國家計算機(jī)病毒應(yīng)急處理中心高級工程師杜振華:微軟公司在報告里面附帶了很多的所謂感染指標(biāo),感染指標(biāo)其實(shí)就是哈希值。這些哈希值我們可以想象成是一個惡意程序的編碼、唯一的編號,通過對這些惡意程序的哈希值,在公開的平臺上檢索最后發(fā)現(xiàn),有5個IP地址(關(guān)聯(lián)樣本)是最集中的。這5個IP地址也與很多的安全事件有關(guān)系,這些安全事件中就有一個(關(guān)于)叫Dark power,一個所謂的勒索病毒團(tuán)伙一個分析報告有關(guān)系,這個分析報告是誰做?就是美國的ThreatMon,也叫威脅盟公司。
聯(lián)合調(diào)查技術(shù)團(tuán)隊發(fā)現(xiàn),2023年4月11日,在美國威脅盟公司發(fā)布的《關(guān)于“暗黑力量”勒索病毒團(tuán)伙研究報告》中顯示,上述惡意程序樣本技術(shù)特征與一個名為“暗黑力量”的勒索病毒網(wǎng)絡(luò)犯罪團(tuán)伙關(guān)聯(lián)程度密切,這個犯罪團(tuán)伙首次被發(fā)現(xiàn)攻擊活動時間為2023年1月,僅2023年3月全球范圍內(nèi)就至少有10個以上的機(jī)構(gòu)遭到該組織攻擊并被勒索,所在國家包括阿爾及利亞、埃及、捷克、土耳其、以色列、秘魯、法國、美國等。
360數(shù)字安全集團(tuán)網(wǎng)絡(luò)安全專家邊亮:除了對IP地址的分析之外,我們對報告提到的惡意樣本也進(jìn)行了分析,該樣本主要使用了無文件攻擊,與傳統(tǒng)的病毒木馬不同,攻擊載荷不需要寫入磁盤,惡意代碼在內(nèi)存當(dāng)中執(zhí)行,重啟和關(guān)機(jī)就會消失。樣本的功能只是針對用戶的文檔進(jìn)行加密、勒索索要贖金,所以我們認(rèn)為這些樣本和對應(yīng)的IP地址都指向了勒索病毒犯罪團(tuán)伙。
聯(lián)合調(diào)查技術(shù)團(tuán)隊經(jīng)過溯源分析認(rèn)為,微軟公司和“五眼聯(lián)盟”國家報告中提到的病毒程序并沒有表現(xiàn)出明確的國家背景黑客組織行為特征,反而與勒索病毒網(wǎng)絡(luò)犯罪團(tuán)伙的關(guān)聯(lián)程度更為明顯。在這種情況下,微軟公司和“五眼聯(lián)盟”國家僅憑受害單位和攻擊者的攻擊技戰(zhàn)術(shù)這些模糊的歸因因素,就把“伏特臺風(fēng)”扣上所謂“中國政府支持背景黑客組織”的帽子,這樣的做法是非常不嚴(yán)謹(jǐn)和不專業(yè)的,其背后必然有更深層次的原因。