Mortar勒索软件

恶意软件仍然是企业和个人面临的最严峻的网络安全威胁之一。现代勒索软件攻击可在数小时内扰乱业务运营、造成严重的经济损失并泄露敏感信息。随着勒索软件团伙的手段日益复杂，维护强大的安全控制和主动防御对于保护宝贵数据和确保业务连续性至关重要。

Mortar勒索软件概览

Mortar勒索软件是一种由网络安全研究人员发现的文件加密恶意软件。该威胁主要针对企业环境，攻击者旨在最大限度地破坏运营，并加大对受害者的勒索压力。一旦部署到受感染的网络中，Mortar就会加密文件，并留下一个以受害者唯一标识符命名的勒索信息，格式为“README-[受害者ID].txt”。

这种勒索软件的一个显著特征是其文件重命名行为。在加密过程中，Mortar 会将一个唯一的受害者 ID 附加到每个受影响的文件上。例如，原本名为“1.png”的文件可能会变成“1.png.4RcrXfvVksS5ACA”，而像“2.pdf”这样的文档可能会变成“2.pdf.4RcrXfvVksS5ACA”。然后，该标识符会被用于勒索信的文件名中，从而将受害者与攻击直接关联起来。

加密过程和赎金要求

Mortar 勒索软件入侵网络后，会对包括文档、数据库、照片和其他重要商业文件在内的各种数据进行加密。勒索信声称攻击者使用了 AES-256 和 RSA-2048 加密算法来锁定受害者的信息。虽然此类说法在勒索软件运营者中很常见，但其最终目的仍然相同：在没有相应解密密钥的情况下，使数据无法访问。

勒索信告知受害者，恢复文件的唯一方法是从攻击者处购买解密工具。犯罪分子并未设定固定的赎金金额，而是引导受害者访问一个基于 Tor 网络的门户网站，并提供用户名和密码作为登录凭证。这种方式允许攻击者与受害者单独协商赎金，并可能根据受害组织的价值调整赎金要求。

加密文件可以恢复吗？

如果没有攻击者的解密机制，恢复被勒索软件加密的文件通常极其困难。在极少数情况下，网络安全研究人员会发现实现错误或加密漏洞，从而能够创建免费的解密器。然而，这种情况并不常见，遭受精心设计的勒索软件攻击的受害者往往面临有限的恢复选择。

支付赎金通常被认为是一项高风险的决定。网络犯罪分子在收到赎金后没有义务提供有效的解密工具。许多受害者都遇到过这种情况：赎金已支付，但恢复工具却从未交付，或者即使交付了，也无法成功恢复数据。因此，支付赎金可能会造成额外的经济损失，而且并不能保证文件能够恢复。

感染途径和攻击技术

Mortar 勒索软件可通过多种常用攻击手段感染受害者。网络钓鱼仍然是最常见的感染途径之一。攻击者会发送包含恶意附件的电子邮件，例如压缩文件、可执行文件或嵌入了有害宏的 Microsoft Office 文档。一旦打开这些文件，即可启动勒索软件的部署过程。

其他感染途径包括木马软件、虚假更新机制、恶意广告活动、不可信的下载门户网站以及通过非官方渠道分发的盗版应用程序。这些方法利用用户信任和安全控制措施的不足来获取系统访问权限。

在针对企业的定向入侵中，攻击者可能会采用更高级的技术。他们经常尝试通过暴力破解攻击弱凭据来入侵远程桌面协议 (RDP) 服务。他们也可能利用面向互联网的系统中未修补的漏洞来获得初始立足点，然后再横向移动到网络中的其他位置，并同时在多台设备上部署勒索软件。

应对迫击炮感染

一旦检测到 Mortar 勒索软件，立即采取遏制措施至关重要。从受感染系统中移除该勒索软件有助于防止进一步的加密活动，并降低对整个环境造成额外损害的风险。但是，恶意软件清除与数据恢复并非同一概念。清除恶意程序并不会自动恢复加密文件。

最可靠的恢复方法仍然是恢复攻击发生前创建的干净备份。备份应与生产系统分开存储，以防止勒索软件在攻击事件期间加密备份存储库。维护安全、隔离备份的组织通常更有能力从勒索软件攻击中恢复，而无需与网络犯罪分子接触。

构建强大的防御体系以抵御勒索软件

有效的勒索软件防护需要采用多层安全策略，结合技术、用户安全意识和主动维护。企业应定期更新操作系统、应用程序和网络设备，以消除攻击者常用的漏洞。强大的身份验证策略，特别是针对远程访问服务的身份验证策略，可以显著降低未经授权访问的风险。

同样重要的是制定稳健的备份策略。关键数据应复制到多个位置，包括离线或断开连接的存储设备，这些设备无法从受损系统访问。定期进行备份测试可确保在紧急情况下恢复程序能够正常运行。

关键安全措施包括：

• 定期进行备份，并将备份存储在独立且受保护的位置。
• 一旦有安全更新和补丁可用，立即应用。
• 使用强度高、独一无二的密码并启用多因素身份验证。
• 限制不必要的远程访问服务并监控登录尝试。
• 培训员工识别钓鱼邮件和可疑附件。
• 部署信誉良好的终端安全防护和网络监控解决方案。

组织还应遵循最小权限原则，仅授予用户履行其职责所需的访问权限。持续监控、安全审计和事件响应计划能够进一步增强抵御诸如 Mortar 等勒索软件攻击的能力。预防性控制措施、快速检测能力和可靠的备份系统相结合，仍然是抵御现代文件加密威胁最有效的防御手段。

结论

Mortar勒索软件对企业网络构成严重威胁，因为它能够加密重要数据、扰乱运营并迫使受害者支付赎金以进行解密。攻击者通过在加密文件后附加唯一标识符，并将受害者引导至专门的勒索门户网站，展现出一种结构化且目标明确的攻击方式。虽然恢复加密文件可能充满挑战，但重视网络安全实践、维护独立备份并主动解决漏洞的组织可以显著降低勒索软件事件的影响，并提升整体安全态势。