黑客“扼住”美国的喉咙，原油“涨”声一片丨大东话安全_风闻

一、小白剧场

小白：大东，我前几天看到新闻上说美国燃油短缺导致油价上涨，怎么会突然短缺呢？这不会是美国燃油商“饥饿营销”的手段吧！

大东：这次可不是“空穴来风”哦。

小白：我的天呐！这究竟是怎么了？大东快讲一讲吧。

二、话说事件

大东：美国最大燃油运输管道商科洛尼尔（Colonial Pipeline）公司被迫暂停输送业务，对美国东海岸燃油供应造成了严重影响。

小白：科洛尼尔公司怎么就突然暂停了燃油输送服务呢？

大东：5月7日科洛尼尔发现其遭受勒索软件攻击。为了预防事态进一步扩大，该公司只能暂停输送服务，将关键系统脱机，以免勒索软件的感染范围持续蔓延。

小白：那受影响的范围大吗？

大东：受影响的管道长约5500英里，为美国东部提供45%的燃料供应。针对勒索软件攻击，美国多州宣布紧急放宽道路运输燃油的限制。

科洛尼尔燃油供应服务范围（图片来自网络）

小白：那有多少州放宽限制呢？

大东：紧急规定包含了阿拉巴马州，阿肯色州，哥伦比亚特区，特拉华州，佛罗里达州，乔治亚州，肯塔基州，路易斯安那州等18个州。

小白：放宽道路运输燃油的限制是什么意思啊？

大东：放宽限制意味着这18个州的驾驶员在运输汽油，柴油，喷气燃料和其他精炼石油产品时可以运输更多货物或拥有更多时间。

小白：大东，油价真的上涨了吗？

大东：确实有所上涨。受攻击影响，纽交所汽油期货上涨1.32美分，收于每加仑2.1269美元。

科洛尼尔（图片来自网络）

小白：勒索软件的危害也太大了吧！之前也听说过有勒索软件攻击的情况，为什么这次这么严重呢？

大东：因为这次的攻击主要面向基础设施。美国经济高度依赖于能源管道基础设施。这种至关重要的能源输送资产会影响到每一位民众的正常生活。

小白：是啊！能源确实是日常生活中必不可少的。

大东：其实，2020年2月，美国网络安全与基础设施安全局就发布过警报，强调关键基础设施目标（包括输送管线）已经成为黑客团伙的主要攻击目标。

小白：大东，在科洛尼尔遭受攻击之前，有没有基础设施行业的相关企业遭受过勒索软件攻击呢？

大东：当然，发布警报的契机正是因为美国的一家天然气压缩设施遭遇了勒索软件攻击，并导致其业务被迫关停了两天。

三、大话始末

小白：Colonial Pipeline的系统是有什么漏洞吗？怎么会受到攻击呢？

大东：通过Colonial Pipeline 的取证发现，他们仍在使用存在漏洞的微软Exchange 版本。该公司IT基础设施内“最可能的罪魁祸首”就是尚未修复的微软Exchange服务。

小白：大东，攻击者是谁呀？

大东：网络犯罪团伙利用DarkSide的勒索软件攻击了受害者的网络。

小白：DarkSide是什么啊？

大东：DarkSide是去年新出现的勒索软件组织，攻击手法非常老练，已经攻击了40多个受害组织，要求赎金一般在20万-200万美元。

小白：那这个DarkSide黑客组织是哪个国家的呢？

大东：5月10日，DarkSide勒索软件团伙发表了一份新闻声明，称他们的组织是“非政治性的”，与任何政府没有关系。同时，他们表示不要将他们与任何一个政府联系起来，他们的目标只是赚钱而已，不是为了某些社会问题。

小白：既然不是为了社会问题，怎么会攻击基础设施呢？

大东：DarkSide的勒索软件针对RaaS（也称为勒索软件联盟计划）客户。只需要一个核心团队来开发恶意软件，RaaS可以通过订阅的方式向犯罪分子提供勒索软件。

小白：我明白啦！也就是说DarkSide只提供勒索软件，但是不选择攻击对象。

大东：没错！DarkSide组织还表示从5月10日起，他们将在攻击前检查被攻击对象，以避免造成某些社会后果。

小白：大东，科洛尼尔公司关闭了运营系统是不是说明其系统已经受损了呀！

大东：科洛尼尔公司关闭了运营系统，但并不一定代表其系统已经受到严重影响或损害。这也许是为了抢在攻击者进一步访问敏感系统之前就断开了连接。

小白：大东说得对啊！毕竟一旦攻击者再深入一些，赎金要求很可能大大增加，公司夺回控制权的难度也会显著提高。

小白：还有其他国家的能源行业遭受过勒索软件的攻击吗？

大东：欧洲能源巨头Enel Group一年内两次遭遇不同勒索软件攻击，多达5TB数据被窃取，被威胁索要1400万美元赎金。

小白：那我国有没有遇到过这样的情况呢？

大东：我国台湾最大两家炼油厂就遭到过勒索攻击，波及整个供应链，甚至加油站的IT系统也无法使用。

小白：天呐！原来这么多家能源企业遭受过勒索软件的攻击啊！

大东：是啊！根据Group-IB研究人员的报告，仅在过去一年，全球勒索软件攻击次数就增长150%以上，能源行业也遭受了较大打击。

小白：那全球各方有没有采取什么措施来打击这些攻击者呢？

大东：2021年4月，美国司法部等全球60家实体共同组成联盟，提出全面打击计划，要求通过追究财务运作线索以追捕并瓦解勒索软件团伙。

四、小白内心说

小白：基础设施遭受网络攻击，真是后果不堪设想啊！

大东：没错！提高基础设施网络安全防御能力已经迫在眉睫。

小白：那如何才能提高基础设施网络安全防御能力呢？

大东：首先，要科学研判新基建带来的网络安全新挑战。充分估计5G网络、物联网、工业互联网等带来的挑战。

小白：新技术确实存在各种新的挑战。

大东：其次，要重视信息基础设施的安全关键技术研发。建立自主可控的网络安全技术、产品和服务的软硬件生态体系。

小白：我觉得还应该加强网络安全制度建设，加强国家关键数据资源管理制度。

大东：说的太好了！当然，还要鼓励网络安全企业由提供安全产品向提供安全服务和解决方案转变。全方位保障国家网络安全。

小白：了解啦！大东，勒索软件攻击和普通的攻击相比，有什么特殊之处吗？

大东：它不像一般攻击事件，其发起者只想访问数据或者获取资源，勒索者有时既想要数据，更要钱。

小白：是啊！太贪心了！那如果不向攻击者支付赎金会怎样呢？

大东：有两种可能，一种就是将窃取的数据公之于众。还有一种就是锁定目标用户的文件、应用程序、数据库信息和业务系统相关的重要信息，直到受害者支付赎金才能通过攻击者提供的秘钥恢复访问。

小白：那勒索软件的感染途径有哪些呢？

大东：勒索软件的常见感染方式包括：垃圾邮件附件、开发套件、钓鱼网站、恶意广告等。

小白：大东，勒索软件一般采用怎样的攻击方式呢？

大东：勒索软件的攻击手段多样，根据是否运用加密算法来加密用户文件，可以分为非加密型勒索软件和加密型勒索软件。

小白：非加密型勒索软件是啥呀？

大东：非加密型勒索软件不对用户文件进行加密，只是对用户主机进行锁屏，或者修改分区表和主引导记录。

小白：那加密型勒索软件就是指运用加密算法对用户文件进行加密喽。

大东：哈哈，非常正确。小白已经学会“举一反三”啦！

小白：这种恶意软件不能查杀吗？加密型的勒索软件不能被解密吗？

大东：勒索病毒文件一旦进入本地，就会自动运行，同时删除勒索软件样本，以躲避查杀和分析。除了病毒开发者本人，其他人是几乎不可能解密。

小白：大东，有没有针对勒索软件的防护措施啊？

大东：防御措施主要分为两大类:一是根据勒索软件行为特征进行检测；二是通过数据备份技术进行数据恢复。

小白：如何进行检测呢？

大东：勒索软件的检测技术主要通过分析勒索软件的文件系统的操作、网络流量或加密算法等特征进行。

小白：数据备份技术又指什么呢？

大东：数据备份技术主要是通过云存储、日志文件系统或者增加本地额外存储设备等方式实现数据恢复。

小白：那企业在日常生活中如何做才能有效预防勒索软件攻击呢？

大东：可以定期进行数据备份与恢复，阻止恶意的初始化访问。还要搭建具有容灾能力的基础架构，强化网络访问控制，定期进行外部端口扫描等等。

小白：明白啦！在这个大数据时代，数据安全可真是太重要了。

大东：勒索软件的攻击对象不只是企业，还有缺乏系统防护的个人用户。因此，我们在日常生活中也要多加小心，避免个人数据的泄露。

参考资料：

1.《美国首次因遭遇网络攻击宣布进入国家紧急状态》

https://mp.weixin.qq.com/s/z-po6WPgsJxM5Mho29ZTIg

2. 《美国首次因遭遇网络攻击宣布进入国家紧急状态》

https://mp.weixin.qq.com/s/7RUx5dbZ9ixhBePZ4bZFsQ

3. 《美国首次因遭遇网络攻击宣布进入国家紧急状态》

https://mp.weixin.qq.com/s/z-po6WPgsJxM5Mho29ZTIg

4. 《美国首次因网络攻击宣布多州进入紧急状态》

https://www.secrss.com/articles/31080

5. 《美国油管公司Colonial被勒索当日就支付了约500万美元赎金》

https://mp.weixin.qq.com/s/WoXTc_yt3-xQ7tg96WkWOQ

6. 《勒索软件的攻击与防御》

https://blog.csdn.net/weixin_43700280/article/details/86101890

7. 《筑牢新基建网络安全防线》

https://baijiahao.baidu.com/s?id=1669933860962828896&wfr=spider&for=pc

**来源：**中国科学院信息工程研究所