新预防勒索软件策略概览
一、引言与现状
在2021年，美国企业因网络犯罪的损失接近70亿美元，其中勒索软件是主要贡献者。这使得从政策制定者到安全团队乃至董事会，所有人都将勒索软件视为焦点问题。2022年的数据记录显示，超过40亿次恶意攻击尝试，而勒索软件攻击数量超过了过去五年中的任何一年，这清楚地表明无论是大型企业还是小型企业，都可能成为目标，没有任何行业能幸免于难。
二、勒索软件预防的重要性
尽管86%的企业增加了安全预算以对抗这些攻击，但90%的受访企业表示在过去12个月内遭受过勒索软件攻击，其中多数被攻击两次或更多次。企业意识到威胁正在通过防御漏洞潜入，使勒索软件攻击似乎不可避免。从根本上说，勒索软件是一个恶意软件问题。攻击者通常利用通过恶意软件感染收集的信息作为勒索软件攻击的基础。他们利用受感染系统窃取的数据来协助攻击、识别可能的公司资源入口点，并传递可执行文件。
三、关键盲点与风险
- 缺乏对暗网中流通的凭据和身份数据的可见性，包括恶意软件盗取的关键工作负载应用程序认证数据，这些数据为攻击者提供了访问、窃取、加密或擦除企业数据的机会。
- BYOD（自带设备）政策允许员工在不受管理的个人设备上访问企业应用，同时，对受管理设备的供应商和承包商控制不足，这扩展了敌手的攻击面。
- 影子IT在受管理和不受管理的终端上使用，包括包含敏感企业数据但没有监督的生产力和开发工具。
- 不完整的恶意软件感染响应框架仅在受损设备重新映像时结束。
四、解决方法：SpyCloud Post-Infection Remediation™
为减少勒索软件风险，本指南旨在揭示如何关闭恶意软件感染响应中的缺口，阻止成本高昂的后续网络攻击。我们将解释信息窃取器如何成为现代犯罪分子攻击生命周期的起点，并提供实施新方法以防止勒索软件的新途径：SpyCloud Post-Infection Remediation™。
五、信息窃取器如何损害组织
信息窃取器是恶意软件工具包的一部分，可以轻松购买并使犯罪分子能够窃取登录凭据、浏览器和FTP客户端的主机名、浏览器cookie、自动填写数据、信用卡信息、加密货币钱包详情、特定扩展名的文件、聊天历史、安装程序和运行进程列表、机器的全局唯一标识符（GUID）等。一旦犯罪分子获取这些信息，他们就有多种方式操作这些信息：
- 出售日志：在黑暗网络市场上出售数据使其变得非常有价值。信息窃取器是现代犯罪分子武器库中的核心工具。
- 自行使用：被盗用的数据可以用于入侵受害者的工作和个人账户，以实施欺诈和持续的网络攻击，包括勒索软件。
- 利用被盗账号：通过从信息窃取器中获取的凭证，犯罪分子可以接管未通过二次验证保护的帐户，如身份验证应用程序。
- 利用cookies进行会话劫持：拥有cookie后，犯罪分子可以作为合法用户进行身份验证，绕过MFA以访问活跃的Web会话。
六、恶意软件日志包含的内容
恶意软件日志是包含从受害者设备窃取信息的文件集合。常见数据包括设备信息，允许攻击者“指纹”受害者的设备；浏览过的URL、用于登录帐户的凭证、表单自动填充数据、会话cookie、加密货币信息包括私钥以及其它特定于信息窃取器的数据。某些新型信息窃取器，如2022年首次观察到的Rhadamanthys Stealer，甚至具有从感染设备复制文件的能力。
