每周安全速遞31?|Bitdefender發布ShrinkLocker勒索軟件解密工具
發布時間：2024-11-15
閱讀次數： 2545 次
Bitdefender發布ShrinkLocker勒索軟件解密工具Bitdefender近日發布了解密工具，幫助ShrinkLocker勒索軟件的受害者恢復被加密的文件。該病毒最早由卡巴斯基在2024年5月發現，其特點是利用Windows內置的BitLocker加密工具對受害者的文件進行加密。ShrinkLocker的加密過程不依賴于傳統勒索病毒中常見的自定義加密算法，而是通過生成隨機密碼并利用BitLocker進行加密，從而繞過常規的解密手段。惡意軟件會首先檢查目標系統是否啟用了BitLocker，并在沒有啟用的情況下自行安裝。隨后，它會刪除所有默認保護措施，使得BitLocker加密只加密磁盤的已用空間，并通過刪除BitLocker保護機制來增加恢復難度。用戶在系統重啟后會看到BitLocker提示，要求輸入密碼才能解鎖加密的驅動器，并顯示攻擊者的聯系郵箱，要求支付贖金獲取解密密鑰。ShrinkLocker勒索軟件還會通過組策略對象（GPO）和計劃任務，傳播到網絡中所有加入域的設備。
https://www.bitdefender.com/en-us/blog/businessinsights/shrinklocker-decryptor-from-friend-to-foe-and-back-again在一起近期的事件響應案例中，研究人員發現了一種新型勒索軟件家族，被命名為“Ymir”。該惡意軟件在攻擊中表現出顯著的規避檢測能力，其關鍵特點是通過調用malloc、memmove和memcmp函數在內存中執行大規模操作，以減少磁盤活動，從而避開傳統防護措施。分析顯示，攻擊者首先通過PowerShell遠程控制命令成功入侵系統，隨后部署了Process Hacker和Advanced IP Scanner等工具，降低系統的安全防護能力。在完成初步準備后，攻擊者最終運行Ymir勒索軟件達成目的。研究人員在報告中詳細解析了Ymir勒索軟件的技術特性及其攻擊者的戰術、技術和程序（TTPs），揭示了從初始入侵到勒索軟件部署的完整鏈條。
https://securelist.com/new-ymir-ransomware-found-in-colombia/114493/
Halliburton披露遭受勒索軟件攻擊造成3500萬美元損失全球能源行業服務巨頭Halliburton披露，8月發生的一起勒索軟件攻擊導致公司損失高達3500萬美元。此次攻擊迫使公司關閉部分IT系統，并斷開與客戶的連接，盡管影響被控制在一定范圍內，但對業務運營造成顯著沖擊。Halliburton在全球70個國家開展業務，擁有4.8萬名員工，2023年營收超過230億美元。2024年8月23日，公司向美國證券交易委員會（SEC）提交報告，證實一名未經授權的第三方侵入其系統。為了應對此次入侵，Halliburton采取了系統關閉和隔離措施。幾天后，勒索軟件團伙RansomHub被確認是此次攻擊的幕后黑手。攻擊者竊取了公司網絡中的部分數據，但具體數據類型和泄露范圍仍在調查中。盡管如此，Halliburton在其第三季度財報中指出，此次網絡攻擊對公司整體財務狀況的影響有限。
https://www.securityweek.com/cyberattack-cost-oil-giant-halliburton-35-million/
勒索軟件組織Embargo近日威脅，將在未支付贖金的情況下公布1.15TB的數據，涉及美國喬治亞州一家小型社區醫院和護理院。此次襲擊發生在11月1日，Embargo在暗網公布了倒計時，聲稱即將泄露從Memorial Hospital and Manor和其附屬的Willow Ridge個人護理機構竊取的文件。此次攻擊導致該醫院的IT系統癱瘓，影響了電子健康記錄（EHR）和郵件等關鍵服務。Memorial Hospital and Manor尚未對事件的最新進展和Embargo的勒索威脅作出回應。該醫院曾在社交媒體上發布警示稱正在應對勒索攻擊，但該聲明現已被刪除。此外，Embargo在其網站上列出了多個受害者，包括美國的另一家醫療機構Weiser Memorial Hospital及南卡羅來納州Summerville警察局、密歇根州政府部門、德國供應鏈公司和澳大利亞一家非放貸銀行等。
參考鏈接：
https://www.govinfosecurity.com/embargo-ransomware-gang-sets-deadline-to-leak-hospital-data-a-26784
據近期多起管理檢測和響應(MDR)的案例中，安全研究人員發現威脅行為者利用了Veeam備份服務器中的一個漏洞，同時還部署了一種新的勒索軟件 “Frag”，該勒索軟件在此之前從未被記錄。初始訪問時，威脅行為者通常會通過被 compromized 的VPN設備獲得初始訪問權限。接著通過利用CVE-2024-40711漏洞創建新的管理員賬戶，進一步滲透目標系統，最后在威脅行為者獲得控制權后，便部署勒索軟件Frag，該勒索軟件的參數可以指定加密受害者單個文件或者整個目錄，并且在加密的文件后添加擴展名.frag。
參考鏈接：
https://news.sophos.com/en-us/2024/11/08/veeam-exploit-seen-used-again-with-a-new-ransomware-frag/
浙公網安備 33010502006954號 
