安全研究人员正在跟踪威胁行为者组织 Fancy Lazarus 的新 DDoS 勒索活动。这些攻击主要针对来自能源、金融、保险、制造、公用事业和零售等一系列领域的美国和全球组织。
该组织以前使用 Fancy Bear、Lazarus、Lazarus Group 和 Armada Collective 等绰号,在针对全球金融机构和组织发起勒索DDoS 攻击后,从 2021 年 4 月到 2021 年 5 月中断了大约一个月。Proofpoint 研究人员在2020 年 8 月中下旬开始。博文。现在,该组织以新名称和战术、技术和程序 (TTP) 变化重新出现。
Fancy Lazarus 的 DDoS 攻击方法的更改
研究人员说,这些变化表明该组织坚定地努力发展他们的活动。这些变化是赎金定价——从 10 个比特币降低到 2 个比特币的起始价格(很可能是为了识别比特币的波动价值)——以及发送给收件人的电子邮件中使用的措辞。
“除了电子邮件正文为纯文本、HTML 或 JPG 图像附件外,共有三种电子邮件变体发送给相同的收件人,传达相同的信息。这很可能是为了逃避检测,”研究人员写道。以前,发件人有时会包括目标公司的最高级别人员,例如首席执行官的姓名。研究人员说,在最新的活动中,使用了随机的名字、姓氏格式,名字看起来是虚构的。
“有趣的是,该小组仍在回过头来调整原始电子邮件,这可能表明其有效性。然而,从 2020 年 8 月到现在,他们在电子邮件中尝试了完全不同的文本,”研究人员补充说。
Fancy Lazarus 如何构建 DDoS 攻击
这些电子邮件以宣布该组织现在使用的名称开头,并承认受害组织已成为特定目标。该电子邮件敦促目标执行谷歌搜索,以证明该组织“以前的工作”和最近备受瞩目的受害者,如新西兰证券交易所。“你不想像他们一样,是吗?” 电子邮件询问。
然后,电子邮件详细概述了攻击发生的过程,并指出收件人的网络将在 7 天内受到DDoS 攻击,只有在规定的截止日期前支付 2 比特币的费用才能避免这种攻击。为了证明他们的严重性,攻击者声称他们将对“少数随机 IPS”进行小规模攻击,持续大约两个小时。“这不会是一次严重的攻击,也不会对您造成任何损害,”电子邮件继续说道。
当谈到全面攻击时,该组织声称由于攻击的力量,没有应对措施,他们表示攻击的峰值将超过 2 Tbps。“这意味着您的网站和其他连接的服务将无法供所有人使用,”电子邮件中写道。“如果你不付款,攻击将开始,停止费用将增加到 4 个比特币,并且在没有付款的截止日期过后每天增加 1 个比特币。”
勒索 DDoS 攻击的增长
Proofpoint 威胁研究和检测高级主管 Sherrod DeGrippo 在接受 CSO 采访时解释说,虽然勒索 DDoS 攻击不是最近的发展,但加密货币的日益普及正在显着推动勒索 DDoS 攻击的激增。
“最近,从去年开始,勒索 DDoS 活动有所增加,该活动来自该组织。自 2020 年 8 月我们首次开始跟踪此活动以来,Proofpoint 研究人员已经看到来自多个不同且不相关的垂直行业的大约 180 名客户发送了这些勒索电子邮件。在第一个月就看到了其中的 59 个。”
DeGrippo 补充说,勒索 DDoS 攻击也变得越来越有效,特别是针对缺乏 Web 应用程序防火墙或上游服务提供商的组织,这些组织可以有效地将 DDoS 流量从合法流量中过滤出来。“威胁参与者一直在寻找最有效的手段来获得他们想要的东西,在这种情况下是一种经济回报,”她补充道。“DDoS 攻击已经变得越来越容易发起,并且比勒索软件攻击所需的工作量要少得多。此外,通过进行此类攻击,威胁行为者绕过了自动安全保护措施,这些保护措施会标记和阻止勒索软件。”
关于该组织声称他们的攻击将超过 2 Tbps 的合法性,DeGrippo 承认,如果没有对攻击的全面了解,很难确定验证。然而,“根据 FBI 的报告和信息共享小组,据报道,一些攻击达到了大约 2 Tbps,”她说。然而,还值得注意的是,联邦调查局的报告表明,许多已超过受威胁期限的受影响公司要么没有看到任何额外的活动,要么活动已成功缓解。
DeGrippo 总结说,无论如何,组织应该通过适当的缓解措施为此类攻击做好准备。“这包括使用 DoS 保护服务和准备好灾难恢复计划。良好的响应取决于良好的技术和合作伙伴关系,以帮助在受到攻击时过滤 DDoS 流量。组织必须在这些情况发生之前制定计划以应对这些情况。”