HVV 在即，盘点极具威胁的勒索软件组织 TOP 8
内容提要
自2023年以来，全球范围内勒索软件受害者数量大幅增长，主要针对制造业、医疗、教育等行业。勒索软件背后的高额利润吸引了更多网络威胁分子。八个活跃的勒索软件组织包括Akira、Clop、Black Basta、Play、Lockbit、Medusa、BlackCat和Royal。这些组织使用不同的攻击手段和工具，对受害者进行勒索。
延伸解读
勒索攻击的行业集中度与防御优先级
文章数据显示，2023年制造业占勒索软件攻击的28%，医疗、教育、政府机构合计近50%。这种分布并非偶然：制造业因生产连续性要求高、停工损失大，更易被迫支付赎金；医疗和教育机构则因数据敏感且安全预算有限，成为软目标。对上述行业而言，应优先排查面向公众的应用程序、远程访问服务和备份系统的安全性，并制定不依赖单一备份的恢复预案。
RaaS与三重勒索：攻击门槛降低的后果
文章指出，RaaS模式与DDoS攻击结合形成的三重勒索，降低了网络犯罪的技术和资金门槛，吸引更多参与者涌入。2023年全球勒索软件数量达1940个，新增43个团伙。这意味着防御方面对的不是固定敌人，而是不断复制、变种的攻击生态。企业不能仅依赖已知勒索软件的特征库，而应加强初始访问防护、凭证管理和横向移动检测，以应对快速迭代的威胁。
初始访问的共性弱点：VPN、RDP与钓鱼
从八个组织的攻击手法看，初始访问高度依赖三类途径：面向公众的应用程序漏洞、RDP/VPN等远程服务滥用，以及鱼叉式网络钓鱼。例如Akira利用思科漏洞，Play滥用RDP和VPN，Royal约66.7%的事件通过钓鱼邮件。这提示防御者应重点收紧远程访问入口，强制多因素认证，及时修补边缘设备漏洞，并针对钓鱼邮件开展持续的员工意识培训。
备份与安全工具成为勒索软件的重点破坏对象
文章多次提到，勒索软件会主动关闭容灾备份和安全工具相关进程，以阻止受害者恢复数据或检测攻击。例如Clop试图关闭备份服务，Medusa删除本地备份和阴影副本，Black Basta使用vssadmin.exe删除卷影副本。因此，仅部署备份并不足够，还需确保备份系统与生产网络隔离、备份进程不可被轻易终止，并监控针对备份和防病毒服务的异常操作。
Q&A
2023年勒索软件受害者数量增长了多少？
受害者数量超过5000人，比2022年增长67%。
哪些行业是勒索软件攻击的主要目标？
主要针对制造业、医疗、教育等行业，制造业占比28%。
有哪些活跃的勒索软件组织？
活跃的组织包括Akira、Clop、Black Basta、Play、Lockbit、Medusa、BlackCat和Royal。
Akira勒索软件的主要攻击手段是什么？
Akira通过VPN、已知安全漏洞和鱼叉式网络钓鱼获取初始访问权限。
Clop勒索软件是如何实施双重勒索的？
Clop通过加密文件并在暗网上发布受害者信息来实施双重勒索。
Royal勒索软件的赎金要求通常是多少？
Royal的赎金要求从约100万美元到1100万美元不等。
