darkside，干货看这篇!勒索软件攻击只会变得更糟 Darkside的“退出”可能只是个策略

据外电报道，最近几年的恐吓软件攻击证明，任何公司都不安全。

本月早些时候，一个名为DarkSide的黑客组织对Colonial Pipeline的商业网络发起了勒索软件攻击，这次攻击迫使该公司关闭了5500英里长的主管道，进而导致美国17个州和华盛顿特区在上周出现了燃料短缺的情况。

据彭博社报道，Colonial支付了75个比特币（支付当天约为500万美元）的赎金，不过据这家公司给出的正式声明却有出入，其称公司没有任何支付的意图。然而，这家总部位于乔治亚州的公司据称在受到攻击后数小时内就支付了这笔费用，其可能使用的是一份网络保险保单。

当黑客收到这笔款项后就向Colonial提供了一种用于恢复其IT系统的解密工具。然而，这个过程非常缓慢，以至于该公司只能使用自己的备份来加速恢复。燃料运输最终在周三晚恢复，但这一事件引发了政府的大规模反应，包括美总统乔·拜登签署的加强美国网络安全防御的行政命令。

区块链分析公司Elliptic指出，他们已经追踪到了DarkSide用于接收赎金的钱包。该公司发现，这个钱包自3月初以来一直处于活跃状态，其从21个不同的钱包中收到了57笔付款，这些付款似乎跟过去两个月已经支付的已知赎金相符。据悉，交易总额估计有1750万美元，Elliptic还能追踪到DarkSide的资金流向。调查发现，该组织使用了几个交易所以及一个在俄罗斯网络罪犯中很流行的名为Hydra的暗网市场。

本周早些时候，DarkSide在暗网上发布了一份道歉声明，其称自己从未打算给社会带来任何问题。现在，该组织声称已经失去了对其网络服务器和相当一部分资金的控制。具体来说，这些服务器被一个不知名的实体占领，该实体至少一个主账号已被耗尽，该账号曾被用来向发动攻击的核心集团和关联公司支付费用。

一些人猜测，这是美国当局在俄罗斯政府的帮助下迅速协调行动的结果，因为有人怀疑DarkSide是在俄罗斯运营的。然而，来自安全公司EMSIsoft、FireEye和Intel 471的专家解释说，这只是一个“退出骗局”，这是勒索软件运营商用来隐藏踪迹和撤退的典型行为，他们可以使用不同的名字策划下一步行动。

第二种解释是最合理的，因为其他勒索软件在媒体越来越多地关注它们最近的行动后也做出了类似的声明。如REvil和Avaddon表示，他们将停止宣传他们的勒索软件即服务平台并“私有化”。此外，他们还计划停止攻击关键的基础设施如医疗保健和教育机构、能源网络、燃料管道及其他任何可能引起类似于Colonial Pipeline最近遭受来自DarkSide攻击那样的关注的东西。

实际上，Colonial并非是DarkSide攻击的唯一一家公司–东芝也有周五发表的一份声明中表示，其欧洲业务在5月4日遭到勒索软件攻击。该公司没有支付赎金，因为由于该公司迅速采取行动、阻止了攻击者在其网络系统内横向移动。据悉，被盗数据未包括敏感信息。

另外，爱尔兰的医疗服务系统也遭受了一次“严重”和“复杂”的勒索软件攻击，这促使当地官员选择关闭受影响的系统作为预防措施。幸运的是，该国的新冠疫苗接种项目没有受到此次袭击的直接影响，但由于医院被迫离线工作，所有其他医疗服务都出现了严重中断。

在德国，化学品分销公司Brenntag向DarkSide支付了价值440万美元的比特币赎金以保护其670多个站点的运营和150G的敏感信息。本月早些时候，该公司的网络遭到入侵，原因是凭证被盗及缺乏多因素认证的松散登录安全。

勒索软件即服务似乎是一门大生意，至少从Chainalysis的数据来看是这样。该公司表示，勒索软件攻击去年激增，而且没有放缓的迹象。2021年前几个月，受害者支付了超8100万美元的赎金，其中很大一部分流向了Darkside。

另一个有趣的发现是，在过去8年里，勒索软件运营商一直在通过主流交易所和加密货币交易所转移他们的资金，后者基本上被用来掩盖交易的源地址。这使得它对洗钱、诈骗和其他犯罪活动非常有吸引力。

上个月，美国当局逮捕了加密货币Bitcoin Fog运营人Roman Sterlingov。自2011年以来， Sterlingov涉嫌洗钱价值3.35亿美元的比特币。本周，美国司法部(DOJ)和美国国税局(IRS)开始调查全球交易量最大的加密货币交易所Binance，但后者尚未受到任何不当行为的指控。

据了解，勒索软件攻击的主要问题是很难抓住对其负责的人，因为其中一些人居住在可以被称为网络犯罪安全港的国家。另一个问题是这些恶意行为者的高移动性，如果想要在勒索软件攻击的扩散方面有任何重大改变那么则需要全球协同努力。联合国已经向这个方向迈出了第一步，其建议各国签署一套类似于“数字日内瓦公约”的规则，但目前看来这方面的工作进展甚微。