事件背景与影响
近期，安全研究团队披露了一起针对南亚地区某 IT 服务公司的勒索攻击事件。此次攻击中出现了一种名为“Spirals”的新型勒索病毒。从我们的应急响应经验来看，该攻击展现了极高的专业度和执行效率：攻击者从最初的边界突破到完成全网范围的加密，整个过程耗时不到 24 小时。这种“闪电战”式的勒索手法，给受害企业的业务连续性带来了毁灭性打击。
攻击链深度解析
攻击者此次采用了典型的“双重勒索”模型，其攻击路径清晰且极具针对性：
- 边界突破：攻击者首先扫描并利用了企业面向互联网的 IIS 服务器漏洞，通过植入 ASP.NET WebShell，成功获取了服务器的控制权限。
- 权限提升与持久化：在获得立足点后的短短 3 小时内，攻击者便通过 UAC 绕过技术提升权限，并开启 RDP 服务、创建后门账户，确保了长期驻留能力。
- 信息搜集与凭据窃取：这是很多企业容易忽视的环节。攻击者不仅转储了 SAM 数据库，还针对多台主机进行了 LSASS 内存转储，高效获取了横向移动所需的凭据。
- 横向移动与大规模部署：攻击者利用 WMI 协议进行横向移动，并通过 PsExec 以 SYSTEM 权限大规模推送经过 Base64 编码的恶意 PowerShell 脚本。
技术手法揭秘
Spirals 勒索病毒由 Rust 语言编写，其技术细节体现了当前勒索软件开发的趋势：
- 隐蔽执行：恶意软件伪装成 Windows 合法工具 bitsadmin.exe，以降低被安全软件拦截的概率。
- 加密机制：采用了 AES-128 对称加密结合 ECDH P-256 非对称加密的复合方案。为提高加密速度，针对超过 5MB 的大文件采用了间歇加密策略。
- 业务瘫痪：在执行加密前，攻击者编写脚本批量关闭了包括备份、数据库及虚拟化在内的 23 类关键业务服务，确保文件处于“解锁”状态，从而实现彻底加密。
- 隐蔽隧道：攻击者使用了 Chisel 等工具伪装成 chrome.exe 进行流量转发，并构建了反向 SOCKS 代理，为数据外泄和后续指令下发提供了隐蔽通道。
安全建议与 Solar 经验
类似攻击近年来明显增加，针对这种高强度的勒索攻击，我们建议企业采取以下防护措施：
- 加固边界防护：重点排查面向互联网的 IIS 服务器，及时修补漏洞，并定期进行 WebShell 专项排查。
- 强化权限管理：严格控制 RDP 的暴露面，禁用不必要的高危协议（如 PsExec 的滥用），并对敏感进程（如 LSASS）的内存访问进行严格监控。
- 完善备份机制：确保备份系统与生产环境进行物理隔离，并定期进行恢复演练。攻击者往往会优先破坏备份，这是防御双重勒索的最后一道防线。
- 异常行为告警：建立针对大规模 PowerShell 执行、Defender 被恶意禁用、以及异常网络隧道流量的实时告警机制。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com