揭秘勒索第1期丨勒索软件是什么？勒索攻击是如何发生的？

勒索软件又称勒索病毒，勒索软件的本质是恶意软件。攻击者利用勒索软件获取用户系统或文件的控制权限，阻止用户访问这些系统或文件。受害者必须支付赎金，才有可能换取解密密钥，恢复被程序加密的系统或文件。很多时候，即便支付赎金，也并不能恢复控制权。这是一种很成功的商业模式，就像在物理世界中，我们把钱放在保险箱中，小偷并没有撬开保险箱将钱直接拿走，而是在保险箱的外面又套了一个保险箱，如果我们没有小偷新套上的保险箱的开锁密码，我们依然拿不到保险箱中的钱。

事实上，勒索软件并不是一种新的威胁，网络罪犯已经利用它执行恶意操作超过30年。第一次有记录的恶意软件网络攻击可以追溯到1989年，哈佛艾滋病研究者Joseph Popp博士通过软盘发布了针对艾滋病研究人员的恶意软件。

幸运的是，早期的勒索攻击比较初级，使用非常基础的数据加密技术。然而从2000年中期开始，网络罪犯开始使用非对称加密进行加密 ——这标志着现代勒索软件的开始。

尽管勒索软件已经活跃30年，但也就在最近10年最为疯狂，攻击规模和频率以惊人的速度增长，存在较多勒索软件成为重要威胁的里程碑事件。

勒索软件重要里程碑事件

在过去的10年间，勒索软件的格局发生了很大变化，主要由如下三个因素驱动：

As-a-Service模式已经成为网络犯罪领域的常客十多年之久，勒索软件开发者可以像合法软件服务公司一样开发一款产品并基于固定价格或勒索收益的分成授权给攻击团伙。攻击团伙很多时候独立于勒索软件开发者和运营商，专职作为攻击方角色对受害目标实施攻击，这样攻击团伙有更多的时间和精力来布局运作，从而实现更加精准、有效的攻击。在这种勒索软件商业合作生态中，各角色独立地在高度专业化的集群中运行，专注于自己所负责的模块，以达到高效产出的目的。

勒索攻击合作生态结构图

直到前几年，最常见的防御勒索攻击的方法还是确保组织有固定的、安全的关键数据的离线备份。如果勒索攻击成功，任何加密的数据都可以使用备份数据恢复，从而降低对数据丢失的影响。但2019年的Maze勒索软件团体加入了二级勒索战术剧本，不仅仅加密对一个组织中有重大影响的数据，而且窃取这些数据或组织敏感信息，并威胁说如果不支付赎金就公开这些数据。对于那些拒绝支付赎金的组织，勒索软件组织会在暗网上发布博客，任何访问该网站的人都可以下载。这种通过增加额外动机改变了一个组织可能决定如何应对一个勒索软件攻击的策略，即为敲诈勒索。

这是勒索软件最大的驱动因素，早期勒索软件中，勒索是通过不明的支付方式提出的，这些方式一般需要受害者购买一种实体支付卡，这就人为设定了赎金上限，由于支付方式的挑战，十年前因勒索软件攻击而支付的费用在100美元左右。比特币诞生于2008年，但直到2013年网络犯罪分子才开始使用加密货币作为支付赎金的唯一方法，加密货币相比之前的支付方式有三大优势，其一是相对匿名的支付，可以帮助网络罪犯保护他们的身份，其二是加密支付速度快，最重要的是通过加密货币支付的金额远高于其他支付方法。这些因素再叠加上过去这几年中加密货币价格的暴涨，已经导致了更高的赎金和更大的利润，因此勒索软件攻击的平均支付金额已经从五年前的几百美元暴涨到现在的几万美元，如今，一些款项达到了数百万美元。

一般来讲，勒索攻击的攻击链条分成四个步骤：攻击入侵、病毒投放&执行、加密勒索、横向移动。

勒索攻击链条