距离2021年结束还有不到两个月的时间了，勒索软件攻击已成为2021年让全世界陷入恐惧的最大安全威胁之一。对此，韩国近期发布《应对勒索软件的安全信息系统备份指南(修订本)》，旨在帮助韩国企业制定信息系统备份的措施来应对勒索软件攻击。本《指南》中分析了勒索软件攻击者最常用的4种破坏数据备份的技术，值得安全行业人士的关注。
图片来源于韩国安全新闻网站
勒索软件攻击成为2021年全球最大的安全威胁
根据韩国互联网振兴院发布的资料显示，勒索软件攻击在全世界范围内呈上升趋势。2021年发生的勒索软件攻击损失额与2020年相比增加了102%，其金额高达约22万亿韩元。以韩国国内为例，2019年向KISA申报的勒索软件案件有39起，但2020年激增了2倍多，达到127起。截至今年上半年，已经申报的勒索软件案件78起，造成的损失也呈上升趋势。受影响的行业正向能源、食品、IT、制造、服务和运输等领域多元化发展。
现如今，勒索软件是最具代表性的网络攻击类型之一。一旦受到勒索软件破坏就很难恢复。最重要的是，最近网络攻击者通过勒索软件攻击，不仅加密数据，还以泄露企业内部信息为由进行威胁，对提供网络服务的企业更是追加进行分布式拒绝服务(DDoS)攻击。过去，勒索软件是以对特定电脑的一次性感染和解密为代价来换取赎金的“临时攻击”，但最近勒索软件攻击正在向高级可持续威胁攻击(APT)形态进化，即经过长时间的前期工作(信息泄露、散布恶性代码等)后，同时实施多发性攻击致使整个系统瘫痪。
勒索软件攻击已超越攻击个人电脑的范围，扩大到企业系统、社会基础设施、生活必需产业等各个领域，并逐渐接近普通民众也能够感受到的领域。特别是，随着越来越多的企业为应对攻击而进行数据备份，出现了通过信息泄露、DDoS攻击等手段进行“三重威胁”的现象。
以美国为例，今年因科洛尼尔管道运输公司遭勒索软件攻击导致美国东部部分地区一度出现燃料供应中断及油价上涨;全球最大的肉类供应商JBS为了修复勒索软件造成的损失向勒索软件攻击者支付了1100万美元赎金;在IT领域，发生了针对美国IT解决方案企业Kaseya的勒索软件攻击等。这些攻击给社会和民众造成了巨大损失，因此被归类为严重的安全案件。
当然，韩国在勒索软件攻击面前也未能幸免。针对韩国国内车辆零部件制造企业、配送平台、海运公司船舶的主机电脑等各领域的勒索软件攻击不断发生。未来，如果发生对智慧城市或智能电网等社会基础设施的勒索软件攻击，人们的日常生活可能会陷入瘫痪。
《应对勒索软件的安全信息系统备份指南(修订本)》封面 (图片来源于互联网)
韩国近期发布《应对勒索软件的安全信息系统备份指南(修订本)》
近年来，针对韩国企业的勒索软件攻击呈上升趋势。尤其是针对网络技术和安全基础设施与大型企业相比较弱的中小企业的攻击更为明显。根据韩国互联网振兴院(KISA)公布的各规模企业发生网络侵害事件的统计数据来看，受害公司总数的 98% 是中小企业，与大型企业2%的占比相比，这是一个压倒性的数字。因此，缺乏资源或专业知识的中小型企业因无力保护企业数字资产免受网络威胁，而更容易受到勒索软件等网络攻击的影响。
在此背景下，近期韩国科学技术信息通信部(以下简称韩国科技信通部)和韩国互联网振兴院联合发布了《应对勒索软件的安全信息系统备份指南(修订本)》(以下简称《指南》)，引起了韩国企业的极大关注。由于数据备份被公认为是能够最大程度减少勒索软件损失的最有效手段，因此，此次发行的指南有望帮助许多企业，特别是中小企业制定信息系统备份措施来应对勒索软件攻击。
本指南介绍了中小企业或服务规模较小的公司所需的信息系统备份系统的建立方法和操作流程。此外，《指南》还为保护备份数据免受恶性代码和勒索软件等外部环境的网络攻击威胁提供了保护措施，并为构建适合中小规模企业环境的信息系统备份提供了指南。
在内容方面，《指南》首先定义了备份组织和作用，解释了备份的程序和安全管理的程序，以便备份组织能够系统地进行备份和安全管理。此外，《指南》还介绍了必要的应对程序，以便在感染恶意代码和勒索软件攻击时企业能够迅速做出响应。
在构建备份系统章节，介绍了企业普遍使用的备份系统配置方法以及预防感染勒索软件攻击的配置方法。在备份策略章节，介绍了各种备份方法以及适用于中小企业的备份策略。最后，在备份系统安全策略章节，还对防止勒索软件等网络攻击所需的备份系统的安全注意事项进行了说明。
(韩国科技信通部和韩国互联网振兴院联合发布的《应对勒索软件的安全信息系统备份指南(修订本)》PDF原文及机翻全文，已上传三正知识星球，可按照文末提示方式获取。)
图片来源于韩国安全新闻网站
勒索软件黑客用来破坏数据备份的四种技术
过去，勒索软件攻击大多是以不特定的个人电脑为对象，通过加密数据并要求支付赎金的方式完成的。但是，最近勒索软件将能够支付高额赎金的大型企业作为主要攻击目标，攻击方式也不仅局限于加密数据，而是以数据泄露后将向互联网公开为由进行威胁，迫使受害个人或企业交纳赎金，其攻击方式不断发生演变。这种攻击方式的变化，是因为个人或企业将数据备份作为勒索软件的应对策略进行了强化，很难再通过数据加密来获得收益。
如果您不能100%防止感染勒索软件攻击，数据备份可能是最有效的应对策略。据悉，由于这种应对策略，勒索软件攻击者正在千方百计为破坏数据备份而进行不懈努力。据韩国互联网振兴院方面表示，最近勒索软件攻击者不仅对本地或共享驱动器上的备份数据进行加密，甚至通过定位和感染基于特定系统的备份数据(例如有针对性的攻击)的方法，来瘫痪备份系统。
因此，研究分析勒索软件攻击者主要使用的数据备份破坏技术，并为各企业制定应对这种攻击技法的策略是非常重要的。《指南》的第一章概要部分介绍了勒索软件攻击者最常用的4种破坏数据备份的技术，现总结如下：
- 一是删除卷影副本。勒索软件通过删除Windows 系统自带的备份功能卷影复制(VSC，Volume Shadow Copy)来阻止恢复以前的数据文件。
- 二是加密网络共享备份。部分备份解决方案使用解决方案的默认文件夹名称来备份网络共享路径中的数据。勒索软件攻击者在企业网络中寻找这些备份文件夹，并将它们一同加密。
- 三是恶意利用备份解决方案。备份解决方案一般使用自己的应用程序编程接口(API)来管理企业内部的数据备份。攻击者使用窃取的凭证或漏洞访问备份管理API，并利用它来删除或加密备份。
- 四是诱导备份损坏数据。普通的勒索软件在初次入侵后会立即对数据进行加密，但最近一些勒索软件会秘密渗透到内部网络并破坏数据，等到不完整的数据被备份后，再对原始数据进行加密。这样，由于备份数据已经受损，因此数据无法恢复正常。
对于数据备份，韩国科技信通部和韩国互联网振兴院方面强调：“勒索软件是以谋求金钱利益为目的而出现的，并且创收的可能性已经被证明，预计未来还会持续发生勒索软件攻击，并且攻击方式也会不断改进。对此，作为最有效的应对措施就是数据备份，特别是企业需要考虑一个不会失败的数据备份策略至关重要。”
