勒索軟件正變得越來越聰明，能夠攻擊備份以阻止數(shù)據(jù)的恢復(fù)。通過采取一些簡(jiǎn)單的步驟可以防止這種情況的發(fā)生。
盡管最近的攻擊有所下降，但勒索軟件仍然對(duì)企業(yè)構(gòu)成了重大威脅，本月針對(duì)醫(yī)療機(jī)構(gòu)的攻擊就證明了這一點(diǎn)。而且它的能力也越來越強(qiáng)了。特別是勒索軟件編寫者意識(shí)到備份也是一種有效的防御措施，他們正在修改他們的惡意軟件來追蹤并消除備份。
針對(duì)備份的勒索軟件
勒索軟件現(xiàn)在會(huì)刪除它在執(zhí)行過程中所碰巧遇到的任何備份，Malwarebytes的惡意軟件情報(bào)主管Adam Kujawa說。例如，勒索軟件常用的一種策略是刪除Windows創(chuàng)建的文件的自動(dòng)副本。“所以，如果你要進(jìn)行系統(tǒng)恢復(fù)，就沒有辦法了，”他說。“我們還看到他們開始攻擊共享的網(wǎng)絡(luò)驅(qū)動(dòng)器了。”
有備份的勒索軟件有兩個(gè)很有名的例子，SamSam和Ryuk。去年11月，美國(guó)司法部指控兩名伊朗人使用了SamSam惡意軟件，向包括醫(yī)院在內(nèi)的200多名受害者敲詐了3000多萬美元。起訴書稱，攻擊者通過在正常工作時(shí)間之外發(fā)動(dòng)攻擊，以及“加密受害者電腦的備份”，最大限度地?cái)U(kuò)大了損害。
Ryuk襲擊了幾個(gè)高調(diào)的目標(biāo)，包括洛杉磯時(shí)報(bào)和云托管提供商Data Resolution。根據(jù)Check Point安全研究人員的說法，Ryuk包含了一個(gè)可以刪除影子卷和備份文件的腳本。“雖然這種特定的惡意軟件并不專門針對(duì)備份，但它確實(shí)將更簡(jiǎn)單的備份解決方案(導(dǎo)致數(shù)據(jù)駐留在文件共享中的解決方案)置于風(fēng)險(xiǎn)之中，”總部位于波士頓的技術(shù)公司Continuum的產(chǎn)品管理高級(jí)總監(jiān)Brian Downey表示，該公司可以提供文件備份和恢復(fù)服務(wù)。
最常見的做法是通過微軟Windows的Previous Versions功能，Juniper Networks的威脅研究主管Mounir Hahad表示。它允許用戶恢復(fù)文件的早期版本。“但大多數(shù)勒索軟件變種會(huì)刪除影子拷貝，”他補(bǔ)充說，大多數(shù)勒索軟件也會(huì)攻擊映射網(wǎng)絡(luò)驅(qū)動(dòng)程序中的備份。
勒索軟件對(duì)備份的攻擊是偶然的，而不是有針對(duì)性的
當(dāng)勒索軟件尋找備份時(shí)，通常是偶然的，而不是故意的，Booz Allen Hamilton的首席技術(shù)專家David Lavinder說。根據(jù)勒索軟件的不同，它通常會(huì)通過爬取系統(tǒng)來尋找特定的文件類型。“如果它遇到了備份文件的擴(kuò)展名，它肯定會(huì)加密它，”他說。
勒索軟件還會(huì)試圖進(jìn)行傳播，以感染盡可能多的其他系統(tǒng)，他說。這種蠕蟲的能力，就像WannaCry一樣，是他希望在未來看到更多活動(dòng)的地方。“我們不希望看到任何有意針對(duì)備份的目標(biāo)，但我們確實(shí)希望能夠看到更多的精力集中在橫向移動(dòng)上，”他說。
你可以通過一些基本的預(yù)防措施來保護(hù)你的備份和系統(tǒng)免受這些新的勒索軟件的攻擊。
用額外的副本和第三方工具補(bǔ)充Windows備份
為了防止勒索軟件刪除或加密本地備份文件，Kujawa建議使用額外的備份或第三方工具或其他不屬于Windows默認(rèn)配置的工具。“如果這樣做，惡意軟件就不知道在哪里刪除備份了，”他說。“如果你的員工感染了什么，他們就可以刪除它，(并從備份中恢復(fù))。”
隔離備份
被感染的系統(tǒng)與其備份之間的屏障越多，勒索軟件就越難進(jìn)入。位于印第安納波利斯的網(wǎng)絡(luò)安全服務(wù)公司Pondurance的首席執(zhí)行長(zhǎng)Landon Lewis說，一個(gè)常見的錯(cuò)誤是，用戶對(duì)備份使用的認(rèn)證方法和他們?cè)谄渌胤剿褂玫囊粯印?ldquo;如果你的用戶賬戶被入侵，攻擊者想做的第一件事就是升級(jí)他們的特權(quán)，”他說。“如果備份系統(tǒng)使用了相同的身份驗(yàn)證，它們就可以接管一切。”
使用不同密碼的單獨(dú)身份驗(yàn)證系統(tǒng)會(huì)使這一步更加困難。
在多個(gè)位置保存多個(gè)備份副本
Lewis建議公司保存重要文件的三份不同的副本，使用至少兩種不同的備份方法，并且至少其中的一份需要被放在不同的位置?；谠频膫浞萏峁┝艘粋€(gè)易于使用的離線備份選項(xiàng)，他說。“互聯(lián)網(wǎng)上的塊存儲(chǔ)非常便宜。很難解釋為什么有人不使用它作為額外的備份方法。如果你使用了不同的認(rèn)證系統(tǒng)，那就更好了。”
許多備份供應(yīng)商還提供了回滾或同一文件的多個(gè)版本的選項(xiàng)。如果一個(gè)勒索軟件攻擊并加密了文件，那么備份工具會(huì)自動(dòng)備份加密的版本并覆蓋完好的版本，這樣勒索軟件甚至都不需要費(fèi)心去獲取備份了。因此，回滾正在成為一種標(biāo)準(zhǔn)功能，公司應(yīng)該在確定備份策略之前就進(jìn)行檢查。“我肯定會(huì)把這一點(diǎn)加入我的標(biāo)準(zhǔn)當(dāng)中。”Lewis說。
反復(fù)測(cè)試你的備份
許多公司只會(huì)發(fā)現(xiàn)他們的備份無法使用，或者在他們成為攻擊的受害者后才發(fā)現(xiàn)因?yàn)樘闊┒鵁o法返回。“如果你沒有做過某種類型的修復(fù)練習(xí)，而且沒有文件記錄，也沒有人熟悉它，我們將看到許多客戶會(huì)考慮付錢，并且在某些情況下真的這么做了，因?yàn)楦跺X給攻擊者實(shí)際上在操作上更為便宜。”Lewis說。
作為其產(chǎn)品的一部分，提供備份解決方案的科技公司Kaseya的首席信息官BBob Antia也建議檢查備份供應(yīng)商是否能檢測(cè)到勒索軟件的攻擊，尤其是較新的、更隱秘的變種。一些勒索軟件會(huì)故意放慢速度，或者在加密前處于休眠狀態(tài)，他說。“這兩種技術(shù)意味著會(huì)很難知道需要從備份中恢復(fù)到什么時(shí)間點(diǎn)，”他說。“我預(yù)計(jì)勒索軟件會(huì)繼續(xù)找到更好的方法來隱藏自己，使復(fù)原更加困難。”
“我們最近還沒有看到像WannaCry和Petya這樣的全球大規(guī)模攻擊，”Antia說。但當(dāng)它真的發(fā)生時(shí)，就會(huì)造成極大的破壞，他說。“我們已經(jīng)看到個(gè)別組織因最近的攻擊而遭受了數(shù)百萬美元的損失。”
