Sophos 研究发现揭示网络罪犯 如何利用远端桌面通讯协定攻击企业
2019-09-18
日前,Sophos 发表最新研究报告《远端桌面通讯协定漏洞曝光:威胁已迫在眉睫》(RDP Exposed: The Threat Thats Already at your Door) ,揭示网络罪犯如何尝试利用远端桌面通讯协定 (RDP) 不断攻击各大企业。
RDP漏洞依旧是系统管理员的恶梦。Sophos自2011年起便一直发现网络罪犯利用RDP漏洞攻击的情况。去年,其中两种最具规模的针对性恶意软件攻击——Matrix 及 SamSam 背后的网络犯罪集团,更几乎完全放弃其它入侵网络的方法,转而利用RDP漏洞。
Sophos安全专家暨报告首席研究员Matt Boddy表示:“最近一款名为 BlueKeep 的RDP远端程式码执行漏洞备受传媒关注。这个严重的漏洞足可于数小时内引发全球性的恶意软件大爆发。然而BlueKeep只是冰山一角,所以预防RDP漏洞威胁绝不止于修补系统以防范BlueKeep。IT管理员必须加倍留意RDP的整体运作情况。”Sophos这项最新研究指出,攻击者几乎能即时发现,并连接上互联网,启用RDP功能的装置。Sophos为印证上述发现,分别于全球10个地区设置了低互动蜜罐以评估及量化RDP漏洞带来的风险。
研究报告主要发现:
全部10个蜜罐均于一日内收到尝试登入的记录;
RDP漏洞使相关电脑在短短84秒内曝光;
所有RDP蜜罐于 30 日内总记录429万 次登入失败,平均约每6秒一次;
业界一般认为网络罪犯通过Shodan等网站寻找开放的RDP漏洞源头,但Sophos研究强调他们其实会利用自己的工具和技术,不一定要依赖第三方网站去寻找存取途径。
黑客行为解析:
Sophos根据研究结果识别出黑客攻击模式的三大特征——The ram、The swarm 和The hedgehog:
The ram 是專为破解管理员密码而设置的策略,比如有一名攻击者在10日内尝试登入设于爱尔兰的蜜罐10.9万次,最后只用了三个用户名称就能成功访问。
The swarm会利用顺序用户名称及数目有限的最常见密码:一名攻击者于14分钟内以用户名称“ABrown”尝试登入位于巴黎的蜜罐9次,然后转用“BBrown”、“CBrown”、“DBrown”,如此类推,再使用“A.Mohamed”、“AAli”、“ASmith”与其他用户名称重覆以上的试探模式。
The hedgehog则是先进行大量攻击活动,紧接着较长的静止时间,例如巴西的蜜罐可以看到每次的攻击高峰均来自同一IP地址,历时约4小时,当中包括3369 到5199次密码猜测。
Boddy解释RDP漏洞曝光对企业的影响时表示:“当今全球有超过300万部装置可通过RDP访问,并已成为网络罪犯偏好的切入点。Sophos一直有谈及攻击者如何利用针对性勒索软件如BitPaymer、Ryuk、Matrix和SamSam。由于所有蜜罐因RDP而被曝光于网上,并在数小时内被攻击者发现,因此企业必须尽可能减少对于RDP功能的使用,以及确保公司内对密码的管理行之有效。企业也必须对症下药,采取适当的安全协议,抵御无休止的网络攻击。”