Wiper 攻擊：關鍵威脅、範例與最佳實務

在當今的數位環境中，網路威脅正以極快的速度演變，迫使組織保持警戒並主動因應。在這些威脅之中，wiper 攻擊是其中一種陰險的網路犯罪形式。這類攻擊專門清除資料並擾亂營運。雖然其某些變種傾向於透過將資料加密作為人質來獲取財務利益，但 wiper 攻擊的目的在於不可逆地摧毀有價值的資訊。這種破壞性的意圖可能對相關組織造成重大損害，使其面臨巨大的營運挫折與復原壓力。

資料抹除攻擊的後果不僅僅是純粹的資料遺失，有時還會造成聲譽損害、客戶信任流失，以及金錢層面的影響。由於企業會面臨長時間停機、智慧財產流失與法律後果，因此對業務的衝擊可能相當嚴重。在當今全球網路環境中，組織與個人都必須了解資料抹除攻擊是如何執行的、其影響會呈現何種樣貌，以及如何加以防範。如此一來，利害關係人便能了解如何做好更充分的準備，以抵禦這些由極具破壞性的網路攻擊所帶來的風險。

Fortinet 的研究人員最近分析了 2022 年下半年的攻擊資料，並觀察到威脅行為者在該年第三季與第四季之間使用 disk wiper 的情況驚人地增加了 53%。本文將探討 wiper 攻擊的各個面向，包括其定義、歷史範例、運作方式，以及預防與復原的最佳實務。

什麼是 Wiper 攻擊？

Wiper 攻擊是涉及 惡意軟體 的惡意網路事件，這類惡意軟體是專門為了抹除系統中的資料而建立。資料破壞可能小至刪除個別檔案，而重大事件則可能損毀整個資料庫，並使任何關鍵資訊完全無法使用。這些攻擊通常鎖定在高風險產業中營運的組織，以製造混亂、干擾營運，並造成長期損害。

這樣的打擊可能帶來嚴重影響，因為重要資訊的遺失會使業務流程停擺、損害客戶信任，並帶來規模極大的復原困難。

為什麼 Wiper 攻擊如此危險？

Wiper 攻擊的危險性在於其能夠造成即時且永久性的傷害。由於重要資料會被抹除，攻擊者很可能會使組織內部的營運完全癱瘓、降低生產力，並造成代價高昂的停機事件。這與勒索軟體不同，後者仍可能透過某種金錢支付來取回遺失資料，但 wiper 攻擊似乎會將這種機會徹底抹去。

這對資料完整性有極大影響，也會破壞業務持續性，因為組織在遭受此類攻擊後將無法有效運作。除了可能帶來財務影響之外，對員工與利害關係人造成的心理衝擊，也使 wiper 攻擊在網路安全領域中特別具有威脅性。

重大 Wiper 攻擊的歷史

了解重大 wiper 攻擊的歷史，能清楚看出其如何演變為對組織日益嚴重的威脅。這些事件展現了 wiper malware 威脅的毀滅性潛力，而其案例也凸顯出採取強大網路安全措施的必要性。

以下是一些塑造網路安全版圖的重要 wiper 攻擊：

1. Shamoon (2012): 這是最早且最知名的擦除型攻擊之一，目標鎖定國有石油公司 Saudi Aramco。在此次事件中，數千台電腦上的資料遭到摧毀。該惡意軟體迅速在組織網路中傳播，以清除關鍵資料，並使營運系統無法運作。該公司的營運不僅受到干擾，還必須投入大量復原工作，重建公司的整體 IT 基礎架構。Shamoon 的影響如此重大，以至於成為資安領域的一個警醒時刻，讓各組織意識到自己也可能遭受類似的敵對與破壞性行動。
2. NotPetya (2017):曾偽裝成勒索軟體的 NotPetya，很快就被證實是歷史上最具破壞性的網路攻擊之一。儘管它當時主要針對因地緣政治緊張局勢而成為目標的烏克蘭企業，但其破壞性酬載波及全球，攻擊多個國家的企業。它確實刪除了許多系統中的資料，並使許多組織陷入癱瘓，因而造成數十億美元的損失。這次攻擊釋放了資料抹除型惡意軟體在全球層級摧毀基礎設施的惡意能力，鎖定關鍵基礎設施的部分環節，並擾亂全球供應鏈。其後續影響已成為對全球各地組織的警鐘，讓人們意識到網路戰爭驚人的影響範圍。
3. WhisperGate (2022):作為這些地緣政治緊張局勢的一部分，WhisperGate 將攻擊重點放在烏克蘭組織，使用會刪除敏感資訊與關鍵服務的 wiper 惡意軟體。不僅此次攻擊發生得恰逢其時，而且也具有明確意圖。在衝突升高的時期，這些使用 wiper 惡意軟體的攻擊所造成的不只是資料毀損，還會摧毀公眾信心並擾亂政府運作。WhisperGate 界定了網路戰如何與政治對抗相互關聯的範疇。在這種時刻，wiper 攻擊被用作實現更廣泛戰略目標的工具。此次攻擊的影響，明確呼籲在快速變化的威脅面前加強網路安全防護，並推動國際合作以防止此類攻擊。
4. Dustman (2019): Dustman 針對 Bahrain National Oil Company，透過以隨機資料覆寫受感染電腦上的檔案，實際上清除了其資訊，其原則與伊朗國家支持的威脅行為者有關。這顯示出民族國家可能會將 wiper 惡意軟體作為影響力工具，或用於經濟破壞目的。Dustman 攻擊鎖定的關鍵產業是石油生產，因此它展現了 wiper 惡意軟體擾亂關鍵服務的能力，並突顯此類網路行動背後的地緣政治動機。藉由此事，它證實了這樣的觀察：在關鍵基礎設施產業中經營業務的組織，有理由持續保持警覺，並且或許應在其網路安全態勢方面採取更主動的作法，以防範與國家支持攻擊相關的所有風險。

Wiper 攻擊與勒索軟體

雖然勒索軟體與 wiper 攻擊都可能極具破壞性，但兩者在根本原理上有所不同，而理解這種差異，對組織制定其網路安全策略時可能扮演重要角色。

• 勒索軟體: 勒索軟體是一種惡意軟體，其運作方式是加密受害者的資料，使其在向攻擊者支付贖金之前無法存取。勒索軟體主要是一種出於財務動機的攻擊，通常在付款後會提供解密金鑰。企業面臨非常艱難的決定：支付贖金並希望能夠恢復資料，或完全不支付並承擔資料永久遺失的風險。雖然勒索軟體攻擊具有破壞性且會造成營運中斷，但有時仍可透過適當的備份，甚至與攻擊者協商，獲得資料取回的機會。
• Wiper 攻擊：清除式攻擊旨在不可逆地清除或刪除資訊，且無法復原。在大多數情況下，清除式攻擊並非為了財務利益，而是為了製造混亂、干擾營運，或對組織造成長期影響。透過刪除這類關鍵資料，攻擊者會癱瘓組織營運，並帶來高風險的昂貴停機與業務中斷。相較之下，清除式攻擊主要著眼於直接摧毀有價值的資訊，而勒索軟體則主要依賴勒索金錢。因此，在資料完整性具有高度價值的環境中，這類攻擊的危害更大。

Wiper 攻擊如何影響業務持續性

Wiper 攻擊也會嚴重影響企業的持續營運，因為它會干擾作業並造成長時間停機。此類攻擊的直接後果通常會以多種方式呈現：

• 營運中斷：當關鍵資料遭到刪除時，組織將面臨無法存取重要資訊的情況，進而導致生產力停擺。這不僅會造成手邊任務中斷，也會影響其他業務功能，導致專案延遲並影響整體工作流程。依賴共享資料的部門將受到影響，因為某一部分的延遲會在整個組織中產生連鎖效應。行銷團隊可能無法啟動其行銷活動，而財務部門則可能在處理部分交易甚至薪資發放時遭遇困難。
• 財務損失：由 wiper 攻擊造成的財務損失極為龐大。資料復原、系統重建以及強化 IT 支援所產生的成本會成為沉重負擔。此外，組織因 wiper 攻擊而損失的時間，等同於未能取得的營收與生產力，進一步加重其財務資源的壓力。企業也會產生不必要的成本，因為必須聘請外部資安分析師來分析入侵事件並將系統恢復至可運作狀態。在極端情況下，wiper 攻擊的成本可能高達數百萬，尤其是對大型組織而言，損失的每一分鐘都可能轉化為數十萬美元。
• 客戶信任受損: 在當今競爭激烈的市場中，客戶信任極其寶貴。因 wiper 攻擊導致的資料遺失，可能會讓客戶對組織及其安全措施的可靠性產生疑問與懷疑。此類損害對客戶商譽造成的結果，將包括客戶忠誠度下降、負面口碑，甚至失去未來潛在業務。例如，如果客戶擔心其資料可能不安全，他們可能會將業務轉向其他地方，進而造成長期營收損失。此外，為了消除此類影響而進行的公關工作，在過程中也需要投入大量資源與時間。
• 監管處罰：在受監管產業中營運的公司，當資料清除型惡意軟體摧毀資訊時，將面臨法律與監管方面的挑戰。違反機密性將引來監管機關，並導致罰款、法院訴訟及其他與合規相關的支出，這些都會構成攻擊對獲利的整體影響。監管機構也可能提高標準。這將導致對安全解決方案進行大量投資。焦點與資源將因此從核心業務活動轉移出去。
• 長期生存能力: 無法從 wiper 攻擊中復原，可能對組織的長期存續能力構成威脅。即使關鍵資訊因遺失而無法復原，策略決策也可能因此受損，進而限制成長潛力與整體營運效能。組織可能無法履行與客戶簽訂的合約或提供服務，因此危及其在業界的聲譽。有時，高度惡性的 wiper 攻擊可能極端到足以使公司完全停擺，因此凸顯這類惡意軟體所帶來的生死存亡威脅。

Wiper 惡意軟體的類型

Wiper 惡意軟體已被設計成可透過各種方式執行資料破壞，以符合不同的目標與目的。其中最常見的類型如下：

• 檔案 Wiper：其目的是刪除系統中的特定檔案或資料夾。鎖定特定文件可在不一定破壞整個系統的情況下製造混亂。這使攻擊者能夠策略性地鎖定對營運至關重要的檔案，其中可能包括專案文件或敏感報告。這可能妨礙組織運作的能力，且重建遺失資料可能需要大量時間與心力。
• 磁碟 Wiper：Disk wiper 會抹除整個磁碟機或分割區，徹底清除其中所有資料。由此造成的損害中，大量資訊將無法復原。對受害組織而言，其關鍵軟體應用程式與資料庫將失去作用，而且必須投入大量心力重新安裝軟體，並從備份中復原資訊（如果一開始就有備份的話），進而造成龐大的停機時間與營運挑戰。
• MBR Wiper：這些 wiper 會鎖定主開機記錄（MBR），這是儲存裝置的一部分，包含有關作業系統如何載入的資訊。一旦 MBR 遭到損毀，作業系統將無法開機，進而使機器無法使用。可能必須還原整個作業系統安裝，這意味著在時間與資源方面會有重大損失。如果有多台機器受到影響，系統故障的衝擊可能會被大幅放大，進而使復原工作更加複雜。
• 資料庫 Wiper：這類惡意軟體旨在破壞或摧毀資料庫中的項目。它會造成嚴重干擾，尤其是在依賴資料管理的組織中。資料庫中資訊的遺失會導致全面中斷，並使以資料為基礎的決策遭遇重大挫折。若企業依賴即時資料進行決策，其營運資訊與做出明智選擇的能力可能會受到嚴重削弱，進而導致代價高昂的錯誤與錯失機會。

除了這些特定類型的 wiper 惡意軟體之外，組織也必須留意像 scareware 這類威脅，這些威脅可能會透過欺騙使用者相信其系統已遭感染來加劇混亂，導致不必要的行動，進一步危及安全性。

Wiper 惡意軟體如何運作

Wiper 惡意軟體遵循多階段攻擊流程，其主要目的是透過抹除關鍵資料並癱瘓整個系統來造成最大損害。了解此機制有助於更有效地保護組織免受此類或其他惡意威脅侵害。

1. 初始感染：Wiper 惡意軟體會利用大量攻擊向量進入系統。最常見的是網路釣魚電子郵件，其中包含內嵌連結或附件，誘使使用者在不了解其作用的情況下下載。其他攻擊形式則包括透過可移除媒體傳播惡意軟體，例如 USB 隨身碟。安裝完成後，惡意軟體便可開始其無聲滲透。
2. 命令執行：惡意軟體安裝到系統後，會對敏感資料啟動一連串刪除或覆寫命令。在此情況下，它會系統性地刪除檔案、資料夾，甚至整個磁碟機。在某些較進階的案例中，它可能會操縱檔案系統中的資料結構或中繼資料，使資料無法復原。這種策略性執行的結果，是大量資料遭到清除且無法復原。
3. 規避技術：規避型惡意軟體通常會使用進階規避技術。例如，它可能會停用防毒軟體、修改系統日誌以移除其存在的跡象，或將其處理程序偽裝成真實的系統事件。因此，藉由模仿正常行為，它能在情況為時已晚之前避開偵測。這就是為什麼組織必須持續監控並主動採取網路安全措施。
4. 資料遺失：成功的 wiper 攻擊最終會造成災難性的資料遺失。一旦惡意軟體執行其刪除命令，檔案和系統可能會永久無法復原。這不僅是短期的暫時性干擾行動，還會帶來長期影響，因為組織將無法復原日常運作所需的關鍵資訊。其影響可能進一步導致生產力受阻、財務不穩定，甚至流失客戶。

如何偵測與防範 Wiper 攻擊

由於 wiper 攻擊天生傾向隱匿，偵測與預防往往相當困難。然而，組織可以採用強大的多層式方法來強化其防禦：

1. 定期備份：限制 wiper 攻擊影響的最佳方式，是維持定期且安全的備份。這可確保所有重要資料都能頻繁備份到安全的異地位置；因此，永久性資料遺失的可能性將降低。定期測試備份的完整性與可存取性，也能確保在攻擊後短時間內恢復運作。
2. 入侵偵測系統 (IDS)：應使用強大的 IDS 來追蹤網路流量，並識別可能屬於 wiper 攻擊的異常活動。IDS 能識別模式或異常情況，對入侵發出警示，讓安全團隊能在潛在威脅演變成重大問題之前進行檢查。也可投資採用機器學習的先進 IDS，以提升其偵測能力。
3. 安全意識訓練：教育員工了解潛在威脅，是任何網路安全策略中的關鍵組成部分。訓練計畫應涵蓋各種主題，包括識別網路釣魚企圖、了解未經請求下載的危險，以及推廣安全瀏覽習慣。具備充分認知的員工隊伍可作為關鍵防線，有助於防止 wiper 惡意軟體的初始感染點。
4. 定期安全稽核：定期對系統進行全面性的安全稽核，有助於識別並降低任何系統中可能存在的弱點。這將包括對技術控制與組織政策的分析，以確保安全措施能保持最新，並有效對抗新興威脅。主動識別弱點可降低遭遇 wiper 攻擊或其他網路威脅的風險。
5. 端點防護：重點在於實作進階的 端點防護 解決方案，以便在惡意活動危害系統之前進行識別與封鎖。包含行為式偵測與機器學習演算法的解決方案，能有效監控端點是否出現 wiper 惡意軟體跡象，從而提供額外安全保障。

從 Wiper 攻擊中復原的最佳實務

從 wiper 攻擊中復原的過程複雜且具挑戰性；然而，遵循最佳復原實務可協助組織以最小損害快速恢復營運。以下是一些關鍵的復原策略：

1. 立即隔離：一旦確認存在 wiper 攻擊，應立即將受影響系統自網路隔離。若移除受感染裝置與其他系統的存取，將可防止惡意軟體進一步擴散，並將資料遺失降到最低。這可能包括讓系統離線或停用其網路連線，以確保無法擴散。
2. 資料復原：一旦受影響系統已被隔離，就應開始進行資料復原。這通常是透過利用可存取的最新備份來還原遺失資料。凡是定期執行排程備份、將備份安全儲存並測試其完整性的人，都可能發現這些備份在此復原階段極具幫助。如果沒有備份，或備份也受到影響，企業可能幾乎別無選擇，只能尋求資料復原服務，但無法保證成功。
3. 鑑識分析：徹底的鑑識分析可讓相關組織了解此次攻擊的性質。這將涉及研究 wiper 惡意軟體的入侵過程、其利用的弱點，以及造成了哪些損失。這類資訊將有助於未來防範此類攻擊。此外，此流程也應包含事件文件化，以滿足合規與通報各方面的要求。
4. 溝通：讓利害關係人、客戶與員工充分了解資料抹除攻擊的問題非常重要。取得他們的信任有助於維持透明度與信任。讓利害關係人了解復原活動的狀態，以及其對客戶或服務的潛在影響，將會非常有幫助。因此，主動溝通是正面的做法，因為它可避免聲譽受損或任何其他損失，並透過可信的溝通展現對利害關係人的關切，表明組織嚴肅看待此事件。
5. 檢視並修訂事件回應計畫：對組織而言，復原過程也是檢視其 事件回應計畫 與流程的契機。此檢視將辨識出在回應事件時哪些做法成效良好，並找出需要改變的領域。藉此，組織在將經驗教訓整合至事件回應策略後，將能更妥善地應對未來任何威脅。
6. 強化安全措施：事實上，復原過程應促使安全性提升。此時可透過進階威脅控制來持續警戒這些威脅、採用多重要素驗證，以及為員工制定不同的訓練計畫。如此一來，將可協助組織避免未來的 wiper 攻擊與其他惡意網路攻擊。

了解 MBR Wiper 在網路攻擊中的角色

MBR wiper 是特別危險的一類 wiper 惡意軟體，因為其攻擊目標極為明確。當系統的 Master Boot Record（其儲存系統中的關鍵部分）遭到抹除時，攻擊可能使電腦無法運作。以下是組織應了解的 MBR wiper 相關事項：

1. 鎖定關鍵元件：Master Boot Record 對作業系統開機至關重要，因為其中包含磁碟分割區與作業系統載入程式的資訊。當 MBR wiper 攻擊這個關鍵區域時，可能會阻止系統開機，並使系統實際上停擺。這會造成重大的營運中斷與資料不可用。
2. 對復原的影響：從 Wiper MBR 攻擊中復原尤其有害且困難。由於 MBR 涉及開機程序，通常需要能修復或重寫受損 MBR 的特定復原工具或服務。有時這還涉及完整還原作業系統，進一步增加復原作業本身的複雜性。
3. 預防措施: 組織必須採取適當的防護措施，以避免 MBR wiper 攻擊。包含系統映像的排程備份，在發生 MBR wiper 攻擊時，可在復原節點上提供極大幫助。更新作業系統與應用程式，並搭配使用強大的端點防護解決方案，也有助於降低此類攻擊發生的可能性。安裝 IDS 並監控網路中的網路流量，也可能對潛在的攻擊事件發出警報。
4. 意識與訓練：提升 IT 人員與員工對 MBR wiper 的認知，有助於在組織中建立強大的防禦。整體而言，針對網路釣魚企圖與惡意附件對 IT 人員與員工進行訓練，可防止初始感染，因為這些往往是 wiper 惡意軟體最常見的入侵途徑。

結論

Wiper 攻擊已成為網路安全領域中相當重大且日益增長的威脅。Wiper 攻擊會對組織與使用者造成嚴重且無法修復的損害。這些惡意事件除了造成關鍵資料永久遺失外，還會擾亂營運、損害聲譽，並帶來龐大的財務損失。了解 wiper 攻擊的本質，對於制定因應不斷演變之網路威脅的網路安全策略至關重要。

由於 wiper 攻擊在形式上不同於大多數網路攻擊（包括勒索軟體攻擊），因此這種區別對於針對攻擊性質採取特定回應至關重要。wiper 攻擊可能對業務持續性造成重大影響。無法存取所需資訊可能使生產力停擺，並在長期內決定組織的命運。

總而言之，若組織持續掌握 wiper 攻擊的最新資訊並採取預防措施，就能更有效防禦 wiper 惡意軟體帶來的破壞性影響。現在正是各機構保持警覺並做好準備，以保護其關鍵資訊並確保營運不受阻礙的時候。應優先重視網路安全，使企業能為潛在威脅做好準備並迅速復原，進而建立面對未來攻擊的韌性。