REvil 勒索软件盯上未打补丁的 Pulse Secure VPN 服务器

       使用REvil（Sodinokibi）勒索软件勒索大型组织的网络罪犯瞄准未打补丁的Pulse Secure VPN服务器，并禁用防病毒软件。 安全研究人员正在敦促使用Pulse Secure VPN的组织立即进行修补，否则将面临犯罪分子的“大规模”勒索软件攻击，这些犯罪分子可以轻松地使用Shodan.io IoT搜索引擎来识别易受攻击的VPN服务器。

       上个月，在纳斯达克上市的美国数据中心提供商CyrusOne遭到REvil（Sodinokibi）勒索软件攻击，而去年夏天，美国的几个网络服务商、德克萨斯州的20多个地方政府机构以及400多个牙医诊所也相继遭到了网络攻击。

       由于犯罪分子利用该勒索软件来加密关键业务系统，并要求巨额赎金解密，英国安全研究员凯文•博蒙特将REvil归为“big game”类别，该勒索软件病毒株于去年4月被发现，主要是使用Oracle WebLogic中的漏洞来感染系统。

       去年10月，美国CISA、美国国家安全局联合英国国家网络安全中心发布的警告称：REvil瞄准的Pulse secure VPN服务器还未打补丁。此前有证据显示，政府支持的黑客正在利用Pulse Secure 以及Fortinet VPN产品中的漏洞，由于该漏洞已被网络犯罪分子广泛使用，因而波及范围也越来越广。

       凯文•博蒙特指出：由于该服务器允许远程攻击者在没有有效凭据的情况下连接公司网络，同时禁用多种形式的身份验证，在这样的情况下以纯文本的形式远程查看包括活动目录和账户密码在内的日志和缓存密码，导致Pulse Secure VPN 漏洞情况越来越糟糕。上周发生的两起漏洞事件都采用了类似的手段：通过访问网络来获取域管理控制，然后使用开源VNC远程访问软件来访问移动网络。

       在这样的流程后，所有安全端口都会被禁用，REvil（Sodinokibi）勒索软件会通过PsExec渗透到Windows远程管理系统中。网络安全公司Bad Packets 1月4日扫描数据显示：仍有3825台Pulse secure VPN服务器漏洞还未被修补，其中去年10月警报中所提到的CVE-2019-11510漏洞就包含其中，而1300多个易受攻击的漏洞VPN服务器均位于美国。