卡巴斯基：VHD勒索软件出自北朝鲜骇客集团Lazarus之手

资安业者卡巴斯基（Kaspersky）本周揭露了被用来执行目标式攻击的VHD勒索软件，分析后发现该勒索软件应是出自北朝鲜骇客集团Lazarus之手，而且与勒索软件攻击专业分工的生态不同，Lazarus从入侵目标系统到所部署的VHD勒索软件，全都是自己包办。

卡巴斯基的研究人员表示，勒索软件攻击生态体系具备各自独立的高度专业分工，例如可能有人专门开发勒索软件，有人专门出售僵尸网络，而骇客在摸清攻击目标的金融与IT程序后，再选择不同的合作伙伴展开攻击，使得主使者通常模糊难辨。

然而，在今年3月及5月发生的两次VHD勒索软件攻击，却与既有的生态体系截然不同，3月的攻击引起了卡巴斯基的关注，一来是因VHD非常冷门，样本很少，也没在暗网中看过它被兜售，二来是骇客所使用的散布手法，令人联想到进阶持续性威胁（APT）攻击。

研究人员说明，他们在VHD中所发现的散布工具，含有一个专替受害者企业建立的管理凭证及IP地址列表，以针对所发现的任何机器执行暴力破解攻击，只要成功建立连结，就会安装网络共享，VHD便透过WMI呼叫被复制与执行，而这却是APT攻击常见的手法。

5月的VHD攻击进一步曝露了骇客的身份。当时骇客借由开采VPN闸道的安全漏洞渗透到目标网络，取得了管理员权限，并在受害系统上部署了后门，进而掌控Active Directory服务器，再于该网络的所有机器部署VHD勒索软件，整个感染过程在10小时内完成。

然而，卡巴斯基发现，骇客所使用的后门为MATA跨平台框架的一个实例，而且不管是卡巴斯基或其它资安业者都认为，Lazarus集团是MATA框架唯一所有人，再加上VHD并非是个商业产品，因而断定VHD也是Lazarus所有。

研究人员表示，Lazarus向来处于APT与金融犯罪的交叉口，决定单打独斗的原因，也许是该集团发现自己很难与网络犯罪的黑社会互动，或者只是单纯的不想与别人拆分获利。