勒索软件流行态势分析 2023年2月勒索软件传播至今，360反勒索服务已累计接收到上万勒索软件感 染求助。随着新型勒索软件的快速蔓延，企业数据泄露风险不断上 升，勒索金额在数百万到近亿美元的勒索案件不断出现。勒索软件 给企业和个人带来的影响范围越来越广，危害性也越来越大。360 全网安全大脑针对勒索软件进行了全方位的监测与防御，为需要帮 助的用户提供360反勒索服务。 2023年2月，全球新增的活跃勒索软件家族有:Masons、DoDo、 Vendetta、Medusa等家族。其中Vendetta和Medusa是本月新增 的双重勒索软件。Medusa勒索软件本月在暗网公布的受害者数量已 多达19个，主要针对能源，金融、医疗和交通运输等基础设施行业 发起勒索攻击。 以下是本月值的关注的部分热点： 1.数十家企业中招！360发布Paradise勒索软件预警。 2.ESXiArgs勒索软件针对全球VMwareESXi服务器发动大规模攻击。 3.Lockbit勒索软件团伙声称对“皇家邮件”发动网络攻击。 4.HardBit要求受害者提供保单详情以指定最佳勒索金额。 基于对360反勒索数据的分析研判，360数字安全集团高级威胁研 究分析中心(CCTGA勒索软件防范应对工作组成员）发布本报告。感染数据分析 针对本月勒索软件受害者所中病毒家族进行统计：phobos家族占比23.59%居首位，其次是占比17.25%的 TargetCompany(Mallox)，BeijingCrypt家族以10.21%位居第三。前三大家族占比超50%，均为过往的流行家 族。 在本月初，Paradise勒索软件家族通过老版本向日葵软件漏洞下发攻击。 对本月受害者所使用的操作系统进行统计，位居前三的是：Windows10、WindowsServer2008以及 WindowsServer2012。 2023年2月被感染的系统中桌面系统和服务器系统占比显示，受攻击的系统类型仍以桌面系统为主。 勒索软件情况分析 数十家企业中招！360发布Paradise勒索软件预警 360安全大脑监测到，有黑客团伙正在利用向日葵远程控制软件漏洞CNVD-2022-10270发起攻击，向目 标机器投递Paradise勒索病毒。 此次攻击最早发生于2023年1月30日，目前仍在持续，根据360安全大脑的监测数据，攻击者对网络中 暴露的向日葵远程控制软件进行大范围扫描，并对存在漏洞的向日葵远程控制软件发起攻击，目前已经有 数十个目标被攻破并被投递勒索病毒。 受害用户的向日葵远程控制软件日志显示，攻击IP：45.77.29[.]56对目标发起攻击，利用漏洞尝试执行多 种恶意命令，这些恶意命令用于下载执行Paradise勒索病毒并将其写入启动项。此外，攻击者还会向机器 投递“永恒之蓝”漏洞利用工具，尝试使用该工具在内网横向移动。此次攻击所使用的勒索病毒和黑客工具均部署在域名upload.paradisenewgenshinimpact[.]top下。 受害用户向日葵远程控制软件日志 攻击发生时进程树 ESXiArgs勒索软件针对全球VMwareESXi服务器发动大规模攻击 近期，大量攻击者对VMwareESXi服务器发起攻击，利用两年前被公布的ESXi远程代码执行漏洞来部署新 的ESXiArgs勒索软件，此外新型勒索软件Royal也加入到了这一轮针对ESXi服务器的攻击当中。本轮攻击 所利用的漏洞为CVE-221-21974，该漏洞因OpenSLP服务中的堆溢出现问题而引起，未经验证的攻击者可 以轻松利用该漏洞进入用户的服务器系统。 受此漏洞影响的ESXi版本为： ESXiversions7.xpriortoESXi70U1c-17325551 ESXiversions6.7.xpriortoESXi670-202102401-SGESXiversions6.5.xpriortoESXi650-202102101-SG 因此，VMware公司向其客户发出安全警告，提醒用户安装最新的安全更新，并禁用OpenSLP服务。此外， VMware公司还补充说明此次攻击并没有利用未知的0day漏洞，而2021之后发布的ESXi软件版本则已经 默认禁用了OpenSLP服务。 另外，美国网络安全和基础设施安全局（CISA）也公布了针对此次攻击的修复脚本，用于修复被破坏的ESXi 虚拟机环境。 Lockbit勒索软件团伙声称对“皇家邮件”发动网络攻击 LockBit勒索软件组织近期声称对英国的邮件递送服务公司RoyalMail受到的网络攻击负责。受害公司也表 示因“严重服务中断”而被迫停止其国际航运服务。 此前，该LockBit勒索软件团伙曾声称其并没有攻击RoyalMail。相反，他们将攻击行动归咎于其他团伙使 用了其2022年9月在Twitter上泄露的LockBit3.0勒索软件生成器所自行生成的勒索软件。 但近期LockBitSupp却又在一个俄语黑客论坛上发布帖子确认，LockBit确实是此次攻击的幕后黑手——是 他们的一个分支机构在RoyalMail的系统上部署了该团伙的勒索软件。此外该团伙代表还补充说，他们只 会提供一个解密器，并在支付赎金后删除从RoyalMail网络窃取的数据。HardBit要求受害者提供保单详情以指定最佳勒索金额 HardBit家族勒索软件2.0版运营者将其勒索思路从直接勒索受害者转换为从受害者的保险公司获得勒索赎 金。 具体方案是：攻击者试图说服受害者告知其为数据或设备所购买的保险详情，并以此为依据来调整他们的 赎金要求，以便让保险公司来承担所有赎金费用。 根据分析，HardBit勒索家族最早被捕获于2022年10月，而其2.0版则于2022年11月推出，该版本目前 仍处于活跃状态。而与现下主流的勒索软件家族不同的是，目前尚未发现HardBit的数据泄露站点——尽 管其运营团队曾声称窃取了受害者数据并威胁要将这些数据泄露。 而该家族的攻击者则建议受害者不要与中间商合作以徒增支付成本。但对于购买了网络攻击相关保险的受 害者，黑客则会有针对性地引导他们披露其所购买的保险金额。更重要的是，黑客还试图将保险公司描绘 成阻碍恢复数据的坏人，同时让受害者认为分享保单内容对自身更为有利。黑客信息披露 以下是本月收集到的黑客邮箱信息： CryptedData@tfwno.gf damavand@cock.li unusualsituation@tutanota.com torres@proxy.tg guan_yu@jabber.systemli.org guan.yu@xmpp.jp samsamsa@tuta.io pm24@tuta.io idostuff@protonmail.com hardwork10@protonmail.comCyber@tfwno.gf hardwork10@tutanota.com fireco@onionmail.com leljicok@gmail.com kkizuko@yandex.com RootOpen@airmail.cc firecorecoverfiles@msgsafe.io @firecorecoverfiles Restdb@tutanota.com RESTDB@my.com @AresDatabase mantis1991@onionmail.org emeraldcrypt@tutanota.com emeraldcrypt@onionmail.org angry_war@protonmail.ch mantis1991@tuta.io gameovercreation@cock.li allisonmartin813@cock.li msupport2019@protonmail.comsunhuyvchay@tutanota.com brittonucgm147@gmail.com allisonmartin813@yahoo.com friendendfriend@cock.li yashinkov007@tuta.io msupport@elude.in decryptyourfiles007@cock.li crioso@protonmail.com regina4hgoregler@gmx.com pansymarquis@yahoo.com anygrishevich@yandex.ru wiruxa@airmail.cc yongloun@tutanota.com trustdatanswer@tutanota.comkassmaster@danwin1210.me kassmaster@tutanota.com avarious@protonmail.com willettamoffat@yahoo.com uspex1@cock.li filescrp@yandex.ru uspex2@cock.li filescrp@420blaze.it kd8eby0@onionmail.org udacha123@mail2tor.com kd8eby0@nuke.africa conkichinmodl@conkichinmodl.c om kd8eby0@inboxhub.net russellveeh@yahoo.com sendr@onionmail.org conkichinmodl@gmx.com @udacha123yes nergontr96@cyberfear.com mail4restore@swismail.c