什么是勒索软件？

项目
10/31/2024

实际上，勒索软件攻击会阻止你访问数据，直到支付赎金。

事实上，勒索软件是一种恶意软件或网络钓鱼安全攻击，会破坏或加密计算机、服务器或设备上的文件和文件夹。

设备或文件锁定或加密后，网络犯罪分子可以向企业或设备所有者勒索资金，以换取密钥来解锁加密数据。但是，即使收到付款，网络犯罪分子可能也永远不会给业务或设备所有者提供密钥，并永久停止访问。

Microsoft 安全 Copilot 利用 AI 来帮助缓解勒索软件攻击。有关勒索软件的更多 Microsoft 解决方案，请访问勒索软件解决方案库。

勒索软件攻击的工作原理是什么？

勒索软件可以是自动化的，也可以涉及键盘上的人为操作 -- 即人为操作的攻击，例如最近出现过的使用 LockBit 勒索软件的攻击。

人为操作的勒索软件攻击涉及以下阶段：

初始入侵 - 在进行一段时间的侦察来识别防御中的弱点后，威胁行动者会首先获取系统或环境的访问权限。
持久性和防御规避 - 威胁行动者使用后门或其他隐秘运行的机制在系统或环境中建立立足点，以规避事件响应团队的检测。
横向移动 - 威胁行动者使用初始入口点迁移到与被入侵设备或网络环境连接的其他系统。
凭据访问 - 威胁行动者使用虚假登录页面来搜集用户或系统凭据。
数据盗窃 - 威胁行动者从被盗用的用户或系统窃取财务数据或其他数据。
影响 - 受影响的用户或组织可能会遭受物质或信誉损害。

勒索软件活动中使用的常见恶意软件

Qakbot – 使用网络钓鱼传播恶意链接、恶意附件，并投放像 Cobalt Strike Beacon 这样的恶意有效负载
Ryuk – 通常针对 Windows 的数据加密器
Trickbot – 针对 Excel 和 Word 等 Microsoft 应用程序。 Trickbot 通常通过电子邮件活动传播，使用时事或财务诱饵来诱使用户打开恶意文件附件或单击托管恶意文件的网站的链接。自 2022 年以来，Microsoft 对使用该恶意软件的活动的缓解措施似乎已经破坏了其有效性。

与勒索软件活动相关的盛行威胁行动者

LockBit – 以经济利益为目的的勒索软件即服务 (RaaS) 活动，也是 2023-24 年间最活跃的勒索软件威胁行动者
Black Basta – 通过鱼叉式网络钓鱼电子邮件获取访问权限，并使用 PowerShell 启动加密有效负载

攻击开始后，Microsoft如何提供帮助

为了帮助缓解正在进行的勒索软件攻击，Microsoft事件响应可以利用和部署 Microsoft Defender for Identity ，这是一种基于云的安全解决方案，可帮助检测和响应与标识相关的威胁。提前将标识监视引入事件响应支持受影响的组织安全运营团队重新获得控制权。 Microsoft事件响应使用 Defender for Identity 来帮助识别事件范围和受影响的帐户、保护关键基础结构并逐出威胁参与者。响应团队随后引入 Microsoft Defender for Endpoint ，以跟踪威胁参与者的移动，并中断他们尝试使用泄露的帐户重新进入环境。在包含事件和对环境的完全管理控制后，Microsoft事件响应与客户协作，以帮助防止未来的网络攻击。

自动化勒索软件攻击

商品勒索软件攻击通常是自动化的。这些网络攻击可能会像病毒一样传播，通过电子邮件网络钓鱼和恶意软件发送等方法感染设备，并需要进行恶意软件修正。

因此，可以使用 Microsoft Defender for Office 365 保护电子邮件系统，防止恶意软件和网络钓鱼传递。 Microsoft Defender for Endpoint 与 Defender for Office 365 一起工作，自动检测和阻止设备上的可疑活动，而 Microsoft Defender XDR 在早期检测恶意软件和网络钓鱼尝试。