最近有兩隻令人矚目的勒索病毒,繼媒體報導專瞄準大企業,半年獲利近400萬美元的 Ryuk 勒索病毒後,新一波的勒索病毒MongoLock變種更狠, 會直接刪除特定目錄內的檔案, 中毒電腦在離線後仍會繼續刪除檔案，讓檔案無法回復。甚至會格式化並格式化可用的備份磁碟。
趨勢科技一直在關注新一波的MongoLock勒索病毒攻擊，這波攻擊會在感染時刪除檔案而非進行加密，並且會進一步掃描可用資料夾和磁碟來進行檔案刪除。此波勒索病毒從2018年12月開始出現，會要求受害者在24小時內支付0.1比特幣來取回據稱保存在駭客伺服器內的檔案。我們的監控資料偵測到200多個樣本，台灣、香港、韓國、英國、美國、阿根廷、加拿大和德國,是中毒數量最高的地區。趨勢科技的機器學習(Machine learning,ML)和行為偵測技術能夠主動地封鎖此勒索病毒。
與一般先加密的勒索病毒不同，直接刪除重要資料，備份硬碟，再發勒贖通知
2018年9月的MongoLock攻擊也是針對安全設定較弱的資料庫。此外，我們發現這勒索病毒被放在PythonAnywhere上，這是基於Python的線上整合開發環境（IDE）和網頁託管服務。連到hxxp://update.pythonanywhere.com/d會下載可執行檔 （update.exe），同時連到hxxp://update.pythonanywhere.com將使用者導到中文編寫的遊戲網站模擬頁面（PythonAnywhere已經了移除此網站）。駭客會經常地更改網站上的勒索病毒,使用hxxp://{user-defined}.pythonanywhere.com的主機可能都容易被濫用。
繼續閱讀
