翻译：pwn_361
预估稿费：300RMB（不服你也来投稿啊！）
投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿
一、引言
在2016年，勒索软件继续在全球范围内猖獗，收紧对数据、设备、个人和商业的控制。
下面的数据就能说明这些：
1.出现了62种新的勒索软件家族。
2.勒索软件变种增长了11倍。从1到3月份的2900个，增长到7到9月份的32091个。
3.对商业的攻击从一月到九月底增长了3倍：每2分钟有一次攻击，变成了每40秒有一次
4.对个人攻击的增幅从每20秒到每10秒。
5.在支付了勒索赎金的小型和中型企业中，有五分之一没有取回他们的数据。
在2016年，我们也看到了勒索软件增长在复杂性和多样性
例如：改变策略，如果它遇到了财务软件，有可能会编写脚本语言，并利用新的感染路径，变得非常有针对性，同时，将勒索软件作为一种服务，并提供消除勒索的解决方案，给那些只有少量技能，资源和时间的对象—所有这些都是通过一个日益发展，日益高效的地下生态系统。
在2016年，我们看到全世界都开始团结起来进行反击
在7月份，推出了“没有更多赎金”的项目，促使警察、欧洲刑警组织、英特尔安全部门和卡巴斯基实验室合作，另有13个组织于十月加入。除此以外，合作带来的结果是产生了大量免费的在线解密工具，到今天已经帮助数千勒索软件受害者恢复了他们的数据。
这只是冰山的一角，还有许多工作要做。只要齐心协力，我们可以实现远远超过我们任何人想像的事。
什么是勒索软件？
勒索软件有两种形式。勒索软件最常见的形式是数据加密。这种程序将受害者机器上的数据加密，并承诺受害者给钱后会将数据恢复。另一种形式是限制访问，相比之下，这种形式不影响存储在设备上的数据。相反，它们阻挠受害者访问设备。并向受害者要求赎金，并显示在屏幕上，通常会伪装成来自执法部门的通知，报告受害人非法访问了网页内容，并说明他们必须支付法罚款。你可以在这里找到这两种形式的勒索软件的概述。
二、勒索软件：2016的主要趋势和发展
GReAT，2017年威胁预测：大多数勒索软件在受害者与其攻击者之间，在信任关系上，不可能和谐发展，一旦收到赎金，被勒索的文件将会恢复。网络犯罪分子在履行这一承诺方面展现了令人惊讶的专业精神。
1、到来和离开
到来—在2016年、世界对cerber，Locky和cryptxxx说你好，–以及44287个新的勒索软件变种。
Cerber 和 Locky在开春时到来，都非常令人讨厌，并且广泛传播，主要通过垃圾邮件和漏洞工具包。针对个人和企业，他们很快就将他们自己确定为“大玩家”。不久后，CryptXXX来了，所有这三个病毒家族继续发展，并危害世界，如CTB-Locker, CryptoWall 和Shade。
截至2016年10月时，由卡巴斯基实验室检测到的前几种勒索软件家族如下：
离开，告别了Teslascrypt, Chimera 和Wildfire。或者看起来如此….
也许2016年最大的惊喜是TeslaCrypt的关闭和后来释放的主密钥，显然是恶意软件作者自己的行为。
Encryptor RaaS，对于其他罪犯，这是第一个提供勒索软件即服务的木马模型。它的一部分僵尸网络被警方清除后，停止了工作。
然后，在七月，自称是Petya/Mischa勒索软件作者的人，公开发布了Chimera勒索软件的大约3500个解密密钥，然而，由于Petya勒索软件自身使用了一些Chimera的源代码，因此这实际上可能是同一组织，只是更新其产品套件，并造成了恶作剧。
同样的，Wildfire，它的服务器被查封，且在卡巴斯基实验室，英特尔安全部门和荷兰警方共同努力下，开发出了解密密钥，现在，它似乎作为Hades变种，又重新出现了。
2、滥用“有教育目的”的勒索软件
好心的研究人员开发了“有教育目的”的勒索软件，为系统管理员模拟勒索软件的攻击，并测试他们的防御效果。然而，罪犯们怀着恶意的目的，很快利用了这些工具。
Hidden Tear 和 EDA2“教育”勒索软件开发后，他们的源代码被公开在了GitHub上，不可避免，在2016年，我们看到基于这个代码，出现了众多的恶意木马。这就包括Ded Cryptor，它会将受害人电脑的壁纸换成一个邪恶的圣诞老人的图片，并要求两比特币（约1300美元）作为赎金。另一个这样的程序是Fantom，模拟一个看来起来正常的Windows更新屏幕。
3、非传统的方法
当你有一个磁盘时，为什么会在一个文件上下功夫？
磁盘加密、阻止对所有文件的访问、或者加密，这是2016年第一次出现的勒索软件的新方法。Petya就是一个例子，它会快速爬取用户硬盘驱动器的主索引，并使计算机不能重新启动。另一个木马Dcryptor，也被称为Mamba，更近一步，它会锁定整个硬盘驱动器。这种勒索软件特别另人讨厌，会爬取整个磁盘，包括操作系统、软件、共享文件和所有私人数据—使用了开源软件diskcryptor。
“手动”感染技术
Dcrypter的感染是手工进行，攻击者通过密码暴力破解，得到受害计算机的远程访问权限。虽然不是新方法，但是这种方法在2016年用的非常突出，常常作为攻击目标服务器的一种方法，并获得进入一个公司系统的权限。
如果攻击成功，会安装木马，且会加密服务器上的文件，甚至是所有从它可以访问到的网络共享。我们发现teamxrat勒索软件采取的就是这种方法，并在巴西服务器上传播。
两个功能于一身的感染
在8月，我们发现了Shade的样本，它拥有让人我们意想不到的功能：如果被感染的计算机属于金融服务系统，它将去下载文件和安装间谍软件，可能存在偷钱的长期目的。
4、采用脚本语言的勒索软件
吸引我们的注意力的另一种趋势是，在2016年用脚本语言编写的cryptors越来越多。仅在第三季度，我们就遇到了几个采用Python语言的勒索软件的新家族，包括HolyCrypt 和CryPy,以及用AutoIt语言写的Stampado，这是一种自动化的语言。
5、一大批的业余爱好者和模仿者
许多在2016年检测到新的勒索软件木马原来是低质量的；不成熟的，部分索要赎金的勒索软件拥有软件缺陷和粗心的错误。
这种事情伴随着模仿的勒索软件而不断增加。除此之外，我们发现下面这些都是模仿的：
Bart抄袭勒索信件、Locky的支付页面风格
一个基于AutoIt语言的Locky的模仿者（被称为autolocky）使用相同的扩展“.locky”。
Crusis(又叫做Crysis)复制了来源于Shade的扩展“.xtbl”
Xorist的整个加密文件命名方案来自于Crusis
也许这一年中，最突出的一个模仿者是Polyglot（又叫做MarsJoke），它完全模仿了CTB-Locker的外观和文件处理方法。
在2017年，这些趋势预计将会继续增加。
GReAT，2017年威胁预测：随着人气的不断攀升，以及罪犯进入这个领域较低的门槛，我们很可能会遇到越来越多的”勒索软件“，并且缺乏质量保证，或综合的编码能力去履行承诺。
三、蓬勃发展的勒索软件经济
1、Raas的增长
虽然勒索软件即服务不是一个新趋势，但在2016年，随着越来越多勒索软件创造者“按需”提供他们的恶意产品，这一传播模型继续不断发展。这种方法已经证明对那些缺乏技能，资源或者自我发展意愿的人非常有吸引力。
出现在2016年，并使用这个模型的勒索软件的例子是Petya/Mischa 和Shark，它们在随后更名为Atom。
这种商业模式越来越复杂：
Petya勒索软件的合伙网站
合伙人常常会达成一个基于佣金的约定，比如，根据Petya的佣金分配表格，如果一个合伙人在一周内做到了125个比特币，在分配佣金后，他能拿走106.25比特币。
当然还会有一个初始费用，比如，如果有人想用Stompado勒索软件，需要支付39美元。
与其他罪犯用垃圾邮件、勒索信件等方法相比，对于一个有抱负的攻击者来说，这并不难。
2、从基于佣金的网络，到客户帮助和品牌化
最“专业”的攻击者会提供给受害者帮助平台和技术支持，指导他们通过购买比特币来支付赎金，有时甚至是公开协商。每一步都会进一步鼓励受害者去支付赎金。犯罪分子提供客户帮助，以确保更多的受害者支付赎金。
此外，卡巴斯基实验室的专家在巴西研究勒索软件时注意到，对于许多攻击，勒索软件的品牌化是一件重要的问题。那些寻找媒体关注和客户恐惧的勒索软件会选择高调、名人的主题或产品广告噱头，而那些更关心留在雷达下的勒索软件，会放弃名声的诱惑，让他们的受害者面对的只是用一个电子邮件联系的坏人，和一个比特币地址支付。
3、仍然和比特币有关
纵观2016年，最流行的勒索软件家族仍然喜欢用比特币作为赎金。大多数勒索软件要求的赎金并不是非常多，平均在300美元左右。尽管有一些被指控付了很多。
另外，特殊地区和传统操作方式下，经常会有适合当地的付款方式–尽管这也意味着他们不再能够隐藏在大庭广众之下、隐藏在从多其它的勒索软件之中。
四、勒索软件将它们的武器对准了商业领域
在2016年的头三个月，17%的勒索软件对准的是企业目标—这相当于每2分钟就有一次针对商业活动的攻击。在第三季度末，这个数据增加到了23.9%，每40秒一次。
根据卡巴斯基实验室的研究，在2016年，勒索软件的攻击造成的结果是，五分之一的全球企业遭遇了IT安全事件。
42%的中小型企业在过去的12个月中遭受了勒索软件的攻击。
他们中的32%支付了赎金。
五分之一的从来没有取回他们的文件，即使是已经支付了赎金。
受勒索软件影响的用户中，67%失去了部分或全部的企业数据—其中四分之一的用户花了数周的时间试图恢复访问。
社会工程和人为错误仍然是企业安全漏洞的关键因素。在数据丢失案例中，有五分之一都是由于员工的疏忽和意识薄弱造成的。
我们看到更多有针对性的勒索，罪犯用已经掌握的有价值的目标数据，周密挑选目标、并对目标进行精心的钓鱼攻击。
一些工业领域比其他领域更难攻击，但我们的研究表明，所有的这些都处于风险中。
勒索软件的攻击，成为头条新闻
医院成为一个主要目标——由于操作被取消这个潜在的毁灭性影响，患者越来越多转移到其医院。
1.最臭名昭著的一个例子是发生在三月份，一个勒索软件攻击了洛杉矶好莱坞长老会医疗中心，并锁定了计算机，直到医院支付了17000美元的赎金。
2.几周之内，多家德国医院也发生了同样的攻击。
3.在英国，2016年，有28个国家卫生服务信托基金承认被攻击。
桌面托管和云提供商VESK在九月份被攻击后，支付了大约23000美元的赎金，用来恢复他们的一个系统。
重要的媒体 在2016年3月，包括纽约时报、BBC、AOL，都遭到了携带勒索软件的恶意软件的攻击。
加拿大卡尔加里大学，一个研究中心，他们承认已经支付了约16000美元，用来恢复被加密了一个星期的电子邮件。
马萨诸塞州的一个小警察局，在一名警官打开了一个有病毒的邮件附件后，为了取回重要案例的相关数据，最后支付了500美元的赎金（通过比特币），
即使是赛车运动也被攻击：在四月份，TeslaCrypt的攻击，造成一个全国汽车比赛协会的赛车队，面临价值数百万的数据丢失。
五、反击
1、通过技术
最新版本的卡巴斯基实验室产品，已经为中小企业加强了反cryptomalware的功能。另外，一个新的、免费的反勒索工具，已经可以被所有企业下载并使用，不论他们使何种安全方案。
卡巴斯基实验室的企业反勒索工具，是一个'轻量'的解决方案，可与其他杀毒软件共存。该工具使用了两个组件，用于早期探测木马程序：分布式卡巴斯基安全网络和系统监控，能够监控应用程序的活动。
卡巴斯基安全网络，通过云端快速检测文件和网站URL的危险性，同时系统监控会监测程序的形为，对未知版本的木马，提供主动防御保护。最重要的是，这个工具可以备份那些由可疑应用打开的文件，如果程序行为造成了文件前后的变化，那证明这可能是恶意程序。
2、通过协作：没有赎金的倡议
在2016年7月25日，荷兰国家警察，欧洲刑警组织，英特尔安全部门和卡巴斯基实验室，共同宣布推出没有更多的赎金项目—–这是一个非商业的倡议，联合公众和私人组织，目的是告知那些被勒索的人，并帮助他们恢复数据。
目前，这个门户网站中有8款解密工具，其中的5款由卡巴斯基实验室制作。这些工具能恢复超过20种cryptomalware的加密数据。迄今为止，已经帮助超过4400个受害者恢复了他们的数据—并节省了150万美元的赎金要求。
在10月，另外13个国家的执法机构加入了这个项目，包括：波斯尼亚和黑塞哥维那，保加利亚，哥伦比亚，法国，匈牙利，爱尔兰，意大利，拉脱维亚，立陶宛，葡萄牙，西班牙，瑞士和英国。
欧洲司法和欧盟委员会也支持该项目的目标，并预计，更多的来自私营部门和执法部门的合作伙伴将很快公布。
3、面对勒索软件，如何保持安全。
1）定期备份数据。
2）使用一个可信赖的安全方案，并保持主要功能—如开启系统监控。
3）在你使用的所有设备上，始终保持软件更新。
4）来自你不认识的人的邮件附件，一定要小心，如果有可疑的地方，不要去打开它。
5）如果你是一个企业，你应该教育你的员工和IT团队; 始终保持敏感数据分开; 限制访问; 并备份一切。
6）如果你很倒霉，成为了一个受害者，有数据被加密，不要惊慌。用一个干净的系统来检查我们“没有更多赎金网站”; 你可能会发现一个解密工具，可以帮助你取回你的文件。
7）最后，但并非不重要，记着勒索是一个犯罪行为，要将这报告给当地的执法机构。
“我们主张，人们要举报攻击行为。每一位受害者手里的重要证据，都会提供重要的线索。作为回报，我们可以让他们了解，并保护他们避免第三方给他们“提供”数据解密。但是，我们需要确保更多的执法机构知道如何处理数字犯罪“。 ——Ton Maas, 荷兰国家高科技犯罪部门数字团队协调员
4、来自荷兰国家高科技犯罪部门的建议，为什么你不应该支付
你会成为一个更大的目标。
你不能信任罪犯—你可能永远无法取回你的数据，即使你支付了赎金。
你的下一个赎金可能会更高。
你要鼓励罪犯。
六、我们与勒索软件的战斗能胜利吗？
我们相信我们可以，但只有通过共同努力。勒索是一个利润丰厚的商业犯罪。为了让它停止，世界需要团结起来，去破坏犯罪分子的食物链，使他们的攻击越来越难以实施、越来越难以从攻击中获得利润。
原文PDF【传送门】
评论