ransomware
该标签下有 5 篇文章
Capcom 勒索软件事件（2020）—— 一台旧 VPN 设备为何成为入口，以及对双重勒索的防御
入口是一台旧备用 VPN 设备——在新设备替换后，它仍留在北美子公司里继续运行。攻击者借此侵入内网、窃取数据，再用勒索软件加密系统（双重勒索）。最多约 39 万人份的个人信息可能泄露（不含信用卡数据）。Capcom 拒绝付款，从备份恢复，并透明披露。要在你的环境里防御：停用弃置设备、修补边界设备，并同时覆盖窃取与加密（隔离、检测、备份）。
KADOKAWA / Niconico 勒索软件事件（2024）—— 为何被害蔓延全公司，以及网络分段与 BCP
入侵口据说是窃取员工凭据的钓鱼；由此攻击者侵入内网、运行勒索软件，使集团众多服务（包括 Niconico）停摆数月，约 25 万人的个人信息泄露。据报道与分析，被害蔓延全公司的背景是重要度迥异的系统同处一张网络、分段不足。要在你的环境里防御：按重要度分段网络、采用抗钓鱼认证、并备好业务连续性（BCP）与恢复。
什么是勒索软件 —— 工作原理、入侵途径与「不付款」的防御
勒索软件是一种加密文件并要求「想恢复就付赎金」的恶意软件。如今除了加密，还会窃取数据并威胁「不付款就公开」，这种双重勒索已成主流——即使能解密，信息泄露也无法挽回。主要入侵口是钓鱼、弱口令/无 MFA 的 VPN/RDP，以及未修补的对外公开漏洞。最重要的防御是「离线/防篡改备份＋恢复演练」——打造无需付款也能恢复的状态。同时也要把入口（MFA·补丁）和受害范围（最小权限·隔离）一并加固。
备份基础：3-2-1 规则与抵御 ransomware 的恢复计划
备份只是「有做」还不够，只有「已确认可以恢复」才算数。基础＝3-2-1 规则（3 份副本、2 种介质、1 份异地）。要防 ransomware，还需要至少 1 份不是长期连接的「离线/不可变（immutable）」副本——长期连着的备份会连同本体一起被加密。云同步不是备份（误删和加密也会被同步）。多版本管理和定期恢复测试才算完整的运维。
MOVEit 大规模数据泄露（2023）—— SQL 注入零日漏洞波及 2,700 多家组织的原因与防御
入口是面向互联网公开的文件传输产品 MOVEit Transfer 的 SQL 注入零日漏洞（CVE-2023-34362）。攻击者植入 Web shell（LEMURLOOT），从后端数据库批量窃取数据，致 2,700 多家组织、约 9,330 万人的数据外泄。许多受害者是因为外包方、合作方使用了 MOVEit 而被间接牵连。在你的环境中，可通过 KEV 即时打补丁、最小化暴露面、Web↔DB 的最小权限与隔离、外包方盘点与数据最小化来防范。