事件背景与初步调查
近日，全球知名网络安全公司Trellix遭遇安全挑战。据官方确认，公司内部部分源代码存储库出现了未经授权的访问行为。Trellix作为拥有超过53,000家客户的国际化安全厂商，其安全性一直备受行业关注。目前，Trellix已启动应急响应机制，联合顶尖法医鉴定专家进行深入排查，并已向相关执法部门报案。
从我们的应急响应经验来看，针对安全厂商的攻击往往具有极强的针对性，攻击者不仅意在获取经济利益，更可能通过挖掘源代码中的漏洞，寻找供应链攻击的切入点。
攻击链分析与手法揭秘
此次事件的幕后推手被确认为勒索组织RansomHouse。根据该组织的说法，他们在4月17日成功入侵了Trellix的网络，并实施了数据加密。为了证明其实力，RansomHouse在暗网数据泄露门户上发布了部分系统截图，其中包括Trellix设备管理系统的相关界面。
值得关注的是，RansomHouse并非传统的单一勒索组织。自2022年活跃以来，该组织不断迭代其工具集。例如，他们开发的“Mario”工具支持双重加密，而“MrAgent”工具则专注于自动化部署，能够高效地在VMware ESXi等虚拟化平台上实施加密。
这一环节是很多企业容易忽视的：勒索病毒攻击已经从简单的“加密勒索”演变为“窃取+加密+威胁”的组合拳。攻击者通过自动化工具快速横向移动，在被受害者察觉前就完成了核心资产的窃取。
安全专家的深度警示
尽管Trellix目前表示，初步调查未发现源代码发布或分发流程受到影响，也没有证据表明其源代码已被用于实际攻击，但这一事件再次为全球企业敲响了警钟。
类似攻击近年来明显增加，尤其是针对软件开发流程和基础设施管理平台的攻击，已成为勒索组织攻击链中的重要一环。对于企业而言，仅仅保护边界安全已远远不够。
Solar应急响应团队建议
针对此类威胁，Solar团队建议企业从以下几个维度强化防御：
第一，严格实施最小权限原则。源代码库和管理后台必须进行多因素认证（MFA），并严格限制访问来源IP，防止因凭据泄露导致的大规模入侵。
第二，强化日志监控与异常行为分析。攻击者在渗透初期往往会留下痕迹，通过对异常数据传输、非常规时间段的登录行为进行实时监控，能够显著缩短发现攻击的时间窗口。
第三，完善备份与恢复策略。针对勒索病毒，离线备份是最后的防线。确保备份数据的完整性并定期进行灾难恢复演练，是应对此类极端情况的必要手段。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com