Sophos 示警多個勒索軟體集團蓄意發動遠端加密攻擊

Sophos發布一份《CryptoGuard：一種非對稱的勒索軟體防禦方式》報告指出，一些最活躍且影響幅度大的勒索軟體集團，包括 Akira、ALPHV/BlackCat、LockBit、Royal 和 Black Basta 等，均會蓄意在攻擊時進行遠端加密。在遠端加密攻擊 (也稱為遠端勒索軟體) 中，攻擊者會利用已經遭入侵且通常保護不足的端點，對連線到同一網路的其他裝置進行資料加密。

Sophos 表示，企業可能有成千上萬台連線到公司網路的電腦，而在遠端勒索軟體中，只要一台設備保護不足，就足以危及整個網路。攻擊者知道這一點，所以他們會尋找『弱點』下手，而大多數公司中都至少有一個。遠端加密將是防禦人員必須持續面對的問題，而且根據我們所看到的警示，這種攻擊方法正在穩定增加。

這類攻擊涉及遠端檔案加密，傳統部署在遠端裝置上的反勒索軟體保護無法「看到」惡意檔案或其活動，因此無法阻止未經授權的加密和潛在的資料外洩。不過，Sophos CryptoGuard 技術採取創新的方式來阻止遠端勒索軟體，正如 Sophos X-Ops 文章所解釋的：分析檔案內容，檢查是否有任何資料被加密，以便在網路的任何裝置上偵測出勒索軟體活動，即使該裝置上沒有惡意軟體。

在 2013 年，CryptoLocker 是第一個大量使用遠端加密和非對稱加密 (也被稱為公開金鑰加密) 的勒索軟體。從那時起，由於全球組織普遍存在安全漏洞以及加密貨幣出現，攻擊者更頻繁地使用勒索軟體了。自 2022 年以來，Sophos的CryptoGuard 偵測到的蓄意遠端加密攻擊年增率達 62%。

Sophos 10年前第一次注意到 CryptoLocker 利用遠端加密進行攻擊，並預期這種手法將成為防禦人員的一大挑戰，而其他解決方案都只專注於偵測惡意二進位檔案或執行的動作。在從遠端加密的情況下，惡意軟體是存在於一台未受保護的電腦，而非檔案被加密的電腦。唯一阻止它的方式是監視並保護這些檔案。
 
Sophos解釋，CryptoGuard 並不會尋找勒索軟體；相反地，它把重心放在主要目標，也就是檔案。它會對文件進行數學運算，偵測其是否被竄改和加密。值得注意的是，這種獨立作業的策略刻意不依賴入侵指標、威脅特徵、人工智慧、雲端查找結果或先前的情報，以達到預期效果。透過專心監控檔案，我們可以改變攻擊者和防禦者之間的平衡。我們讓攻擊者成功加密資料的成本和複雜性增加，讓他們放棄原本的目標。這是我們非對稱防禦策略的一部分。

遠端勒索軟體對組織來說是一個重要的問題，也是勒索軟體長期存在的原因之一。由於透過連線讀取資料要比從本機磁碟讀取慢，我們看到像 LockBit 和 Akira 等攻擊者會策略性地僅加密每個檔案的一小部份。這種方法的目的是在最短時間內造成最大的破壞，進一步縮小防禦人員察覺攻擊並做出反應的空窗期。Sophos 的反勒索軟體技術可以阻止遠端攻擊，以及這類僅加密檔案的 3% 的攻擊。我們希望提醒防禦人員注意這種持續的攻擊方法，讓他們能夠適當地保護裝置。

Sophos CryptoGuard 是 Sophos 在 2015 年收購的反勒索軟體技術，已整合到所有 Sophos 端點授權中。CryptoGuard 會監控惡意加密檔案的行為，提供即時保護和回復原功能，即使勒索軟體本身未出現在受保護的主機上也能加以防禦。這種獨特的反勒索軟體技術是 Sophos 多層式端點保護的「最後一道」防線，只會在攻擊者在攻擊鏈中觸發時才會啟用。自 2022 年以來，CryptoGuard 偵測到的蓄意遠端加密攻擊年增率達 62%。