北京
“他們根本不打算隱藏行蹤，更在乎速度——寧愿觸發警報，也要在最短時間內拿下整個域。”威脅分析公司Invictus在給Cyber Security News的一份報告中，這樣描述Royal勒索軟件的入侵哲學。而后果是，僅僅2022年11月和12月，該勒索軟件就席卷了近60家受害組織，且實際數字可能遠不止這些。
分析人員發現，攻擊鏈的開端并不復雜：一封精確瞄準員工的魚叉式釣魚郵件，攜帶一個惡意附件。一旦受害者打開，Qbot便通過Windows命令shell悄然運行，幫助攻擊者站穩腳跟。這種以企業郵箱為跳板的投遞方式，讓Qbot長期位列商業郵件攻擊“?？汀卑駟?，也是近期多起勒索攻擊的共同前奏。
Qbot在這里充當了第一把鑰匙。它把自己寫入注冊表的Run鍵，實現頑固駐留。隨后，攻擊者通過編碼的PowerShell指令投下第二枚棋子——Cobalt Strike。后者被安裝為多個系統上的Windows服務，與Qbot一道，構成雙通道持久化：即便清理了其中一個，攻擊者仍有另一條路重返環境。
更反追蹤的是，攻擊者將Qbot和Cobalt Strike都注入到合法的Windows進程內部。Cobalt Strike利用Windows命名管道進行點對點通信，而兩套工具的控制流量都披上HTTPS外衣，混入正常加密流量。在匆忙的調查中，要揪出這類偽裝極為困難。
Invictus的調查顯示，一旦攻擊者拿到特權域賬戶，橫向移動就如破竹。他們從首臺被感染的計算機掛載遠程管理共享，并用竊取的憑據哈希登錄更多系統。全程幾乎不依賴第三方惡意軟件——內置的Windows實用程序就被用來枚舉用戶、組、域信任關系和網絡共享。隨后，PowerSploit和AdFind加入偵察階段，幫攻擊者摸清本地管理員分布，快速繪制出完整域地圖。
這種“閃電戰”式的打法，讓Royal勒索軟件在2022年末短短兩個月內，就在其泄密網站上掛了近60個受害者條目。Incident responders警告，這或許只是冰山一角：并非所有受害者都會被掛在頁面上。更早的報道也曾披露，Royal的單次贖金要求可達數百萬美元，由“Royal勒索軟件利潤報告”所記錄。
從最初的釣魚后門到全域加密，攻擊者用Qbot和Cobalt Strike的武器組合，以及一種不計暴露的激進節奏，給防御者留下極短的遏制窗口。這也是此次事件響應案例中，最令分析師感到不安的地方：當攻擊者不再小心翼翼，保護速度就成了安全團隊最稀缺的資源。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
