勒索軟件正變得越來越聰明，能夠攻擊備份以阻止數(shù)據(jù)的恢復(fù)。通過采取一些簡單的步驟可以防止這種情況的發(fā)生。

[[351799]]

盡管最近的攻擊有所下降，但勒索軟件仍然對企業(yè)構(gòu)成了重大威脅，本月針對醫(yī)療機構(gòu)的攻擊就證明了這一點。而且它的能力也越來越強了。特別是勒索軟件編寫者意識到備份也是一種有效的防御措施，他們正在修改他們的惡意軟件來追蹤并消除備份。

針對備份的勒索軟件

勒索軟件現(xiàn)在會刪除它在執(zhí)行過程中所碰巧遇到的任何備份，Malwarebytes的惡意軟件情報主管Adam Kujawa說。例如，勒索軟件常用的一種策略是刪除Windows創(chuàng)建的文件的自動副本。“所以，如果你要進(jìn)行系統(tǒng)恢復(fù)，就沒有辦法了，”他說。“我們還看到他們開始攻擊共享的網(wǎng)絡(luò)驅(qū)動器了。”

有備份的勒索軟件有兩個很有名的例子，SamSam和Ryuk。去年11月，美國司法部指控兩名伊朗人使用了SamSam惡意軟件，向包括醫(yī)院在內(nèi)的200多名受害者敲詐了3000多萬美元。起訴書稱，攻擊者通過在正常工作時間之外發(fā)動攻擊，以及“加密受害者電腦的備份”，最大限度地擴大了損害。

Ryuk襲擊了幾個高調(diào)的目標(biāo)，包括洛杉磯時報和云托管提供商Data Resolution。根據(jù)Check Point安全研究人員的說法，Ryuk包含了一個可以刪除影子卷和備份文件的腳本。“雖然這種特定的惡意軟件并不專門針對備份，但它確實將更簡單的備份解決方案(導(dǎo)致數(shù)據(jù)駐留在文件共享中的解決方案)置于風(fēng)險之中，”總部位于波士頓的技術(shù)公司Continuum的產(chǎn)品管理高級總監(jiān)Brian Downey表示，該公司可以提供文件備份和恢復(fù)服務(wù)。

最常見的做法是通過微軟Windows的Previous Versions功能，Juniper Networks的威脅研究主管Mounir Hahad表示。它允許用戶恢復(fù)文件的早期版本。“但大多數(shù)勒索軟件變種會刪除影子拷貝，”他補充說，大多數(shù)勒索軟件也會攻擊映射網(wǎng)絡(luò)驅(qū)動程序中的備份。

勒索軟件對備份的攻擊是偶然的，而不是有針對性的

當(dāng)勒索軟件尋找備份時，通常是偶然的，而不是故意的，Booz Allen Hamilton的首席技術(shù)專家David Lavinder說。根據(jù)勒索軟件的不同，它通常會通過爬取系統(tǒng)來尋找特定的文件類型。“如果它遇到了備份文件的擴展名，它肯定會加密它，”他說。

勒索軟件還會試圖進(jìn)行傳播，以感染盡可能多的其他系統(tǒng)，他說。這種蠕蟲的能力，就像WannaCry一樣，是他希望在未來看到更多活動的地方。“我們不希望看到任何有意針對備份的目標(biāo)，但我們確實希望能夠看到更多的精力集中在橫向移動上，”他說。

你可以通過一些基本的預(yù)防措施來保護你的備份和系統(tǒng)免受這些新的勒索軟件的攻擊。

用額外的副本和第三方工具補充Windows備份

為了防止勒索軟件刪除或加密本地備份文件，Kujawa建議使用額外的備份或第三方工具或其他不屬于Windows默認(rèn)配置的工具。“如果這樣做，惡意軟件就不知道在哪里刪除備份了，”他說。“如果你的員工感染了什么，他們就可以刪除它，(并從備份中恢復(fù))。”

隔離備份

被感染的系統(tǒng)與其備份之間的屏障越多，勒索軟件就越難進(jìn)入。位于印第安納波利斯的網(wǎng)絡(luò)安全服務(wù)公司Pondurance的首席執(zhí)行長Landon Lewis說，一個常見的錯誤是，用戶對備份使用的認(rèn)證方法和他們在其他地方所使用的一樣。“如果你的用戶賬戶被入侵，攻擊者想做的第一件事就是升級他們的特權(quán)，”他說。“如果備份系統(tǒng)使用了相同的身份驗證，它們就可以接管一切。”

使用不同密碼的單獨身份驗證系統(tǒng)會使這一步更加困難。

在多個位置保存多個備份副本

Lewis建議公司保存重要文件的三份不同的副本，使用至少兩種不同的備份方法，并且至少其中的一份需要被放在不同的位置?；谠频膫浞萏峁┝艘粋€易于使用的離線備份選項，他說。“互聯(lián)網(wǎng)上的塊存儲非常便宜。很難解釋為什么有人不使用它作為額外的備份方法。如果你使用了不同的認(rèn)證系統(tǒng)，那就更好了。”

許多備份供應(yīng)商還提供了回滾或同一文件的多個版本的選項。如果一個勒索軟件攻擊并加密了文件，那么備份工具會自動備份加密的版本并覆蓋完好的版本，這樣勒索軟件甚至都不需要費心去獲取備份了。因此，回滾正在成為一種標(biāo)準(zhǔn)功能，公司應(yīng)該在確定備份策略之前就進(jìn)行檢查。“我肯定會把這一點加入我的標(biāo)準(zhǔn)當(dāng)中。”Lewis說。

反復(fù)測試你的備份

許多公司只會發(fā)現(xiàn)他們的備份無法使用，或者在他們成為攻擊的受害者后才發(fā)現(xiàn)因為太麻煩而無法返回。“如果你沒有做過某種類型的修復(fù)練習(xí)，而且沒有文件記錄，也沒有人熟悉它，我們將看到許多客戶會考慮付錢，并且在某些情況下真的這么做了，因為付錢給攻擊者實際上在操作上更為便宜。”Lewis說。

作為其產(chǎn)品的一部分，提供備份解決方案的科技公司Kaseya的首席信息官BBob Antia也建議檢查備份供應(yīng)商是否能檢測到勒索軟件的攻擊，尤其是較新的、更隱秘的變種。一些勒索軟件會故意放慢速度，或者在加密前處于休眠狀態(tài)，他說。“這兩種技術(shù)意味著會很難知道需要從備份中恢復(fù)到什么時間點，”他說。“我預(yù)計勒索軟件會繼續(xù)找到更好的方法來隱藏自己，使復(fù)原更加困難。” 

“我們最近還沒有看到像WannaCry和Petya這樣的全球大規(guī)模攻擊，”Antia說。但當(dāng)它真的發(fā)生時，就會造成極大的破壞，他說。“我們已經(jīng)看到個別組織因最近的攻擊而遭受了數(shù)百萬美元的損失。”