破壞美國輸油管道的勒索軟件組織DarkSide與REvil有染
近日，安全研究人員發現，對美國東海岸主要輸油管道造成嚴重破壞的勒索軟件組織DarkSide很可能與攻擊過蘋果和特朗普的勒索軟件團伙REvil有關。
DarkSide變體首次出現在2020年8月左右，但在運營了幾個月后，DarkSide講俄語的所有者像當今大多數勒索軟件組織一樣，向會員開放了它。
Flashpoint的研究人員近日宣稱，DarkSide的所有者很可能曾經是REvil的會員。REvil是最近屢見報道的一個勒索軟件組織，該組織曾試圖勒索蘋果和OEM供應商廣達電腦，是最成功的勒索軟件即服務之一。
安全研究人員還認為，DarkSide本身是基于REvil代碼開發的。
“贖金通知、壁紙、文件加密擴展名和詳細信息的設計以及內部工作方式都與REvil勒索軟件非常相似，后者是俄羅斯血統，并具有廣泛的會員計劃。”Flashpoint聲稱。
FireEye的分析則指出，這兩個RaaS的運作存在重疊，但僅是因為有些威脅組織是兩家的共同會員。
據報道，盡管其官方網站依然無法訪問，但Colonial Pipeline管道運營商已在停運五天后于周三恢復運營，該公司聲稱在未來幾天內仍有可能發生服務中斷。
停電迫使一些州宣布緊急狀態，因為大量美國汽車司機排隊加油，汽油價格飛漲。
調查人員目前仍在調查攻擊源頭，去年收購了網絡安全公司BinaryEdge的網絡保險提供商Coalition認為它可能已經找到了“冒煙的槍”。
該公司聲稱Colonial Pipeline在受到攻擊時正在運行易受攻擊的Microsoft Exchange Server版本，遠程掃描顯示，它同時也正在運行公開的SNMP、NTP和DNS服務。
Coalition威脅情報負責人Jeremy Turner認為：“其他可能性包括互聯網上暴露的眾多網絡協議，以及針對性的、與ICS系統有關的虛擬化軟件或SSL 虛擬專用網訪問，使用的也是無效證書。”
“總體而言，Colonial Pipeline缺乏必要的安全防護意識。很容易受到攻擊的弱點包括：在其虛擬專用網上缺乏雙因素身份驗證(這是企業網絡安全中最常見的威脅之一)，也可能是Exchange服務器泛攻擊的間接受害者。”
美國網絡安全和基礎設施安全局(CISA)近日已發布勒索軟件攻擊防護的最佳實踐指南。
【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
