8Base Ransomware Group

8Base 勒索軟體如何運作？

通常，8Base 惡意軟體透過網路釣魚電子郵件或初始存取代理在目標環境中站穩腳跟。 這些網路犯罪分子透過某種手段（網路釣魚、洩漏憑證、脆弱性勒索等）獲得了公司網路的存取權限，並將該存取權限出售給暗網上的其他網路犯罪分子。

一旦感染計算機，8Base 就會充當雙重勒索勒索軟體，既加密又竊取資料。 首先列舉連接到系統的所有磁碟機並識別其中的資料檔案。 然後，這些檔案在 CBC 模式下使用 AES-256 進行加密，並具有 .8base 附加到它們的擴展名。

該惡意軟體還使用各種手段來逃避檢測、增加持久性並防止資料恢復。 一些技術包括：

• 修改防火牆規則以停用 Windows Defender Advanced 防火牆。
• 刪除加密檔案的捲影副本。
• 在啟動策略中停用恢復模式。
• 在 Windows 登錄和啟動資料夾中新增持久性。

除了加密資料外，惡意軟體還會嘗試從受感染的電腦中竊取資料。 一旦資料加密和外洩完成，惡意軟體將向受感染裝置的所有者提出贖金要求。

提出贖金要求後，該公司可能會選擇支付贖金以恢復對其加密文件的存取。 如果情況並非如此，那麼雙重勒索就會發揮作用，如果該組織繼續拒絕付款，8Base 勒索軟體組織將威脅公開他們從公司係統中竊取的敏感資訊。 這種資料外洩可能會對組織造成重大聲譽損害，並可能因未能正確保護客戶資料而導致監管處罰。

如何防範 8Base 勒索軟體

勒索軟體攻擊對於組織來說可能具有破壞性且代價高昂。 防範 8Base 和其他勒索軟體攻擊的一些最佳實踐包括：

• 員工安全培訓：眾所周知，8Base 勒索軟體組織使用網路釣魚電子郵件作為其主要感染媒介之一。 培訓員工發現並正確應對常見的網路釣魚威脅有助於降低他們對企業造成的風險。
• 反勒索軟體解決方案： 反勒索軟體解決方案可以使用行為分析和簽名檢測來識別並阻止裝置上可能的勒索軟體感染。 例如，勒索軟體在加密過程中開啟並修改許多文件，這是一種不尋常且可能是惡意的行為，端點資安解決方案可以將其用作潛在的妥協指標(IoC)。
• 資料備份： 8Base 是一種雙重勒索勒索軟體變種，這意味著它既加密又竊取資料。 做好資料備份後，組織可以選擇從備份中恢復加密數據，而無需支付解密金鑰的費用。
• 零信任安全： 8Base 和其他勒索軟體變體需要能夠存取高價值資料才能對其進行加密或竊取。 基於最小特權原則的零信任安全性降低了惡意軟體在不被發現的情況下獲得所需存取權限的可能性。
• 強用戶身份驗證：勒索軟體可能使用弱密碼或洩漏的密碼來取得使用者帳戶及其相關權限的存取權限。 實施按鈕驗證 (MFA ) 可防止這種在公司係統內獲得初始存取或特權提升的方法。
• 網路分段：勒索軟體可能需要透過組織的網路從最初的感染點到達資料庫和其他高價值目標。 網路分段將關鍵系統與員工工作站隔離，並使組織更容易實施和實施零信任存取控制，使此流程變得更加困難。