉向規(guī)模較小的勒索軟件即服務(RaaS)組織，以尋求更大的靈活性，減少執(zhí)法部門的關注。勒索軟件的民主化對企業(yè)來說是一個壞消息，因為它也帶來了多樣化的戰(zhàn)術、技術和程序，需要跟蹤更多的妥協(xié)指標(IOC)，以及受害者在試圖談判或支付贖金時可能會遇到更多的障礙。
思科公司網(wǎng)絡安全研究部門Talos團隊的研究人員在他們發(fā)布的一份年度報告中表示：“我們很可能將安全形勢加速變化追溯到2021年年中，當時針對Colonial Pipeline公司進行的DarkSide勒索軟件攻擊以及隨后執(zhí)法部門對REvil團伙的打擊，導致幾個勒索軟件團伙衰落。而到現(xiàn)在，勒索軟件領域似乎一如既往地充滿活力，各種團體和組織都在適應政府執(zhí)法部門的打擊和越來越多的破壞性行為、內訌和內部威脅，以及激烈的行業(yè)競爭，勒索軟件開發(fā)者和運營者不斷轉移他們的從屬關系，以運營最有利可圖的勒索軟件業(yè)務。”
大型勒索軟件團伙吸引了更多的注意力
自從2019年以來，勒索軟件領域一直由專業(yè)化的大型勒索軟件團伙主導，持續(xù)不斷的勒索軟件攻擊成為了新聞頭條，得到媒體的更多關注。人們甚至看到勒索軟件團伙的發(fā)言人接受采訪，或者在Twitter和他們的網(wǎng)站上發(fā)布新聞，以回應發(fā)生的重大泄露事件。
2021年，勒索軟件團伙DarkSide攻擊了Colonial Pipeline公司的燃油管道設施，導致美國東海岸的燃料供應嚴重中斷，凸顯了勒索軟件攻擊可能對關鍵基礎設施造成的風險，并導致政府部門加大了打擊這一威脅的力度。執(zhí)法部門的高度關注使得網(wǎng)絡犯罪論壇的所有者重新考慮他們與勒索軟件團伙的關系，一些論壇禁止發(fā)布勒索軟件攻擊的廣告。隨后DarkSide很快停止攻擊，同年晚些時候REvil也更為名Sodinokibi，其創(chuàng)建者被起訴，其中一名創(chuàng)始人被捕。REvil是自從2019年以來最成功的勒索軟件團伙之一。
俄烏在2022年2月爆發(fā)沖突，很快使許多勒索軟件團伙之間的關系趨于緊張，這些團伙在俄羅斯和烏克蘭以及前蘇聯(lián)國家都有成員和分支機構。一些勒索軟件團伙(例如Conti)急于站隊，威脅攻擊支持俄羅斯的一些國家的基礎設施。這背離了勒索軟件團伙通常采取的不涉及政治的做法，這種做法招致了其他勒索軟件團伙的批評。
在此之后，勒索軟件團伙Conti內部信息泄露也暴露了許多運營機密，并引起了團伙成員的不安。在一次針對哥斯達黎加政府的重大襲擊之后，美國國務院懸賞1000萬美元，以獲取有關Conti團伙領導者身份或位置的信息，這導致該團伙在今年5月決定解散。
Conti團伙的衰落導致勒索軟件攻擊數(shù)量下降了幾個月，但這并沒有持續(xù)太久，因為這一空白很快被其他勒索軟件團伙填補，其中一些是新成立的團伙，而這些團伙讓人懷疑是Conti、REvil和其他在過去兩年停止運營勒索軟件團伙的成員所創(chuàng)建的。
2023年最活躍的勒索軟件團伙
(1)LockBit目前處于領先地位
LockBit是在Conti團伙解散之后加強運營的主要勒索軟件團伙，該團伙通過修改其勒索軟件應用程序并推出新版本進行攻擊。盡管該團伙自從2019年以來一直在進行攻擊，但直到推出LockBit 3.0，該團伙才設法在勒索軟件威脅領域占據(jù)領先地位。
根據(jù)多家安全機構發(fā)布的調查報告，LockBit 3.0在2022年第三季度勒索軟件攻擊事件中攻擊次數(shù)最多，并且是數(shù)據(jù)泄露網(wǎng)站上列出的2022年受害者人數(shù)最多的勒索軟件團伙。人們可能會在2023年看到其衍生產品，因為LockBit代碼被一位心懷不滿的開發(fā)者泄露，現(xiàn)在任何人都可以構建定制版本的勒索軟件程序。思科Talos團隊表示，一個名為Bl00dy Gang的勒索軟件團伙已經(jīng)開始在勒索軟件攻擊中使用泄露的LockBit 3.0生成器。
(2)Hive勒索了一億多美元
根據(jù)思科Talos發(fā)布的數(shù)據(jù)，在2022年，除了LockBit團伙之外，聲稱受害者人數(shù)最多的勒索軟件團伙是Hive。這是在Talos在2022年的事件響應活動中觀察到的主要勒索軟件團伙，在Palo Alto Networks公司發(fā)布的事件響應案例列表中排名第三，僅次于Conti和LockBit。根據(jù)美國聯(lián)邦調查局、美國網(wǎng)絡安全和基礎設施安全局(CISA)和美國衛(wèi)生與公眾服務部(HHS)的聯(lián)合咨詢，該團伙在2021年6月至2022年11月期間，從全球1300多家公司勒索了一億多美元。
美國的這些安全機構指出：“眾所周知，Hive團伙會使用勒索軟件或另一種勒索軟件變體重新感染受害者的網(wǎng)絡，而這些受害者在未支付贖金的情況下恢復了網(wǎng)絡。”
(3)BlackBasta是Conti的衍生產品
根據(jù)思科Talos的觀察，2022年第三大勒索軟件團伙是Black Basta，該團伙被懷疑是Conti的子公司，在技術上有一些相似之處。Black Basta于今年4月開始運營，不久之后Conti團伙就宣布解散，并迅速開發(fā)了自己的工具集。該團伙依靠Qbot木馬進行傳播，并利用Print Nightmare漏洞進行攻擊。
從2022年6月開始，該團伙還為Linux系統(tǒng)推出了一種文件加密器，主要針對VMware ESXi虛擬機進行攻擊。這種跨平臺擴展也出現(xiàn)在其他勒索軟件團伙中，如LockBit和Hive，它們都有Linux加密器，或者是用Rust編寫的勒索軟件，如ALPHV(BlackCat)，這允許它在多個操作系統(tǒng)上運行。Golang是另一種跨平臺編程語言和運行時，也被一些規(guī)模較小的勒索軟件團伙采用，例如HelloKitty(FiveHands)。
(4)Royal發(fā)展勢頭強勁
今年早些時候出現(xiàn)的另一個被懷疑與Conti有聯(lián)系的勒索軟件團伙的名稱為Royal。雖然該團伙最初使用了來自其他團伙(包括BlackCat和Zeon)的勒索軟件程序，但該團伙開發(fā)了自己的文件加密程序，似乎是受到Conti的啟發(fā)或是采用Conti的程序，并得以迅速發(fā)展，在2022年11月攻擊的受害者數(shù)量超過了LockBit。按照這個發(fā)展速度，Royal預計將成為2023年最大的勒索軟件威脅之一。
(5)Vice Society以教育部門為目標
Royal并不是唯一一個通過重新利用他人開發(fā)的勒索軟件程序而獲得成功的勒索軟件團伙。根據(jù)思科Talos在網(wǎng)站上列出的受害者數(shù)量，Vice Society勒索軟件攻擊名列第四。該團伙主要針對教育部門進行攻擊，并依賴于現(xiàn)有勒索軟件家族的分支，例如HelloKitty和Zeppelin。
更多的勒索軟件團伙對網(wǎng)絡安全構成挑戰(zhàn)
思科Talos的研究人員表示：“勒索軟件壟斷的終結給網(wǎng)絡安全分析人員帶來了挑戰(zhàn)。”在Talos監(jiān)控的數(shù)據(jù)泄露網(wǎng)站上，至少有8個勒索軟件團伙發(fā)布了75%的帖子。由于對手在多個勒索軟件即服務(RaaS)團體工作，了解新出現(xiàn)的勒索軟件團伙的歸屬變得更加困難。”
LockBit等一些勒索軟件團伙已經(jīng)開始引入其他勒索手段，例如DDoS攻擊，迫使受害者支付贖金。這種趨勢很可能會在2023年持續(xù)下去，勒索軟件團伙預計會提出新的勒索策略，在部署最終勒索軟件之前，對受害者的勒索攻擊實現(xiàn)貨幣化。思科Talos與勒索軟件相關的事件響應服務的調查有一半處于勒索軟件攻擊之前的階段，這表明企業(yè)在檢測與勒索軟件前活動相關的戰(zhàn)術、技術和程序方面正在變得越來越好。
