從 Settra 勒索攻擊看現代企業入侵：憑證入侵、防禦規避、資料竊取與復原破壞

2026 / 10 / 07

編輯部

從 Settra 勒索攻擊看現代企業入侵：憑證入侵、防禦規避、資料竊取與復原破壞

整合式資安防護平台廠商 Cynet 旗下研究團隊 Cynet Research Labs 於 9 月公布 Settra 勒索軟體的深度調查。報告指出，Settra 在加密檔案之前，會先關閉 Hyper-V 虛擬機器、停用 Windows 復原功能並清除鑑識紀錄，削弱企業事後復原與調查的能力。Cynet 提醒，勒索攻擊的關鍵階段往往早在加密之前就已展開。

勒索攻擊的前置階段早於加密

Cynet 的調查顯示，在勒索程式執行之前，攻擊者可能已先經由遭入侵的 VPN 或有效帳號取得初始存取，接著進行憑證傾印（Credential Dumping）、橫向移動並建立持續性遠端存取。攻擊者也可能透過自帶漏洞驅動程式（BYOVD）等方式停用安全防護，再竊取企業資料，最後才進入大規模加密。

加密前先瓦解復原能力

Cynet 逆向分析發現，Settra 可關閉執行中的 Hyper-V 虛擬機器，讓原本被 Hypervisor 鎖定的 .vhd、.vhdx 虛擬磁碟檔案也能被加密。同時，它會停用 Windows 復原環境（Windows Recovery Environment）、刪除 Windows Server Backup 中繼資料、停用系統還原（System Restore），並縮減磁碟區陰影複製服務（VSS）的陰影儲存空間，使既有陰影複本遭到清除。攻擊者的目的不只是讓檔案無法開啟，更要降低企業自行恢復營運的能力。

清除鑑識證據增加調查難度

Settra 也具備明顯的反鑑識（Anti-Forensics）行為。加密前，它可清除 12 項 Windows 事件記錄，並刪除 Prefetch 資料、PowerShell 指令歷程及 NTFS USN 變更日誌。Cynet 指出，若所有安全證據都只留在遭入侵的端點上，可能連同遭到刪除，因此重要的安全遙測（Telemetry）資料應即時保留在端點之外的集中式平台。

沒有對外連線不代表資料未外洩

Cynet 對加密程式的逆向工程發現，程式本身沒有資料外傳功能，網路功能主要用於存取 SMB 共用並執行加密。不過，Settra 的勒索訊息卻宣稱企業資料已遭竊取。Cynet 解釋，資料竊取與勒索程式部署是不同階段，資料可能早在部署之前，就已經由其他工具或攻擊者控制的管道離開企業環境。

斷網未必能阻止加密

在加密機制上，Settra 於本機為每個檔案產生對稱式加密金鑰，再以內嵌的 4096 位元 RSA 公鑰封裝金鑰。對應的私鑰不在受害端點，也不需要連線至 C2 伺服器取得金鑰。因此，一旦進入加密階段，單純切斷網際網路連線，並不足以阻止其加密本機及可存取的網路檔案。

此外，Settra 的外層載入器（Loader）內含加密的酬載，需攻擊者提供 -pass 參數才會執行，並具備反偵錯機制，增加沙箱與特徵碼分析的難度。Cynet 表示，其平台透過核心層級監控（Kernel-Level Monitoring）與誘餌檔案（Decoy File）機制，在 Settra 嘗試對誘餌檔案進行未授權操作時觸發偵測，並在約 1 秒內自動終止惡意程序。此為廠商自行測試的結果。