花钱消灾,美国第五大旅游公司CWT向黑客支付了414颗比特币_链圈子

020 年似乎是不太平静的一年,不仅有新冠病毒肆虐全球,勒索病毒的攻击也屡见不鲜。继七月底Garmin 惊爆遭到勒索软件入侵,全球线上服务断线四天后,又一旅游巨头再传遭骇。

这家遭骇的公司是嘉信力旅游公司(Carlson Wagonlit,以下称CWT),是全美前五大的旅游公司,年净利润高达了1.5亿美元。据《路透社》报导,流出的对话纪录,CWT已经向骇客支付450万美元等值比特币的赎金。

骇客使用了Ragnar Locker的勒索软件。就像其他的勒索软件一样,这种病毒会藏匿在用户下载的档案中,并将文件加密。受害者唯一能解锁的方式就是和骇客妥协,支付赎金。

据悉,CWT 一共有2TB 的资料被加密,包括员工文件、财务数据等等。骇客在一开始要求的赎金是1,000 万美元,该公司的谈判代表表示,目前公司正受到新冠疫情流行的影响,无法支付1,000 万美元的赎金。

花钱消灾,美国第五大旅游公司CWT向黑客支付了414颗比特币_链圈子

在和黑客多次在线协商后, CWT 最终在7 月28 日支付了约414 颗比特币,当时价格约为450 万美元等值的比特币。

该公司在声明中仅轻描淡写地表示:

我们暂时先关闭系统,作为预防措施,但目前我们系统又恢复成在线状态,整件事件已经落幕了。虽然现在只是调查的初期阶段,但现在没有迹象表明用户、旅客的讯息有任何的损失。

小心了!Ragnar Locker是新型态的勒索软件

现在普遍认为,Ragnar Locker是去年底才出现的新品种病毒,据科技媒体《iThome》的报导,这个勒索软件会在Windows XP VM环境下执行Oracle VirtualBox,这样就可以在防毒软件侦测不到的「安全环境」中执行。

资安公司Sophos 的研究人员指出,骇客在受害者的电脑植入Ragnar Locker 后,会先从目标电脑上窃取资料,然后再加密文件。

Ragnar Locker攻击方法有二:一是利用代管服务供应商的系统漏洞,或市攻击Windows Remote Desktop Protocol(RDP)连线以骇入目标网路。另一个比较新颖的方法则是「群组管理句GPO」,骇客利用GPO程式执行从远端伺服器下载并安装内含Ragnar Locker   病毒的套件。

而CWT 并不是第一个受害的公司。在四月时,能源公司葡萄牙能源(Energias de Portugal)就已率先遭到公司,骇客向该公司勒索1,580 颗比特币(约1,110 万美元)。

支付赎金可能无法解决问题

事实上,类似的勒索软件已经进步到除了加密文件外,还可以备份受害人的用户资料。

受害人如果决定要支付赎金,首先要确定骇客有能力解锁加密的档案。现在有很多骇客其实是在暗网上购买勒索软件,他们自身是无法解密的。数据指出,有五分之一的公司在支付赎金后,没有获得解密文件的密码。

因此最好的方法是传一个加密的档案给骇客,看他是否有能力可以解密。

考量到所加密和泄漏的资讯的重要性,付赎金其实也是选项之一。就如同这次的CWT 公司在考量到时间成本(调查、诉讼)以及资料的重要性,他们认为支付赎金是较「便宜」的选项。

需要注意的是,在选择支付赎金这条路后,骇客可能会瞄准其它姐妹公司,或是相关企业,因为他们现在已经知道这类公司会选择息事宁人。当然,预防胜于治疗。部落格《Smartfense》的作者桑榭就认为,企业应该发展出一个多层次导向的保全机制,每一层机制都必须应该要让公司可以免于一或多次攻击。

原创文章,作者:惊蛰财经,如若转载,请注明出处:http://www.xmlm.net/bhq/33929.html