破坏勒索软件市场

勒索软件已成为普遍的网络威胁，调查显示超过90%的组织在过去一年中遭受过勒索软件攻击，其中50%的组织遭遇了2至5次攻击。典型的事件响应通常关注攻击后期，但理解勒索软件攻击需识别并修复信息窃取恶意软件等传统预防策略易忽视的漏洞。

核心观点与关键数据

1. 信息窃取恶意软件的威胁：凭证窃取恶意软件（Infostealers）可直接从员工设备窃取身份验证数据，使攻击者冒充个人，迅速劫持会话、绕过MFA并访问企业资源。SpyCloud调查发现，受感染设备平均影响26个企业应用，87%受访者担心未管理设备上的恶意软件是组织入口点。
2. 攻击时间线与数据流向：
   • 入口点：员工个人设备（BYOD）使用、未受管理设备接入是企业主要风险源。
   • 数据窃取：信息窃取器获取凭证、浏览器指纹等，暗网交易价值达600万条记录（2022年前六个月）。
   • 攻击利用：被盗数据被初访问经纪人（IABs）或勒索软件运营商（RaaS）购买，用于绕过MFA、横向移动并部署勒索软件。

研究结论与建议

• 多层防御必要性：仅靠备份、EDR或反病毒不足，需主动监控恶意软件感染及应用暴露。
• 感染后修复（PIR）：SpyCloud的PIR通过重置应用凭据、失效被盗会话cookie，消除勒索软件机会。
• 关键技术：SpyCloud指南针可视化威胁范围（感染数据、IP地址、恶意软件家族），帮助SOC团队快速响应。
• 未来趋势：第三方应用（如SSO、CRM）风险加剧，需加强身份验证数据保护。