CACTUS Ransomware

CACTUS 勒索軟體如何運作？

CACTUS勒索軟體通常利用虛擬私人網路（ VPN ）軟體中的脆弱性來存取目標環境。 取得系統存取權限後，惡意軟體透過 SSH 與其操作員建立命令與控制 (C2) 通訊。 它還利用受感染系統上的計劃任務來在重新啟動後保持持久性。

透過在目標網路上的足跡，惡意軟體使用網路掃描來識別網路上潛在的感染目標。 然後，它使用各種方法竊取使用者憑證，例如從 Web 瀏覽器收集它們並從 LSASS 轉儲它們。 然後，這些被盜用的憑證將用於獲得執行攻擊所需的存取等級。 這包括在遠端裝置上新增或存取帳戶，惡意軟體可利用這些帳戶透過網路傳播自身。

一旦安裝上惡意軟體，惡意軟體就會使用 msiexec 來卸載常見的防毒軟體。 該惡意軟體還採用了各種旨在保護其免受檢測的技術，包括以加密形式分發惡意軟體，需要 AES 金鑰才能解壓縮。 該技術可能旨在防止對惡意軟體的分析，因為研究人員和沙箱可能沒有收集適當的解密金鑰以及惡意軟體副本，或不知道觸發其惡意功能所需的配置參數。

CACTUS 是雙重勒索勒索軟體變種的一個例子。 除了結合使用 RSA 和 AES 來加密資料外，惡意軟體還嘗試竊取資料。 據觀察，可以使用 Rclone 來實現此目的，它將被盜的文件移動到雲端儲存。 一旦加密和洩漏完成，惡意軟體就會在使用者的電腦上發布勒索資訊。

如何防範 CACTUS 勒索軟體

CACTUS 是勒索軟體變體的一個例子，旨在攻擊企業網絡，同時使用各種規避技術在雷達下飛行。 組織可以實施一些安全最佳實務來防範這種威脅，包括：

• 修補程式管理： CACTUS 勒索軟體主要透過利用未打補丁的VPN系統中已知的脆弱性來感染系統。 當更新和修補程式可用時立即應用可以防止惡意軟體使用此存取向量。
• 強式驗證：此勒索軟體經常嘗試從瀏覽器和 LSASS 竊取憑證，以獲得實現其目標所需的存取權限和特權。 對使用者帳戶實施多重身份驗證 (MFA)可以防止 CACTUS 使用從受感染電腦竊取的密碼。
• 員工教育： CACTUS 嘗試透過將各種來源的密碼轉儲到受感染的電腦上來利用密碼重複使用。 對員工進行帳戶安全最佳實務培訓有助於減少或消除此威脅。
• 網路分段： CACTUS 嘗試使用它所建立的帳戶或從受感染的電腦盜取的帳戶在網路中橫向移動。 網路分段將高價值系統與網路的其餘部分隔離開來，使攻擊者更難以訪問它們。
• 網路安全：此勒索軟體使用網路掃描和遠端存取工具透過網路運作。 網路監控和安全解決方案可以識別並阻止這些橫向移動的嘗試。
• 反勒索軟體解決方案： CACTUS 嘗試加密敏感檔案並透過雲端儲存洩露它們。 反勒索軟體解決方案可以識別這種惡意行為並消除惡意軟體感染。