Sophos發表針對性勒索軟件Matrix內部大解構

Sophos發表針對性勒索軟件Matrix內部大解構

Sophos發布了深入剖析Matrix針對性勒索軟件的最新報告。環球網絡及端點安全廠商Sophos最新有關Matrix勒索軟件家族的報告指出，Sophos自該惡意軟件於2016年開始運作以來，在坊間已發現了96個樣本。跟之前的BitPaymer、Dharma及SamSam等針對性勒索軟件一樣，以Matrix來感染電腦的攻擊者一直利用Windows電腦內置的遠端存取工具「遠端桌面協定」 (Remote Desktop Protocol，簡稱RDP) 去入侵企業網絡及電腦；但唯獨是Matrix只會針對網絡上的單一裝置，而不會廣泛散播至整間企業。

SophosLabs的最新報告對攻擊者不斷演變的編碼和技術運用，以及他們向受害者索取金錢的手法和勒索留言作出了逆向工程分析。結果發現，利用Matrix的網絡罪犯會隨時間改變其攻擊參數，以新檔案與指令碼來於網上進行不同任務及負載。

Matrix勒索留言早已內嵌於攻擊編碼中，但受害者必須先聯絡攻擊者方可得知贖金金額。在以往大部分Matrix案例中，黑客都用上受加密保護的匿名即時訊息服務bitmsg.me，但由於該服務現已終止，黑客改回使用日常電郵帳戶。奇怪的是，Matrix的幕後黑手要求支付與指定美元金額同值的加密貨幣，而不是一般要求支付某加密貨幣金額。研究團隊仍未了解這種收取贖金的方式屬罪犯刻意誤導之舉，或是他們純粹想避免受加密貨幣兌換率的極大波動所影響。根據SophosLabs和這些罪犯的對話，勒索贖金原本為2,500美元，但攻擊者後來因研究人員停止回應而主動降價。

Matrix靈活多變，尤如勒索軟件世界的瑞士軍刀。每當新的變種被植入網絡，便即掃描並物色下一位受害電腦。儘管其樣本數目不多，但危險性依然不減。攻擊者更會按每次攻擊後所得的經驗來改良，令Matrix一直演進成新版本。

Sophos 的《2019年網絡威脅報告》強調了針對性勒索軟件將會主導黑客行為，而企業就應時刻保持警惕，盡力確保自身不會成為容易入手的目標。

Sophos建議企業盡快實行以下四項保安措施：

• 限制比如RDP及VNC (Virtual Network Computing) 等遠端操控應用程式的存取
• 定期進行涵蓋整個網絡的全面漏洞掃描及滲透測試。若管理層沒有認真閱讀最近的滲透測試報告，便應立刻細閱。若管理層不聽從滲透測試人員的建議，只會讓網絡罪犯得益
• 為敏感的內部系統設多重因素認證，即使是透過LAN或VPN連接的員工亦然
• 馬上建立離線並離場的備份，並制定能修復整間公司的數據及系統之災難復原計畫