日前，软件厂商Ivanti的《勒索软件聚焦年终报告》表示，勒索软件将成为2021年增长最快的网络攻击工具，而且这一势头将持续到2022年；仅一年时间就增长了29%，常见漏洞暴露(CVE)从223个增加到288个；勒索软件攻击策划者持续关注零日漏洞，执行供应链攻击，微调漏洞链，搜索过时产品中的漏洞，以增加勒索软件攻击的成功机会，他们在使用时不遗余力地将勒索软件武器化破坏整个供应链的漏洞链。勒索软件的武器化越来越严重。今年新增7个APT组织利用勒索软件漏洞发起攻击，目前全球共有40个APT组织在使用勒索软件。去年添加的勒索软件系列旨在扩展勒索软件即服务、漏洞利用即服务、释放器即服务和木马即服务平台。通过平台提供勒索软件即服务的方法是勒索软件团伙的最新趋势之一。Ivanti在2018年至2020年期间发现了125个勒索软件家族，加上2021年新发现的32个家族，总体增长了25.6%。这157个勒索软件家族利用288个漏洞进行了攻击活动。研究发现，在288个漏洞中，57%(164)的勒索软件漏洞具有相应的公开利用代码。其中，有109个漏洞可以被远程利用（远程代码执行）。可利用的漏洞还包括23个启用权限提升的漏洞、13个可能导致拒绝服务攻击的漏洞以及40个利用Web应用程序的漏洞。勒索软件攻击者优先考虑武器化攻击。图1基于远程代码执行(RCE)的勒索软件是一种快速增长的武器化勒索软件远程漏洞在软目标中尤为普遍，软目标是网络犯罪分子的最爱，尤其是勒索软件和APT组织。去年对医疗保健行业、石油和天然气供应链、食品分销商及其供应链、药店和学校的攻击突显了这种策略的普遍性。众所周知，这些关键行业部门缺乏网络安全资金或具备检测和阻止威胁的专业知识的员工，并且通常运行至少一年未打补丁的系统，从而为网络犯罪分子提供了可乘之机。勒索软件军备竞赛勒索软件中的网络犯罪军备竞赛正在升级为武器化的有效载荷、更狡猾的漏洞利用链接方法，以及创建X即服务软件的机会主义机会。网络安全供应商及其服务组织需要采用更有效的方法来针对武器化勒索软件进行补丁管理，然后确定每个端点的状态。不幸的是，勒索软件团伙擅长于此，研究长期存在的CVE并找到未修补的漏洞进行利用。例如，Cring勒索软件悄悄利用了Adob??eColdFusion9的两个漏洞：CVE-2009-3960和CVE-2010-2861，该产品自2016年被标记为“退役”以来一直没有变化。该团伙利用CVE-2010-2861渗透到基于服务的公司服务器，并使用CVE-2009-3960上传webshell、CobaltStrike的Beacon有效负载，最后是勒索软件有效负载。Ivanti研究发现，未修补的漏洞是2021年勒索软件团伙最常利用的攻击媒介。2020年有223个与勒索软件相关的漏洞，比2021年增长了29%，使漏洞总数达到288个CVE。65个新增漏洞中，超过30%的漏洞被在线主动搜索，可见关注和封堵这些漏洞的重要性。但许多组织在补丁管理方面进展缓慢，导致端点容易受到日益复杂的勒索软件攻击。在当前的288个勒索软件CVE中，美国网络安全和基础设施安全局(CISA)、国土安全部(DHS)、联邦调查局(FBI)、国家安全局(NSA)和其他安全机构已经确定了其中的66个。多次发出警告。这些警告传达了修补漏洞的紧迫性。CISA还发布了一项具有约束力的指令，要求公共部门修补一组特定的漏洞，并附有严格的截止日期。图2基于风险的漏洞策略Ivanti安全产品高级副总裁SrinivasMukkamala表示：“组织需要格外警惕，不要拖延修补武器化漏洞。这需要将基于风险的漏洞优先级排序和自动补丁智能相结合，以识别、确定优先级并加快对漏洞弱点的响应。”基于风险的漏洞策略不仅需要关注NVDCVSS评分分析，还需要对组织目前面临的勒索软件漏洞。参考链接：https://venturebeat.com/2022/01/26/cybersecuritys-challenge-for-2022-is-defeating-weaponized-ransomware/
