EVIL:勒索病REvil索要7000萬美元BTC贖金，拜登指示情報機構介入調查

作者|秦曉峰

編輯|郝方舟

出品|Odaily星球日報

過去的這個周末，是美國的國慶日，但美國IT軟件管理公司Kaseya卻被黑客攪得不得安寧。

據路透社消息，勒索病REvil近期成功攻擊Kaseya，導致全球近千家企業運營受到影響。

黑客組織在暗網中稱其入侵了100多萬臺電腦，并索要7000萬美元比特幣；如果兌現，這將成為有史以來「贖金」最高的病勒索事件。目前，Kaseya公司沒有對外表示該公司是否會考慮支付REvil團伙的贖金要求。

動態 | sodinokibi勒索病大量攻擊中韓企業，中招用戶被勒索0.15個比特幣:騰訊御見威脅情報中心今日發文稱，近期騰訊安全御見威脅情報中心檢測到大量借助釣魚郵件傳播的sodinokibi勒索病攻擊中韓兩國企業。中招用戶被勒索0.15個比特幣（市值7800元人民幣），中招企業主要集中在廣東、山東、江蘇、上海、北京等地，主要受害企業包括IT公司、科研和技術服務機構，以及傳統制造企業。釣魚郵件偽裝成以“償還債務”、“支付匯款建議”為主題，并在附件中添加包含勒索病的壓縮文件，中文版為“您的賬號.zip”、韓文版為“?? 10.2019.zip”，解壓后分別為“付款發票.xls.exe”、“10 ? ??.xls.exe”，都是偽裝成表格文件的sodinokibi勒索病。從釣魚郵件內容格式、主題和投遞的樣本類型來看，此次針對中國和韓國的攻擊為同一來源。根據騰訊御見查看，頁面顯示需要在6天之內購買并轉賬約0.15個比特幣（約合人民幣7800元），6天之后贖金會翻倍。[2019/10/25]

Kaseya是一家專門為IT外包服務商提供軟件工具的科技公司——這些服務商通常為規模太小或資源有限而沒有自己的技術部門的公司處理后臺工作。

動態 | 我國有關政府部門遭勒索病攻擊 要求使用數字貨幣繳納贖金:據宜昌市夷陵區人民政府消息，國家網絡與信息安全信息通報中心監測發現，2019年3月11日起，境外某黑客組織對我國有關政府部門開展勒索病郵件攻擊。郵件主題為“你必須在3月11日下午3點向警察局報到！”，發件人名為“Min，GapRyong”，郵件附件名為“03-11-19.rar”。經分析研判，該勒索病版本號為GANDCRABV5.2，是2019年2月最新升級的勒索病版本，運行后將對用戶主機硬盤數據全盤加密，并讓受害用戶訪問網址下載Tor瀏覽器，隨后通過Tor瀏覽器登錄攻擊者的數字貨幣支付窗口，要求受害用戶繳納贖金。[2019/3/13]

據了解，攻擊發生在上周五下午，REvil通過利用KaseyaVSA服務器中的一個漏洞，獲得了對安裝在客戶場所的VSA設備的訪問權，進而安裝病并加密相關設備文件。用來管理遠程計算機群。）

動態 | “Satan”勒索病再更新 72小時內未支付贖金將翻倍:360安全衛士公眾號日前發文表示，北京時間1月28日凌晨，“Satan”勒索病在一次完成更新后，再次通過多個Web應用漏洞對服務器發起攻擊。據360互聯網安全中心統計，這次爆發已經影響了百余臺Windows服務器，并且數目還在不斷上漲。本次攻擊中，“Satan”勒索病使用了新的文件加密后綴“evopro”，此前勒索信息一般包含中、英、韓三國語言，而這次的勒索信息只包含中文內容。不同于舊版本“Satan”勒索病“72小時未支付則不再支持解密”的勒索策略，更新后的“Satan”勒索病在向用戶索要1個比特幣的贖金時換了新要求——72小時內未支付，贖金將翻倍。[2019/1/31]

雖然Kaseya首席執行官FredVoccola曾對外表示「只有非常小比例的客戶受到影響——目前估計不到40個」，但真實情況遠比其料想的嚴重。

動態 | 安全公司：勒索病GandCrab已升級到4.3:據騰訊御見威脅情報中心消息，近日，專攻企業局域網的勒索病GandCrab已升級到4.3。與以往不同的是，攻擊者在入侵網絡同時釋放挖礦木馬和勒索病，針對高價值目標使用GandCrab勒索病，而一般目標則運行挖礦木馬，以最大限度利用被入侵的目標網絡非法牟利。[2018/9/14]

短短幾小時，全球五大洲的數百家企業就陷入癱瘓，其中尤以瑞典和新西蘭受到的影響最為嚴重。例如瑞典最大的連鎖超市之一Coop在攻擊后，收銀機和自助服務站出現故障，不得已關閉了全國近800家門店，至今尚未恢復。

網絡安全公司Sophos副總裁RossMcKerchar表示：“這是Sophos迄今為止看到的傳播速度最快的勒索軟件攻擊。目前已經有70多個托管服務提供商受到影響，還有超過350家組織受到影響。我們預計，實際受影響的組織數量比任何一家安全公司報告的數字都要多。”

RecordedFuture研究員AllanLiska表示，這次攻擊可能是最大的供應鏈攻擊，也可能是有史以來第二大勒索軟件攻擊，并指出全部影響要到星期二人們從假期周末返回工作崗位時才能知道。

攻擊發生后，Kaseya也在第一時間發布公告，敦促所有VSA所有者將其系統脫機，直至另行通知。此外，為了阻止病傳播，Kaseya還關閉了自己的云基礎設施，并試圖將REvil病從其系統中鏟除。截止目前，Kaseya的SaaS云服務器仍然處于離線狀態。

周六，拜登指示情報機構調查本次襲擊事件。美國網絡安全和基礎設施安全局表示，正在調查這一事件以及如何解決它。

昨天，REvil在他們的暗網博客上聲稱其已經鎖定了100多萬個系統，"星期五我們對MSP供應商發起了一次攻擊。超過一百萬的系統被感染。如果有人想就通用解密器進行談判——我們的價格是7000萬美元的BTC，我們將公開發布解密器，解密所有受害者的文件，所以每個人都能在不到一小時內從攻擊中恢復。如果你對這樣的交易感興趣，請使用受害者的'readme'文件說明與我們聯系。"

實際上，這并不是REvil第一次對美國企業下黑手。上個月，全球最大肉類包裝公司JBS遭遇持續病攻擊勒索，幕后黑手正是REvil。這次攻擊使其在美國和澳大利亞的肉類加工廠關閉，最終JBS公司被迫支付1100萬美元的比特幣贖金。

今年4月，蘋果公司也遭遇REvil威脅。他們聲稱已經竊取了蘋果的產品藍圖，并要求蘋果公司在5月1日之前支付贖金，否則他們將公開這些機密圖紙，以及員工、客戶的個人數據等，但最終不了了之。此外，美國前總統川普也在大選期間曾遭REvil勒索——若不支付420萬美元，REvil就要公布川普「洗臟錢」資料，同樣不了了之。

據了解，REvil與2019年攻擊我國多地黨政部門的GandCrab同屬一個黑客集團。GandCrab曾將敘利亞以及其他戰亂地區加進感染區域的“白名單”，并對俄語區國家「手下留情」，因此不少安全團隊認為該黑客團隊為俄羅斯人。

推薦閱讀

《放過敘利亞，不可破解的“俠盜病”來禍害中國了》

Tags：EVILREVEVIKASDTEVIL幣Forever ShibaEVI價格BKASPA

ICP