云小课｜HSS对近期Cactus勒索病毒的分析
内容提要
华为云开发者社区分享了对Cactus勒索病毒的分析与防护建议，该病毒已攻击9个国家，主要针对制造和专业服务业务组织。文章详细介绍了病毒的入侵、感染、执行和数据外泄阶段。华为云主机安全服务HSS提供全链路的安全防护，包括事前识别与防御、事中威胁检测、事中监控与处置以及事后恢复。建议在这四个阶段进行检测与防御，以降低勒索病毒的危害。
延伸解读
Cactus勒索病毒的攻击链条与关键特征
Cactus自2023年3月活跃，已攻击9个国家，主要针对制造和专业服务组织。它通过Fortinet VPN漏洞、Qlik Sense漏洞或Danabot恶意软件获取初始访问权限，随后建立SSH后门、扫描内网、窃取凭据并横向移动。加密前使用Rclone等工具外泄数据，实施双重勒索。加密文件附加“.CTS[数字]”扩展名，并释放“cAcTuS.readme.txt”勒索信。其动态加密方法和删除安全软件等行为增加了检测难度。
从入侵到加密：分阶段防御思路
文章将勒索攻击分为入侵、横向扩散和加密三个阶段，并建议在事前识别与防御、事中威胁检测、事中监控与处置、事后恢复四个环节进行防护。事前通过基线检查、漏洞管理收敛攻击面；事中检测暴力破解、漏洞利用、Webshell等行为并及时告警；发现勒索行为后可自动隔离查杀；事后利用备份恢复数据并分析原因加固，以降低损失。
HSS的多维度检测与恢复能力
华为云主机安全服务HSS提供全链路防护，其检测能力包括AV病毒引擎（基于特征）、诱饵文件（基于加密行为）和HIPS主机入侵规则（基于异常行为）。在事中监控阶段，可手动处置或开启自动隔离查杀。事后支持一键恢复数据，通过云服务器备份还原业务。这些能力覆盖了Cactus攻击的常见战术，但需企业提前配置策略并确保备份可用。
Q&A
Cactus勒索病毒主要攻击哪些行业和地区？
Cactus勒索病毒主要针对从事制造和专业服务业务的组织，已经攻击了9个国家。
Cactus勒索病毒是如何获得初始访问权限的？
Cactus勒索病毒通过利用Fortinet VPN漏洞、Qlik Sense公开暴露的安装漏洞以及恶意广告传播的Danabot恶意软件来获取初始访问权限。
Cactus勒索病毒在感染阶段会执行哪些操作？
在感染阶段，Cactus会执行持久化、提权、横向移动、探测内网敏感数据、禁用安全软件等操作。具体包括通过计划任务建立SSH后门、使用扫描工具探测内网、安装合法远程访问软件控制失陷主机、窃取凭据进行提权和横向移动，以及使用批处理脚本和msiexec卸载安全软件。
Cactus勒索病毒如何加密文件？加密后的文件有什么特征？
Cactus使用AES+RSA算法加密文件，加密后的文件扩展名为“.cts”后跟随机数字（如.CTS1），并在被加密的文件夹下生成名为“cAcTuS.readme.txt”的勒索信。
华为云主机安全服务HSS如何帮助企业防护Cactus勒索病毒？
HSS提供全链路安全防护，包括事前识别与防御（基线检查、漏洞管理、容器镜像安全扫描）、事中威胁检测（对暴力破解、漏洞利用、Webshell、病毒等检测）、事中监控与处置（手动或自动隔离查杀）以及事后恢复（通过备份恢复数据）。
针对勒索病毒攻击，应该在哪几个阶段进行检测与防御？
建议在四个阶段进行检测与防御：事前识别与防御、事中威胁检测、事中监控与处置和事后恢复，以将勒索病毒的危害降到最低。
