安恒观察：黑客眼中的你，勒索只需要三步！

如果你有维护过暴露在公网的服务器，你一定会发现，你的服务器有大量的访问量来自陌生的IP，其归属地并没有你的业务或客户，这样的流量可能占到服务器总流量的50%以上。为什么会有这么高的陌生访问量呢？

原因就是公网上有大量服务器，不停的对全网所有IP扫描，寻找存活的IP及其服务。一旦发现某个IP有开放的服务，就会发起自动的攻击。常见的攻击有弱口令爆破（如针对SSH、RDP、数据库的爆破）和高危通用漏洞（Log4j反序列化漏洞、永恒之蓝漏洞）。

黑客要做的只是搭几台服务器，不停的对全网发起探测、爆破、漏洞利用。一旦入侵成功，会自动对服务器价值进行评估——价值较高的，就发起勒索攻击；价值不高的，就运行挖矿程序。并留下后门，长期控制该失陷主机。

很多人会说，我的服务器没有开其他端口，只开放 RDP 用于管理运维，且设置了复杂的密码，这样总没问题吧？

然而，很多勒索案件就是这样发生的。密码的强弱，不在于位数多或者有复杂的字符组合。关键在于，你的弱密码在不在黑客的字典里。黑客会不停收集各网站泄漏的用户口令，并通过各种组合产生巨量的密码字典。

为了绕过防火墙的防爆破规则，黑客会利用IP代理池发起爆破。目前网上有大量免费的IP代理池，IP每分钟更新。有大量的IP，就不怕防火墙封禁。

这类攻击的受害者，大部分是小微企业。由于安全投入不足，缺乏有效的网络安全建设和安全意识，给黑客留下可乘之机。

如果你所在的公司，业务发展迅速，业绩蒸蒸日上，知名度越来越大，千万不要忘了，惦记你的黑客，也会越来越多。

一方面随着企业实力增强，有更多资源投入到安全建设中，提高了安全水位。另一方面，随着业务发展，企业的分支机构、合作伙伴、客户也增多，网络结构复杂，网络边界治理变难，网络安全管理挑战增加。

在黑客看来，企业支付赎金的能力和意愿也提高了，黑客有了更强的动机。

黑客在开始攻击之前，首先会进行信息收集。一般会收集目标企业的域名、子域名、IP、员工信息（姓名、职务、邮件地址等），以及企业的子公司、分支机构等。这些信息通过公司的官网、公告、新闻、网络空间搜索引擎等公开途径，都可以轻易得到。

收集信息的目的，是为了找到目标企业安全防护的薄弱点。

有大量的泄漏数据在黑客论坛出售。数据内容五花八门，知名网站数据库泄漏的账号信息、远程桌面账号密码、企业员工无意间上传到github的登录密钥等。

信息不一定是从企业自身泄漏的。如果企业某员工登录公司系统使用的口令，与其他常用网站相同，且都长期未更换，那么任意一个他经常访问的网站发生数据泄漏，都会间接影响所在企业的账号安全。

一个泄漏的远程桌面账号，未必能引起注意，但如果这个IP地址属于某知名企业，它的价值就成倍提高了。

马奇诺防线非常坚固，但如果被绕过，就毫无用处。

通常企业会重点加强核心系统的安全防护，但对分散在全国各地的分支机构、合作伙伴，很难有效防护。这就给勒索留下了可乘之机。

某公司发生的勒索案例中，黑客会从防御薄弱的分支机构入手，利用分支机构通往总部的专线，渗透进入总部核心系统，发起勒索攻击。

勒索攻击，必须加密核心数据才有价值。但核心数据往往是企业重点保护的资产，安全防护不会少。比如安装杀毒软件的主机，就有可能阻止勒索软件运行。

但杀软的病毒库、规则库是固定的，而黑客的攻击方式是灵活多变的，攻击者会不停变换攻击方式，多次试探，直到勒索成功。

某勒索案例，黑客在一个月中，先后使用三个不同的勒索软件发起攻击，前两次都被拦截，直到第三次终于成功。

黑客的攻击动作会触发EDR、流量审计等设备产生告警，但如果不能被及时处置，就毫无作用。大部分勒索攻击都发生在深夜，企业想要做到7x24h的及时处置，是非常难的。

黑客在完成数据加密后，还可能会留下后手。最常见的是把重要数据上传到自己控制的服务器，并威胁不支付赎金就公开数据。

很多企业有完善的数据备份，不担心数据被加密。但商业秘密遭到泄漏的风险是无法承担的。

黑客还会留下后门，以便未来再次发起攻击。

勒索攻击涉及的技术很多。在利益的驱使下，逐步向专业化分工的方向演化。有的负责窃取登录口令，有的负责开发能绕过杀毒软件的加密工具，有的负责提供支付赎金的账号。力求在每一个环节做到极致，并发展出勒索即服务（Ransome-as-a-Service）的协作模式。

因此，企业面对的不再是单打独斗的黑客，而是有组织的专业团队。