多年来，勒索软件的典型形象是文件被加密、屏幕上出现勒索信。PortalGeek描述的一种新战术改变了这一剧本：无加密的原地取材勒索软件在不加密任何文件的情况下瘫痪企业网络，依靠组织自身的工具。结果依然相同——企业停摆，但达到目的的路径更难被检测。

本文解释其运作方式、为何如此难以捉摸，以及企业和居家办公人员应审查哪些方面。

无加密勒索软件的运作方式

根据已发布的信息，该战术在不诉诸文件加密的情况下瘫痪企业网络的运营，而文件加密正是许多防御措施通常监控的环节。攻击者不部署高度可见的恶意程序，而是利用环境中已有的实用工具：PowerShell等管理工具和远程访问软件。

这种方法被称为"原地取材"（living off the land）：入侵者使用已安装的东西。无需加密数据，就可以中断服务、封锁访问或使系统失效，对业务连续性的影响同样严重。对企业而言，无法运营才是核心问题，无论文件是否被加密。

为何使用合法工具使其更难被检测

关键在于攻击者执行的操作乍看之下都不异常。系统管理员每天都使用PowerShell，远程访问软件是技术支持的常见组成部分。如果拥有有效凭据的攻击者启动这些相同的工具，其活动可能被误认为日常工作。

这有几个实际后果：

  • 经典信号更少。 当使用合法程序时，寻找已知恶意文件的杀毒软件几乎无可拦截。
  • 焦点转向凭据。 如果访问是合法的，问题不再是"这是什么软件？"，而是"谁在使用它，从哪里使用？"。
  • 行为更重要。 检测工具的异常使用（在奇怪的时间、从意外的设备）比检测特定文件更有用。

这不是靠单一产品就能解决的威胁。它需要多层防护：访问控制、可见性和恢复能力。

对远程办公和家庭网络意味着什么

企业网络并不止于办公室。每台从家中连接的笔记本电脑、每个远程访问工具和每个被重复使用的密码，都扩大了攻击者可能进入的面。如果该方法依赖于使用合法访问，那么远程工作人员的凭据就成为一道特别有价值的大门。

在实践中，家庭网络的安全影响企业安全：

  • 使用出厂密码或固件未更新的路由器是一个薄弱点。
  • 在个人服务和企业服务之间重复使用密码，使得他人的数据泄露最终影响工作。
  • 安装后被遗忘、或缺乏强化认证的远程访问程序，提供了通往设备的直接通道。

整体背景也很重要。正如我们在关于西班牙勒索软件受害者增加及利用AI窃取数据的分析中所记录的，威胁持续增长，既影响组织，也影响与其连接的个人。

实际措施：MFA、最小权限、监控和备份

这些措施没有一个是新颖的，但合在一起能大幅缩小试图滥用合法工具者的操作空间。

  1. 多因素认证（MFA）。 在电子邮件、企业VPN、远程桌面和任何管理面板上启用它。如果密码泄露，MFA增加了一道重要障碍。
  2. 最小权限。 每个账户应只拥有其所需的权限。如果普通用户不需要以提升权限运行PowerShell，最好加以限制。
  3. 远程访问软件管控。 维护一份已授权工具的清单，并移除未使用的工具。
  4. 行为监控。 记录并审查管理工具的活动，针对异常使用定义警报。
  5. 隔离且经过测试的备份。 将备份与主网络分开保存，并验证可以恢复。如果被封锁的是系统而不仅仅是文件，还应制定有据可查的恢复计划。
  6. 家庭卫生习惯。 更改路由器凭据、更新固件、使用密码管理器设置唯一密码，并保持操作系统更新。

结论：在攻击者之前审查你的配置

无加密的原地取材勒索软件提醒我们，危险并不总是以可疑文件的形式到来。有时它带着有效账户和已在你设备上的工具到来。因此，防御在于保护凭据、限制权限、监控行为，并确保你能够恢复。

本周花几分钟审查你的远程工作配置：关键账户是否启用了MFA？是否更改了路由器的管理密码？备份是否隔离并经过测试？要更好地理解问题的规模，可以查阅我们关于西班牙勒索软件趋势的文章。