什麼是雙重勒索勒索軟體？

雙重勒索是勒索軟體攻擊者使用的一種手法，他們不僅會加密資料，還會威脅洩露資料。本指南將探討雙重勒索的運作方式、對受害者的影響，以及預防策略。

了解資料備份與事件回應規劃的重要性。理解雙重勒索對於組織保護其敏感資訊至關重要。

雙重勒索凸顯了網路威脅日益演進的複雜性，強調需要採取整體性的網路安全方法，其中涵蓋強大的勒索軟體防禦、警覺的資料保護，以及事件回應策略。

雙重勒索簡要概述

雙重勒索是一種複雜的網路威脅手法，近年來已重塑勒索軟體攻擊的樣貌。這種惡意策略涉及網路犯罪分子不僅加密受害者的資料，還會在加密前竊取敏感資訊，實際上將其挾持為人質。如果受害者拒絕支付贖金以解密其資料，攻擊者便會威脅公開釋出或出售遭竊資訊，進一步放大攻擊的風險與後果。

雙重勒索最早約於 2019 年在勒索軟體領域中成為明顯趨勢，隨著Maze與REvil等知名變種的出現而浮現。這些網路犯罪集團意識到其所入侵資料的巨大價值，並開始要求額外贖金，通常以加密貨幣支付，否則便威脅曝光這些資料。這種創新的手法大幅增加了受害者承受的財務壓力，也提高了他們配合勒索要求的可能性。

如今，雙重勒索攻擊已變得令人警覺地普遍。網路犯罪分子利用此手法鎖定各類型組織，從小型企業到大型企業，甚至政府機構。遭竊資料通常包括敏感的客戶資訊、專有智慧財產，以及機密內部文件，使資料外洩的潛在後果更加嚴重。

為了防禦雙重勒索攻擊，組織必須採用全面性的網路安全策略，其中包括強大的威脅偵測與防護、定期資料備份、員工辨識網路釣魚嘗試的訓練，以及明確定義的事件回應計畫 (IRP)。

了解雙重勒索的運作方式

雙重勒索是一種複雜且陰險的網路攻擊技術，結合了資料竊取與傳統勒索軟體手法。從技術角度來看，此流程涉及數個不同階段：

初始存取與偵察

攻擊者使用各種方法，例如網路釣魚電子郵件、利用軟體漏洞，或憑證竊取來取得受害者網路的初始存取權。一旦進入後，他們會進行偵察，以識別高價值目標並找出敏感資料儲存庫的位置。

資料外洩技術

攻擊者採用進階技術，例如 SQL injection、遠端檔案包含，或濫用合法工具，將敏感資料從受害者網路中外洩。他們可能會使用資料壓縮、加密或混淆來規避偵測。

資料分類與擷取

攻擊者使用自動化指令碼或手動流程，對敏感資訊進行分類與擷取。這些資料可能包括個人可識別資訊 (PII)、財務紀錄、智慧財產或機密文件。攻擊者可能會使用資料剖析與索引技術，以有效率地找出有價值的資料。

資料暫存與隱匿

遭外洩的資料會被暫存在網路中隱藏或較少受監控的區域，以避免被偵測。攻擊者可能會使用加密或隱寫術來掩蓋遭竊資料的存在，並維持低調。

使用強式演算法進行資料加密

在資料外洩後，攻擊者會啟動勒索軟體元件。他們使用強大的加密演算法，例如 AES-256，來加密受害者網路中的關鍵檔案與系統。這種加密通常是非對稱式的，使用公開金鑰進行加密，而私密金鑰則由攻擊者持有以供解密。

勒索訊息與加密貨幣要求

攻擊者會向受害者系統投遞勒索訊息，通常以文字檔或影像的形式呈現。此訊息包含贖金要求、付款指示與期限等詳細資訊。攻擊者通常要求以 Bitcoin 或 Monero 等加密貨幣付款，以維持匿名性。

雙重勒索通知

在雙重勒索攻擊中，除了傳統的勒索訊息外，攻擊者還會通知受害者他們已外洩敏感資料。此通知會強調不配合的後果。攻擊者可能會提供資料竊取的證據，例如檔案清單或片段，以證實其說法。

資料曝光威脅

如果未在指定期限內支付贖金，攻擊者便會威脅在網際網路或地下論壇上公開釋出遭竊資料。這項威脅會對受害者造成重大壓力，迫使其滿足贖金要求，因為資料曝光可能導致法律後果、監管罰款與聲譽損害。

付款驗證與通訊

為了便於追蹤付款與進行解密，攻擊者會提供一個專屬的 Bitcoin 錢包位址，供受害者匯送贖金。收到付款後，他們會在區塊鏈上驗證付款，並透過加密通道與受害者聯繫。

解密金鑰交付

在成功驗證付款後，攻擊者會將解密金鑰交付給受害者。此金鑰是解密在勒索軟體階段遭加密檔案與系統所必需的。攻擊者可能會提供解密工具或如何使用該金鑰的說明。

攻擊後清理

在收到贖金後，攻擊者可能會從受害者網路中移除其存在，刪除任何工具、後門或攻擊痕跡。然而，無法保證他們不會再次返回進行進一步勒索或其他攻擊。

回應與緩解

面對雙重勒索攻擊的組織，必須就是否支付贖金或尋求替代方案做出關鍵決策。他們也必須向執法機關通報事件，並啟動事件回應程序，包括系統還原與強化安全措施，以防止未來攻擊。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

探討雙重勒索的使用案例

雙重勒索攻擊已成為網路安全領域中的嚴重威脅，促使企業強化防禦，以降低與這種陰險手法相關的風險。以下是一些雙重勒索的真實世界使用案例、其重要性，以及企業為防範這些風險所採取的措施：

Maze 勒索軟體攻擊

Maze 勒索軟體操作者是雙重勒索技術的先驅。他們鎖定企業、加密其資料，然後威脅若不支付贖金就將敏感資訊發布到網路上。

• 重要性 – 此攻擊引起了廣泛關注，讓雙重勒索受到重視，並凸顯不配合可能帶來的後果。
• 安全措施 – 自此之後，企業更加重視網路安全，採用全面性的備份策略、監控資料外洩情況，並提升事件回應能力，以對抗類似 Maze 的威脅。

REvil 勒索軟體集團

REvil 以其激進的雙重勒索手法聞名。在其中一個案例中，他們攻擊一家知名律師事務所，竊取敏感客戶資料並威脅將其公開。

• 重要性 – 此攻擊顯示，即使是通常不被視為具有高度網路安全風險的產業，例如法律服務，也容易受到雙重勒索影響。這強調了所有產業都需要全面性網路安全措施。
• 安全措施 – 律師事務所及類似企業正日益投資於員工網路安全意識訓練、採用多重要素驗證 (MFA)，並強化端點安全，以防範類似 REvil 的攻擊。

Ragnar Locker 勒索軟體活動

Ragnar Locker 鎖定大型組織，尤其是醫療保健產業。他們加密檔案並竊取病患資料，要求高額贖金。

• 重要性 – 醫療保健產業原本就因 COVID-19 疫情而承受壓力，這些攻擊進一步加劇資源緊張，並引發對病患隱私與關鍵醫療基礎設施安全的憂慮。
• 安全措施 – 醫療保健組織透過改善網路分段、實施強大的存取控制，以及定期進行網路安全評估，來強化其網路安全態勢，以阻止雙重勒索企圖。

DarkTequila 攻擊

DarkTequila 是一種銀行木馬，後來演變為包含勒索軟體與資料竊取元件。攻擊者鎖定金融機構與企業網路，加密檔案並外洩敏感資料。

• 重要性 – 此攻擊展現了網路犯罪分子會隨時間演進其手法的適應能力。尤其是金融機構，必須因應雙重勒索日益增加的威脅。
• 安全措施 – 金融機構正在實施威脅情報共享平台、強化員工訓練計畫，並進行桌上演練，以為潛在的雙重勒索攻擊做好準備。

Cl0p 勒索軟體集團

Cl0p 集團鎖定各類組織，包括大學。他們加密檔案並威脅在線上洩露敏感的學術研究資料。

• 重要性 – 對教育機構的攻擊凸顯雙重勒索目標範圍之廣。在此案例中，寶貴研究資料可能流失是一項重大隱憂。
• 安全措施 – 大學與研究機構正透過強化電子郵件過濾、資料加密與事件回應規劃來加強其網路安全防禦，以保護其智慧財產免受類似 Cl0p 的攻擊。

為了防範雙重勒索風險，企業正採取數項主動措施：

• 全面性備份策略 – 與網路隔離的定期資料備份至關重要。這可確保組織無需支付贖金也能復原其資料。
• 員工訓練 – 網路安全意識訓練可協助員工辨識雙重勒索攻擊中使用的網路釣魚嘗試及其他社交工程手法。
• 端點安全 – 強大的端點安全解決方案對於偵測與防止惡意軟體感染至關重要。
• 存取控制 – 實施最小權限原則 (PoLP) 可確保使用者僅擁有其角色所需的最低存取層級。
• 事件回應計畫 – 建立明確定義的事件回應計畫，可讓企業有效回應雙重勒索攻擊，將其影響降至最低。
• 威脅情報共享 – 與同業協作並共享威脅情報，可協助企業掌握新興威脅與攻擊技術的資訊。

結論

雙重勒索攻擊中，網路犯罪分子不僅加密資料，還會威脅若不支付贖金就洩露敏感資訊，這已提高當前威脅情勢中的風險程度。這類攻擊利用組織對資料外洩與聲譽受損的恐懼，即使已建立備份，仍迫使許多組織支付贖金。

雙重勒索的真實世界使用案例凸顯了網路安全對各產業企業的關鍵重要性。隨著攻擊者持續精進其手法，組織必須保持警覺、調整其安全措施，並採取主動立場，以保護其資料、聲譽與獲利表現。