
近日,工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(CSTIS)監(jiān)測發(fā)現(xiàn)一種跨平臺的勒索病毒BlackLock,其通過“加密數(shù)據(jù)+威脅泄露”的雙重勒索模式,對政府、教育、制造等多行業(yè)用戶開展攻擊,可能導(dǎo)致數(shù)據(jù)泄露、業(yè)務(wù)中斷等風(fēng)險。
BlackLock是一種采用Go語言開發(fā)的勒索病毒,最早出現(xiàn)于2024年3月,最初以“El Dorado”為名活動,后更名為BlackLock。該勒索病毒可攻擊Windows、Linux及VMware ESXi環(huán)境,覆蓋企業(yè)服務(wù)器、虛擬化平臺及網(wǎng)絡(luò)共享設(shè)備。BlackLock一般通過釣魚攻擊、漏洞利用等方式滲透目標(biāo)系統(tǒng),利用WMI(Windows管理規(guī)范)遠(yuǎn)程執(zhí)行命令刪除卷影副本以阻斷系統(tǒng)恢復(fù),同時通過PowerShell腳本禁用Windows Defender等安全防護,并將該病毒擴散至內(nèi)網(wǎng)其他設(shè)備。在數(shù)據(jù)竊取與加密時,BlackLock先通過內(nèi)置工具掃描并竊取敏感文件,再使用XChaCha20流密碼對文件進行加密,為每個文件生成唯一FileKey(文件密鑰)和Nonce(隨機數(shù)),并通過ECDH橢圓曲線加密算法保護解密密鑰。此外,BlackLock支持命令行參數(shù)(如-path指定加密路徑、-perc控制加密比例、-sort優(yōu)先加密重要文件夾)實現(xiàn)靈活攻擊,最終在受感染目錄生成HOW_RETURN_YOUR_DATA.TXT文件,要求支付贖金以換取解密密鑰。
建議相關(guān)單位和用戶立即組織排查,及時更新防病毒軟件,實施全盤病毒查殺,禁用不必要的端口,開展員工網(wǎng)絡(luò)安全意識培訓(xùn),并可通過及時修復(fù)安全漏洞、定期備份數(shù)據(jù)等措施,防范網(wǎng)絡(luò)攻擊風(fēng)險。