新型勒索软件趋势：劫持活动目录，而非加密数据

原创

卡巴斯基
卡巴斯基

卡巴斯基威胁情报

2026年10月16日 11:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

今年 4 月，我方专家对 PAYLOAD 攻击活动展开调研。该攻击的施压手段并非数据加密，而是利用恶意的活动目录组策略对象。

许多企业仍然害怕勒索软件攻击。但如今这一威胁是否还具有同等的影响力？几年前，在勒索软件泛滥的高峰期，“勒索软件”这个词几乎等同于对数据的恶意加密。但实际上，阻断信息访问长期以来更多只是一种象征性手段。在Securelist五月份一篇关于勒索软件威胁形势变化的文章中，我们的专家指出，2026年，攻击者越来越少地通过加密企业数据来索要赎金。这里有一个很有代表性的案例：卡巴斯基全球应急响应团队（GERT）在调查一起安全事件时，发现了PAYLOAD勒索活动，该活动的攻击者甚至懒得使用勒索软件，而是选择了另一种攻击方式。

在这起攻击活动中，攻击者没有使用勒索软件，而是夺取了活动目录环境的控制权，并创建了恶意组策略对象（GPO）。他们借助该对象在工作站部署勒索通知、更改壁纸、锁定屏幕，还设置了系统登录时显示的警示横幅。与此同时，他们还禁用了本地管理员账户。通过这些操作，攻击者可以在被入侵的基础设施中宣示自己的存在，并证明已经获取机密信息，效果和数据加密不相上下。关于该事件的详细信息以及入侵指标，可查阅同一篇Securelist文章。不过，我们更为关注的是攻击者放弃加密手段这一趋势。

数据加密为何已不再具有实际意义

首先要明确一个事实：在一家有数千台电脑被感染的大型企业中，解密数据是一项极其耗费人力的工作。很大程度上由于大规模勒索软件攻击的出现，从备份中恢复数据已经成为常规手段，这种方式远比坐等犯罪分子交出密钥、寄希望于密钥真实有效，以及赌勒索软件本身不存在会导致数据永久无法恢复的程序漏洞要稳妥得多。久而久之，网络犯罪分子发现，想要靠解密密钥拿到赎金变得越来越困难。

攻击者试图适应这种形势变化。除加密操作外，他们越来越多地窃取机密数据，并威胁对外公开这些数据。机密信息一旦泄露，企业的声誉、安全状况以及商业合作伙伴的安全都会遭受威胁。如果泄露的数据包含民众个人信息，情况会更为严重：全球有超过140个国家制定了数据保护相关法律，数据泄露会让机构面临高额罚款的巨大风险。有时候，这种后果远比单纯的数据丢失更可怕，而备份对此无能为力。

在攻击者看来，数据窃取还有另一项优势：相比恶意软件行为，它通常更难被检测。例如，文件加密会引发磁盘活动激增，终端防护工具能够较快捕捉到该异常。与之相反，数据窃取很容易伪装成正常网络流量。ShinyHunters组织正是利用了这一点，围绕标准OAuth机制构建攻击。除此之外，如果攻击者不进行加密操作，窃取数据的速度会大幅提升，这也让威胁更难被及时发现。

于是，加密操作变成了一种名片——用来证明攻击者已经获取数据。因此，网络犯罪分子最终决定，直接舍弃这个可选步骤。

企业应当采取的举措

标准的网络安全卫生措施有助于防范各类勒索手段，无论这类勒索是否涉及加密操作：

• 执行定期自动备份。将备份存储在物理介质与云端两种载体上，企业就无需担心业务运营遭受严重中断。毕竟，从备份恢复所需的停机时间，与丢失全部数据带来的后果相比不值一提。
• 及时安装补丁与更新。对于攻击者而言，漏洞仍是入侵基础设施的主要入口之一。为降低风险，建议为操作系统、软件及驱动程序设置自动化更新管理。同时需要定期扫描系统安全隐患，对发现的漏洞进行分级处理，重点关注高危漏洞。专业的漏洞管理解决方案可辅助完成这项工作。
• 强化终端防护。为基础设施内的所有系统启用多因素认证，并部署可靠的工作站与服务器安全方案。安全信息与事件管理（SIEM）或终端检测与响应（EDR）方案能够帮助安全人员全面掌握事件动态，快速处置安全事件。
• 监控外部边界。定期检查企业基础设施（服务器、数据库、云资源以及旧有子域名），排查暴露在互联网上的开放端口与服务。
• 遵循最小权限原则。即仅为用户、系统和进程分配完成工作所必需的访问权限。收回闲置权限，并彻底注销离职员工的访问权限。
• 投入员工培训。攻击者仍会利用人为因素入侵企业基础设施。提升员工的威胁防范意识，可避免他们遭受钓鱼攻击。