TACERT台灣學術網路危機處理中心

[國際]FBI 對LockerGoga和 MegaCortex的勒索病毒發起警報

發佈日期：2019-12-23

參考位址：https://www.bleepingcomputer.com/news/security/fbi-issues-alert-for-lockergoga-and-megacortex-ransomware/

消息內容：

FBI 對LockerGoga和 MegaCortex的勒索病毒發起警報

新聞來源：BLEEPING COMPUTER

FBI對私人產業提供了關於LockerGoga和 MegaCortex的勒索病毒的資訊及指導。LockerGoga 跟 MegaCortex都是勒索病毒，透過攻擊網路並試著鎖住公司裝置裡的所有資料。兩個勒索病毒在一個FBI警報中被標記為TLP:Amber且被Bleeping Computer發現。

FBI對私人企業發起關於這兩個勒索病毒以及他們如何攻擊網路的警告。「從2019年一月開始，LockerGoga這個勒索病毒就已經開始以美國、英國、法國、挪威、荷蘭的大型公司為目標。MegaCortex勒索病毒，在2019年三月第一次被發現，展現了入侵指標(IOC)與命令與控制(C2) 的基礎結構，目標與LockerGoga相似。」

根據警報，LockerGoga與MegaCortex的攻擊者會使用攻擊網路、釣魚攻擊、SQL 、或竊取登入身分資訊來在企業網路上獲取立足點。當網路被攻陷，攻擊者便會安裝一款叫Cobalt Strike的滲透測試工具。這個工具讓攻擊者可以在已攻陷的裝置上佈署信標燈(beacon)，讓攻擊者可以產生腳本、權限升級、或產生一個連線來監聽。

當一個網域被攻陷，在部署LockerGoga與MegaCortex病毒之前，攻擊者會在網域上停留數個月。雖然FBI並沒有說攻擊者在這些時間都在做甚麼，但他們可能是在瀏覽資料、佈署竊取資料的木馬程式、以及攻陷伺服器及工作站。

當網域上有價值的東西都被搜刮完之後，攻擊者就會佈署LockerGoga與MegaCortex病毒來鎖住網域上的裝置。這將會提供攻擊者最後一份利潤。在勒索病毒佈署時，FBI聲明攻擊者將會執行一個叫kill.bat或stop.bat的批次檔，這個批次檔會終止一切資安相關的防護程式。

攻擊者也會使用不同的LOLBin與其他合法的程式，例如：7-Zip、 PowerShell 腳本、 wmic、nslookup、adfind.exe、mstds.exe、Mimikatz、Ntsdutil.exe、和massscan.exe。不幸的是，這兩個勒索軟體都使用一個牢靠的加密演算法，這讓他們幾乎不可能免費解開加密。

FBI建議的緩和方法

FBI提供了建議與指導給公司遵循來最小化LockerGoga與MegaCortex勒索病毒的威脅。
FBI提供最重要的緩和方法就是確認要有「定期備份、離線的備份、以及確保備份過程完整」
藉由擁有可用且可信的備份，特別是離線的備份，勒索病毒就不是一個威脅，因為你可以隨時修復你的資料。

其他FBI提供的緩和方法如下：

● 確保所有安裝的軟體和系統都有定期更新。這幫助減少被攻擊者滲透的威脅。
● 使用雙重認證登入以及一組好的密碼來阻擋釣魚攻擊、偷取登入資訊、或其他登入資訊的攻擊。
● 因為公開的遠端伺服器容易讓攻擊者取得網域權限，公司應該審計所有遠端連結協定的紀錄。
● 審查新帳號
● 搜尋並關掉網路上公開的端口，避免他們被滲透。
● 禁用協定SMBv1及協定中可能的漏洞。
● 監控組織未授權使用者的行為日誌和管理人員的更動。
● 確認你使用的是最新版本的PowerShell並解除安裝舊版本。
● 「使PowerShell可以記錄並監控不尋常的指令，特別是Base64編碼的PowerShell的執行。」

這份指導適用於所有勒索病毒，所以無論任何公司，甚至一般大眾都應該遵循這個指導。

回最新消息列表頁