?CISA和FBI稱勒索軟件的攻擊在增加

根據(jù)最近的一份聯(lián)合網(wǎng)絡(luò)安全咨詢（CSA）#StopRansomware，來(lái)自CISA和FBI的警告說(shuō)，Cube勒索軟件團(tuán)伙已經(jīng)攻擊了全球100多個(gè)組織，并已經(jīng)收到了超過(guò)6000萬(wàn)美元的贖金。最新的CSA警告說(shuō)，被Cube勒索軟件團(tuán)伙攻擊的安全事件和企業(yè)網(wǎng)絡(luò)安全咨詢的數(shù)量激增。

根據(jù)警告，Cube勒索軟件攻擊的目標(biāo)是醫(yī)療保健、關(guān)鍵基礎(chǔ)設(shè)施、金融服務(wù)、政府服務(wù)等機(jī)構(gòu)。CSA說(shuō)，盡管該團(tuán)伙使用了這個(gè)名字，其實(shí)該團(tuán)伙與古巴這個(gè)國(guó)家沒(méi)有任何關(guān)聯(lián)。聯(lián)邦調(diào)查局警告說(shuō)，該勒索軟件團(tuán)伙已經(jīng)攻擊了全球100多個(gè)目標(biāo)，并要求支付超過(guò)1.45億美元的贖金，現(xiàn)在已經(jīng)得到了6000萬(wàn)美元的勒索款項(xiàng)。

聯(lián)邦調(diào)查局和CISA的最新發(fā)現(xiàn)

聯(lián)邦調(diào)查局已經(jīng)發(fā)現(xiàn)，Cube勒索軟件行為者所攻擊的美國(guó)實(shí)體的數(shù)量和所要求的贖金數(shù)額都在急劇增加。

自2022年春季以來(lái)，Cube勒索軟件攻擊者擴(kuò)大了他們的TTPs。

第三方組織和開(kāi)源報(bào)告已經(jīng)確定Cube勒索軟件攻擊者、RomCom遠(yuǎn)程訪問(wèn)木馬（RAT）行為者和工業(yè)間諜勒索軟件攻擊者之間可能存在聯(lián)系。

該組織習(xí)慣使用雙重勒索攻擊，他們不僅會(huì)加密數(shù)據(jù)而且還要求支付贖金，并且還威脅說(shuō)如果目標(biāo)不支付贖金（要求以比特幣支付），就會(huì)泄露從被害者那里偷來(lái)的數(shù)據(jù)。

攻擊者使用最新的勒索軟件技術(shù)這是CISA和FBI對(duì)Cube勒索軟件的第二次警告，第一次是在2021年12月。最近發(fā)警告的原因是因?yàn)榫W(wǎng)絡(luò)攻擊的數(shù)量突然增加，也因?yàn)楣粽咴黾恿斯舻膹?fù)雜性，使其無(wú)法被發(fā)現(xiàn)和難以阻止。

這些技術(shù)包括濫用Windows通用日志文件系統(tǒng)（CLFS）驅(qū)動(dòng)程序（CVE-2022-24521）中的一個(gè)漏洞，該漏洞允許攻擊者檢索系統(tǒng)令牌以及啟用權(quán)限，同時(shí)部署PowerShell腳本，找出服務(wù)賬戶，以便更好地訪問(wèn)高級(jí)系統(tǒng)控制。

攻擊背后的Cube勒索軟件

安全研究員發(fā)現(xiàn)Cube勒索軟件也會(huì)攻擊Zerologon，這是微軟Windows認(rèn)證協(xié)議Netlogon（CVE-2020-1472）的一個(gè)漏洞，利用該漏洞可以獲得域管理權(quán)限。Zerologon是在2020年9月被發(fā)現(xiàn)的，當(dāng)時(shí)被認(rèn)為是有 ”極大的風(fēng)險(xiǎn)”，然而，兩年后，威脅者仍然能夠?yàn)E用它。

Cube勒索軟件用來(lái)獲得受害者系統(tǒng)訪問(wèn)權(quán)限的技術(shù)包括利用商業(yè)軟件的已知漏洞、網(wǎng)絡(luò)釣魚(yú)活動(dòng)、利用被盜的用戶數(shù)據(jù)和密碼，以及濫用遠(yuǎn)程桌面協(xié)議（RDP）應(yīng)用程序。

一旦攻擊者獲得了訪問(wèn)權(quán)限，他就會(huì)安裝Hancitor，這是一種惡意軟件的有效載荷，可以讓他輕松地重新獲得訪問(wèn)權(quán)，并在被利用的網(wǎng)絡(luò)上發(fā)起攻擊，最后再用于投放和啟動(dòng)勒索軟件的有效載荷。

聯(lián)邦調(diào)查局和CISA鼓勵(lì)網(wǎng)絡(luò)防御者聯(lián)合CSA，并盡可能去應(yīng)用更多的緩解措施。

本文翻譯自：https://www.cysecurity.news/2022/12/fbi-cisa-alert-ransomware-gang-attacked.html