卡巴斯基披露新型勒索攻击方式：黑客利用 Windows 自带 BitLocker 工具加密受害者硬盘

IT之家 8 月 2 日消息，安全公司卡巴斯基近日披露两起发生黑客攻击事件，第一起发生在哥伦比亚、第二起发生在墨西哥。黑客分别利用企业暴露在公网的 Windows 远程桌面服务（RDP）以及配置错误的 Microsoft SQL Server 进入公司内部网络，之后均使用 Windows 自带的 BitLocker 磁盘加密功能对系统进行加密，并通过办公室打印机向寄送勒索通知。卡巴斯基指出，黑客并未使用自行开发的勒索木马，而是直接利用原本用于保护数据的 BitLocker 完成加密攻击。在哥伦比亚事件中，黑客攻击入口是一台直接暴露在互联网中的 Windows 远程桌面服务（RDP）设备。该设备连接了一套容量达 8TB、存储关键业务数据的存储系统。黑客取得系统控制权限并修改用户凭证后，仅针对主要存放财务资料的磁盘启用了 BitLocker 加密。受害企业为了尽快恢复被加密的数据，在安全取证人员介入前便自行联系黑客支付 3000 美元（IT之家注：现汇率约合 20306 元人民币）赎金完成系统恢复，导致黑客部分攻击痕迹和证据被清除，后续无法完整还原攻击过程。而墨西哥事件源于企业开发人员将包含数据库账号密码的代码错误公开至 GitHub，黑客利用这些凭据登录配置不当的 Microsoft SQL Server 成功获得服务器控制权限，进而在受害公司的服务器上安装多款合法远程管理工具，并利用计划任务和组策略在公司局域网中多台设备上启用 BitLocker 加密。卡巴斯基表示，企业应当审慎自家网站服务器，避免让远程管理服务直接暴露在公网中，同时应加强数据库权限配置检查，并及时调查安全系统产生的异常通知。若发生安全事件，应优先保留攻击证据，再进行系统恢复，以避免影响后续取证分析。