上周，我们报道了自 7 月以来针对 microsoft exchange 服务器的 lockfile 勒索软件。本周，有关该威胁的更多信息浮出水面，提供了有关攻击级别的新细节。
sophos 的安全研究人员表示，lockfile 一直通过利用平台中的 proxyshell 缺陷来瞄准易受攻击的 microsoft exchange 服务器。它使用“间歇性加密”攻击来远离安全工具。
sophos 的研究人员在 7 月发现了这个新兴威胁，它利用 microsoft exchange 服务器中的 proxyshell 漏洞来攻击系统。
具体来说，lockfile 对文件的每 16 个字节进行加密，这意味着许多反勒索软件服务无法检测到它。事实上，sophos 指出，这种方法允许加密文件看起来类似于未加密的文件。
攻击
“我们以前从未在勒索软件攻击中使用过间歇性加密，” sophos 下一代技术工程总监 mark loman 写道。
尽管采用了的，但 lockfile 确实与其他勒索软件有一些相似之处。例如，它不需要访问命令和控制来进行通信和隐藏。
“与wastedlocker和maze勒索软件一样，lockfile 勒索软件使用内存映射输入/输出（i/o）来加密文件，” loman 在报告中写道。“这项技术允许勒索软件透明地加密内存中的缓存文档，并导致操作系统写入加密文档，而检测技术会发现的磁盘 i/o 最少。”
它利用微软的 windows 管理界面 (wmi) 命令行工具来终止所有进程。接下来，它转向其他关键进程以控制服务器。
“通过利用 wmi，勒索软件本身与这些典型的关键业务流程的突然终止没有直接关联，” sophos 补充道。“终止这些进程将确保释放对相关文件/数据库的任何锁定，以便这些对象准备好进行恶意加密。”
未经允许不得转载：尊龙游戏旗舰厅官网 » microsoft exchange server 攻击：lockfile ransomware 使用新颖的攻击方法
