鎖定台灣企業攻擊的勒索軟體「ColdLock」,五月初發動多起攻勢,加密企業資料庫

5 月還沒過半,台灣企業接連遭到網路攻擊,先是中油再來是台塑兩大石化公司中鏢,接著半導體封測大廠力成也遇到攻擊事件。這幾次攻擊,還沒有證據顯示是否為同一來源、形式,但恰巧在近期也有一款針對台灣企業攻擊的勒索病毒突然出現,讓人引發聯想。

這款針對台灣企業的新勒索病毒,叫做 ColdLock,攻擊行動最初就在 5 月初出現,目前為止已經感染了好幾個組織,似乎會加密受害企業的資料庫和郵件伺服器。

未知抵達媒介

官方表示尚未得知病毒一開始進入潛在受害者網路的抵達媒介。但推測認為攻擊者用某種方法,取得目標 Active Directory 伺服器權限,透過設定群組原則,讓勒索病毒被下載,並且在網域內的電腦執行。

另外,病毒只會在指定日期的下午 12:10 或之後執行,時間還沒到的話就自動休眠 15 秒,像定時炸彈般的設計。

程式碼內設定的定時炸彈。(圖片來源:趨勢科技)

加密之前的預備動作

定時炸彈設定的時間一到,ColdLock 會先中止特定服務,例如資料庫軟體、微軟郵件系統 Exchange,和收信軟體 Outlook 等,防止因檔案拒絕存舉可能導致加密失敗的狀況。

更恐怖的是,如果中毒的電腦是 Window 10,ColdLock 還會自動停用內建防毒軟體(Microsoft Defender),讓電腦無法偵測和即時回傳遭到攻擊的資訊給微軟⋯⋯

將檔案通通「鎖起來」

把服務程式和防毒軟體都關掉之後,接下來病毒會用寫死的 RSA 公鑰進行加密,被鎖上的檔案,會加上「.locked」這個副檔名。

等它一切大功告成之後,就會看到下圖這個畫面。

勒贖通知(圖片來源:趨勢科技)

桌布也會「順便」更新

被更換的系統桌布(圖片來源:趨勢科技)

目前尚未確定 ColdLock 是否和月初針對中油、台塑接力攻擊有關係,但無論是石化能源產業,或是半導體這類的高科技製造業,一旦營運出現問題,影響台灣層面甚鉅。

行政院資安處過去曾經做過統計,台灣公部門每個月遭受境外網路攻擊的次數,平均達 3,000 萬次,和歐洲國家一個月可能只有幾萬次相比,台灣受攻擊的頻率非常高。

接下來接近 5 月 20 總統就職前夕敏感時機,不排除接下來攻擊行動會更加嚴峻,我們的資安單位該如何反應,有待考驗。

(首圖來源:Unsplash)

參考資料

你可能感興趣


多雲平台管理不易,找出資安威脅難上加難

IBM 解惑如何善用「開源技術」自動因應網路攻擊

獲取 IBM 獨家白皮書

點關鍵字看更多相關文章: