近年來俄羅斯駭客組織REvil逐漸壯大,在勒索軟體的排行中名列前茅,被列為最危險的勒索軟體之一,該駭客組織自2019年起,針對全球從製造業、金融業到電信業等20個領域進行攻擊。
REvil專門鎖定全球各地企業進行勒索攻擊,台灣多家企業也深受其害,光是2021年國內就已有如電腦大廠、電子代工製造大廠以及半導體封測大廠旗下孫公司等,數家大型企業接連遭遇REvil勒索軟體攻擊,並被駭客要求支付高額贖金。
REvil甚至已開始針對Linux平台。今年五月,資安公司Advanced Intelligence的研究人員表示,REvil推出了Linux加密工具,在NAS設備上也能運行。六月,該公司研究人員發現另一Linux版本的REvil勒索軟體,鎖定VMware ESXi伺服器及釋出用來加密NAS裝置的Linux版的加密工具。
TWCERT/CC近日接獲國際情資,2021年7月2日美國資訊科技管理業者Kaseya遭到REvil發動勒索軟體攻擊,導致全球各地上千家企業受害。迄今已有十一國傳出災情,堪稱受害企業最多的單一一起勒索軟體攻擊事件,也是史上規模最大與最嚴重的供應鏈攻擊。駭客的目標為託管服務提供商(MSP),這些公司主要客群為中小型企業,透過襲擊這些MSP業者便能進一步入侵企業客戶的內網。
根據Kaseya與網路安全研究人員,犯案的是一個月前成功勒索大型肉品加工商JBS價值一千一百萬美元比特幣的俄羅斯駭客組織REvil。REvil於本事件利用Kaseya的虛擬系統管理(VSA)軟體之0-day漏洞,並藉由此管道透過託管服務提供商散播勒索軟體。美國國土安全部的網路安全與基礎建設安全局(CISA)與Kaseya皆聲明建議Kaseya使用者立即關閉其VSA伺服器。
建議採取資安強化措施:
- 立即關閉Kaseya VSA伺服器。Kaseya預計於7/5(美國時間)釋出漏洞修補更新檔案(官方更新釋出連結) ,屆時建議立即進行安全性更新。
- 建議透過入侵偵測工具(VSA Detection Tools)掃描系統設備是否已存在入侵跡象。
- 駭客的勒索訊息含有惡意連結,切勿開啟任何連結。
- 定期進行檔案備份,並遵守備份321原則:
- 資料至少備份3份
- 使用 2 種以上不同的備份媒介
- 其中 1 份備份要存放異地
- 不論是個人或企業,建議都應做好事前預防措施以及被感染後的應變措施,可參考勒索軟體防護指南。
- 若企業不幸遭遇駭侵事件,可尋求資安專業單位協助處理,並即時向相關單位進行資安通報,TWCERT/CC亦為企業通報及協助之單位。
本文轉載自TWCERT/CC。