每日經(jīng)濟新聞 2021-05-13 19:05:59
◎在美國東部時間5月7日，科洛尼爾就已經(jīng)主動中斷公司系統(tǒng)運行，從而脫離勒索軟件威脅，并開始嘗試修復。不過，截至5月12日，公司燃油運輸仍未恢復。對此，葉鵬表示：“勒索病毒主要以郵件、程序木馬、網(wǎng)頁掛馬的形式進行傳播，利用各種非對稱加密算法對文件進行加密，被感染者一般無法解密，必須拿到解密的私鑰才有可能破解?！?/p>
每經(jīng)記者 朱成祥 每經(jīng)編輯 張海妮
圖片來源：視覺中國
“No Fuel（無燃料）。”5月11日，美國東部城市加油站里赫然貼著這樣的標識牌。同時，美國也于5月9日宣布進入國家緊急狀態(tài)。造成這一切的源頭，恰恰是一個看似并不起眼的組織Darkside制作出來的勒索軟件。
5月7日，美國大型燃油運輸管道運營商Colonial Pipeline（科洛尼爾管道運輸公司，以下簡稱科洛尼爾）遭受網(wǎng)絡黑客攻擊，被迫關閉旗下成品油燃油管道。據(jù)了解，科洛尼爾運營美國最大的成品油管道系統(tǒng)，管道共長5500英里，將汽油和其他燃料從德克薩斯州運往東北，其提供的燃油約占東海岸燃料消耗的45%。其燃油運輸中斷或?qū)⒂绊懙?000萬美國人，涉及民生及國家安全。
5月9日（周日），科洛尼爾表示計劃在本周結束前（美國周日為一周第一天）對管道的運作進行實質(zhì)性的修復和恢復。
安恒信息工業(yè)互聯(lián)網(wǎng)安全事業(yè)部總經(jīng)理葉鵬對《每日經(jīng)濟新聞》記者表示：“想要快速恢復，必須從攻擊方處取得對應的密鑰。上次挪威鋁業(yè)巨頭（海德魯）遭受勒索軟件攻擊，耗費約一個月時間才完全恢復。此次（針對科洛尼爾）的勒索軟件攻擊，后續(xù)還需要關注。”
5月9日，F(xiàn)BI（美國聯(lián)邦調(diào)查局）官網(wǎng)發(fā)布聲明表示：“確認Darkside勒索軟件是造成Colonial Pipeline網(wǎng)絡受損的原因，我們將繼續(xù)與公司、政府合作伙伴合作進行調(diào)查。”即FBI認定Darkside為這次勒索軟件攻擊的幕后組織者。
由于科洛尼爾遭受勒索軟件攻擊，致使美國東海岸燃油運輸中斷。美國總統(tǒng)拜登于5月9日宣布美國進入緊急狀態(tài)。
同日，美國交通運輸部聯(lián)邦汽車運輸安全管理局發(fā)布通知，對18個州載運汽油、柴油、航空燃油及其他精煉石油的運輸車免稅。
美國商務部長吉娜·雷蒙多（Gina Raimondo）也于當日表示，勒索軟件這類攻擊正變得越來越頻繁，也是企業(yè)現(xiàn)在必須擔心的。美國商務部必須和企業(yè)合作來保護網(wǎng)絡，以保護自己免受這些攻擊。她還表示，正在與公司、州和地方官員密切合作，以確保科洛尼爾盡快恢復正常運營，并且不會出現(xiàn)供應中斷的情況。
然而想要通過公路運輸替代科洛尼爾的管道運輸并不容易。該公司的管道是美國分配汽油、柴油、航空燃油最重要的管道，將墨西哥灣沿岸的煉油廠連接到亞特蘭大、紐約乃至其他地區(qū)的人口中心，其每天運送約250萬桶，超過整個德國的石油消耗量。
與吉娜·雷蒙多的說法相反，美國東海岸多地已出現(xiàn)燃油短缺現(xiàn)象，而且受此影響，美國平均汽油零售價格已升至2014年末以來的最高水平，幾乎觸及每加侖3美元。
對于該事件的影響，安恒信息工業(yè)互聯(lián)網(wǎng)安全事業(yè)部總經(jīng)理葉鵬認為：“其一，整條輸油管線對應的各煉油廠勢必減產(chǎn)或停產(chǎn)，與煉油廠相關的上下游供應鏈也會受到不同程度的影響。其二，美國東海岸5000萬人的用油問題短時間內(nèi)會遭遇一定的困難，未來是否會引起更大問題仍需關注。其三，美國汽油期貨周日漲逾3%至每加侖2.217美元，創(chuàng)2018年5月以來新高；美國取暖油期貨也跳升至2020年1月以來的高點；間接引發(fā)能源市場動蕩。其四，中斷美國軍方燃油供應，可能會影響美國國家安全。”
“簡單！低成本！一夜暴富！不需要花多年時間浸淫代碼編寫或軟件開發(fā)技藝。只需要下載我們簡單的勒索軟件工具包，就能讓您錢財源源而來——享受在家辦公的舒適與彈指坐聽比特幣落袋聲的雙重快樂。”一封勒索軟件領域宣傳資料如是描述。
這便是對勒索軟件即服務（RaaS：Ransomware as a Service）模式的生動描述，而發(fā)動此次攻擊的Darkside，正是一個提供勒索軟件即服務的組織。
隨著互聯(lián)網(wǎng)技術的發(fā)展和應用軟件的成熟，近年來軟件即服務日趨流行。SaaS平臺供應商將應用軟件統(tǒng)一部署在自己的服務器上，客戶可以根據(jù)工作實際需求，通過互聯(lián)網(wǎng)向廠商定購所需的應用軟件服務。
SaaS平臺為中小企業(yè)提供了較為廉價的軟件服務，而RaaS則是為犯罪團伙提供了廉價的作案工具。RaaS這種商業(yè)模式的興起，使得從業(yè)者無需任何專業(yè)技術知識就可以毫不費力地發(fā)起網(wǎng)絡敲詐活動。近幾年，勒索軟件及服務（RaaS）呈爆發(fā)式增長，可謂網(wǎng)絡安全的新疫情。RaaS為黑客提供了勒索軟件的巨大使用便利，節(jié)省了他們的時間資源并簡化了流程，還有利于保護攻擊者的真實身份。
葉鵬認為：“不僅僅是勒索軟件，整個互聯(lián)網(wǎng)領域的攻擊行為都呈現(xiàn)出低門檻、低成本的趨勢。比如一個普通中學生，都能夠使用相關工具輕松攻擊機構網(wǎng)站。同時，網(wǎng)絡攻擊行為的泛濫，也對安恒信息這類互聯(lián)網(wǎng)安全企業(yè)提出了更高的要求。”
值得注意的是，在美國東部時間5月7日，科洛尼爾就已經(jīng)主動中斷公司系統(tǒng)運行，從而脫離勒索軟件威脅，并開始嘗試修復。不過，截至5月12日，公司燃油運輸仍未恢復。
對此，葉鵬表示：“勒索病毒主要以郵件、程序木馬、網(wǎng)頁掛馬的形式進行傳播，利用各種非對稱加密算法對文件進行加密，被感染者一般無法解密，必須拿到解密的私鑰才有可能破解。”
隨后，葉鵬詳細描述了勒索病毒的工作原理：“勒索病毒文件一旦進入本地，就會自動運行。接下來，勒索病毒利用本地的互聯(lián)網(wǎng)訪問權限連接至黑客的C&C服務器，進而上傳本機信息并下載加密公鑰，利用加密公鑰對文件進行加密。除了擁有解密私鑰的攻擊者本人，其他人幾乎不可能解密。”
“加密完成后，通常還會修改壁紙，在桌面等明顯位置生成勒索提示文件，指導用戶去繳納贖金。勒索病毒變種非常快，對常規(guī)的殺毒軟件都具有免疫性。攻擊的樣本以exe、js、wsf、vbe等類型為主，對常規(guī)依靠特征檢測的安全產(chǎn)品是一個極大的挑戰(zhàn)。”葉鵬補充道。
英方軟件品牌總監(jiān)黃亮告訴《每日經(jīng)濟新聞》記者：“針對勒索病毒無法快速恢復業(yè)務，說明該公司系統(tǒng)備份做得一般，按照我國等級保護和分級保護要求，針對關鍵基礎設施的系統(tǒng)備份，至少要在異地建立一套達到業(yè)務級災備要求的備份系統(tǒng)，當本地生產(chǎn)系統(tǒng)在極端情況下出現(xiàn)生產(chǎn)中斷且短時間內(nèi)無法恢復時，異地備份系統(tǒng)能夠在監(jiān)管要求的時間內(nèi)快速啟動，繼續(xù)對外提供服務。”
“如果從災備（備份和容災）和業(yè)務連續(xù)性角度看，該公司提升空間更大。很顯然，作為如此重要的能源基礎設施，Colonial Pipeline沒有啟動災備系統(tǒng)讓業(yè)務快速恢復，說明在這兩方面的建設并不十分完善。”黃亮補充道。
此次勒索攻擊對美國影響巨大，那么國內(nèi)企業(yè)、個人應該如何防御勒索攻擊呢？葉鵬表示：“從攻擊者滲透進入內(nèi)部網(wǎng)絡的某一臺主機到執(zhí)行加密行為往往有一段時間，如果在這段時間能夠做出響應，完全可以避免勒索事件的發(fā)生。某臺主機在感染勒索病毒后，除了自身會被加密，勒索病毒往往還會利用這臺主機去攻擊同一局域網(wǎng)內(nèi)的其他主機，所以當發(fā)現(xiàn)一臺主機已被感染，應盡快采取響應措施。”
“具體措施包括隔離中毒主機、主機加固等。不過，基礎措施可以一定程度上響應勒索事件，但當病毒情況嚴重、感染主機較多或面對未知類型勒索變種，基礎措施的效果就十分有限。當有數(shù)百臺甚至更多主機的場景感染勒索病毒，是無法逐一去采取基礎響應措施，需要借助專業(yè)的安全產(chǎn)品進行監(jiān)測、防護和專業(yè)的安全團隊的技術支持。高級響應措施方面，監(jiān)測方面產(chǎn)品比如安恒APT攻擊預警平臺，查殺與防護領域有EDR主機安全及管理系統(tǒng)。”
據(jù)了解，安恒APT攻擊預警平臺能夠發(fā)現(xiàn)已知或未知威脅，平臺能實時監(jiān)控、捕獲和分析惡意文件或程序的威脅性，并能夠?qū)︵]件投遞、漏洞利用、安裝植入、回連控制等各個階段關聯(lián)的木馬等惡意樣本進行強有力的監(jiān)測。
網(wǎng)絡安全的復雜性和與時俱進的屬性，加上工業(yè)互聯(lián)網(wǎng)領域自身的復雜生態(tài)和廣泛連接屬性，使得這一問題的解決難度倍增，貫穿互聯(lián)網(wǎng)、集團專網(wǎng)、企業(yè)管理網(wǎng)和生產(chǎn)控制網(wǎng)、云平臺四大區(qū)域全場覆蓋的網(wǎng)絡安全產(chǎn)品應用和解決方案體系的建立，才能讓工業(yè)互聯(lián)網(wǎng)得到更好的防護和安全問題解決之道。
葉鵬坦言，這對專業(yè)的網(wǎng)絡安全企業(yè)提出了極高的要求，既要有大量的實際經(jīng)驗，又需要完整的識別、防護、監(jiān)測及響應恢復周期體系，以及強大的研發(fā)實力和持續(xù)的創(chuàng)新能力。
黃亮表示：“對于重要商業(yè)數(shù)據(jù)、個人資料、相片等信息，建議做好定期備份；對于業(yè)務要求實時性高的企業(yè)，要做好實時備份，比如通過真CDP技術實現(xiàn)數(shù)據(jù)實時備份，當勒索病毒加密生產(chǎn)數(shù)據(jù)時，可以通過備份數(shù)據(jù)快速恢復業(yè)務，數(shù)據(jù)丟失量能夠趨于零?？偠灾跀?shù)據(jù)時代，不管數(shù)據(jù)作為公司重要的生產(chǎn)資料，歷史的重要見證，還是個人的珍貴回憶，都要做好備份和容災，不要將雞蛋放在同一個籃子里。”
欲獲取更多互聯(lián)網(wǎng)安全信息及勒索病毒防護知識，請參考每日經(jīng)濟新聞與安恒信息聯(lián)手推出的產(chǎn)品網(wǎng)絡信息安全月報第一期：《2021年3月網(wǎng)絡信息安全月報：勒索病毒來勢洶洶，宏碁、富士康中招保護數(shù)據(jù)安全需要反守為攻？》
如需轉(zhuǎn)載請與《每日經(jīng)濟新聞》報社聯(lián)系。
未經(jīng)《每日經(jīng)濟新聞》報社授權，嚴禁轉(zhuǎn)載或鏡像，違者必究。
讀者熱線：4008890008
特別提醒：如果我們使用了您的圖片，請作者與本站聯(lián)系索取稿酬。如您不希望作品出現(xiàn)在本站，可聯(lián)系我們要求撤下您的作品。
歡迎關注每日經(jīng)濟新聞APP
