勒索病毒已進化成一種名為「勒索病毒服務」(Ransomware-as-a-Service，簡稱 RaaS) 的網路犯罪服務模式，而且此模式的版圖越來越大。這種新的經營方式，讓勒索病毒開發者可將自己的勒索病毒工具出租給加盟夥伴使用，使得這類攻擊因而變多。
每一年都有更多勒索病毒集團冒出來，而每個集團的攻擊手法、目標和造成的衝擊都不盡相同。以下介紹 15 個勒索病毒範例來突顯這項持續性資安威脅的多樣性與演變。
RansomHub
RansomHub 是一個 RaaS 集團，在 2024 年 2 月首次被發現，隨後便以「狩獵大型目標」(Big Game Hunting，簡稱 BGH) 的策略快速成名，專門攻擊那些較有可能支付大筆贖金的大型企業。趨勢科技將 RansomHub 命名為「Water Bakunawa」來加以追蹤，他們會攻擊雲端儲存備份的漏洞以及組態設定錯誤的 Amazon S3 執行個體，利用供應商與客戶之間的信任來強化其勒贖手法。
Rhysida
Rhysida 是一個在 2023 年初出現的勒索病毒集團，採用雙重勒索手法，先將受害者的資料加密，然後再威脅要將資料公開，除非受害者用比特幣支付一筆贖金。他們會偽裝成某種網路資安團隊，先點出受害者的網路和系統有哪些資安漏洞，然後再假裝要協助受害者解決這些問題。他們會使用網路釣魚攻擊來入侵企業，再利用 Cobalt Strike beacons 在受害電腦上橫向移動，最後才植入勒索病毒。
圖 1：RansomHub 勒索病毒的感染過程。
Akira
Akira 出現於 2023 年初，隨即迅速成為最惡名昭彰的勒索病毒家族之一。Akira 採用雙重勒索手法、勒索病毒服務 (RaaS) 經營模式，以及非傳統的支付選項，這項作法是促成他們成功的因素之一。Akira 通常會要求一大筆贖金，從 20 萬美元至 400 萬美元不等。
WannaCry
2017 年 5 月出現的 WannaCry 勒索病毒攻擊利用了一個 Microsoft Windows 的漏洞，總共感染了 20 多萬台系統，遍布 150 多個國家。其惡意程式會將檔案加密，然後要求透過比特幣支付贖金來取得解密金鑰。在遭到 WannaCry 攻擊的機構當中，英國國家衛生局 (National Health Service，簡稱 NHS) 是最大的受害者之一。這個勒索病毒造成了全球高達 70,000 台裝置遭到感染，以及大約 19,000 個掛號或醫療程序遭到取消。
圖 2：感染過程示意圖。
Clop
Clop 勒索病毒有時亦稱為「Cl0p」，從 2019 年開始活躍至今，並以其多層式勒索手法以及高調的攻擊聞名，從 2019 至 2021 年間總共勒索了 5 億美元以上的贖金。此外，Clop 也利用了一些知名軟體中的漏洞 (例如 Accellion 的 File Transfer Appliance) 來盡可能擴大勢力版圖。
8Base
8Base 是一個偽裝成滲透測試團隊的勒索病毒集團，專門鎖定中小企業。他們採用雙重勒索策略，除了將資料加密之外，還會威脅受害者若不支付贖金就要將敏感資訊曝光。8Base 採取一種「點名羞辱」(name-and-shame) 策略，宣稱只懲罰那些不重視資料隱私的企業，希望藉由曝光其機密資訊來破壞受害企業的商譽。
Trigona
Trigona 勒索病毒集團一直在快速演進並推出了具備各種不同功能的版本，包括透過指令列參數來執行客製化加密。他們積極地在廣告中宣傳將提供 20% 至 50% 的分潤給加盟夥伴，顯然其獲利相當豐厚。但他們的活動卻在 2023 年 10 月突然中止，其資料外洩網站也被下架，目前營運狀況不明。
圖 3：Trigona 勒索病毒的感染過程。
LockBit
LockBit 是一個著名的勒索病毒集團，採勒索病毒服務 (RaaS) 方式經營，至今已推出過多個版本 (包括 LockBit 2.0 和 3.0)，並導入了雙重勒索技巧和客製化加密等功能。2024 年 2 月，一項名為 Operation Cronos 的跨國聯合執法行動大大削弱了 LockBit 的營運，查扣了他們的基礎架構並逮捕了關鍵成員。儘管遭到挫敗，LockBit 依然是勒索病毒版圖上的一大威脅。
BlackCat
BlackCat 又稱為「ALPHV」或「AlphaVM」，是一個精密的勒索病毒集團，從 2021 年底起開始以勒索病毒服務 (RaaS) 模式經營。他們的攻擊目標遍及各種產業，包括金融與專業服務，而且有很大數量的受害機構在美國。BlackCat 會運用一些進階技巧 (如惡意廣告以及像 Log4J 這樣的漏洞) 來突破企業防線。除此之外，他們的資料公開網站也相當有名，藉此對受害者施壓來逼迫他們支付贖金。
Ryuk 勒索病毒
Ryuk 是一個與 Wizard Spider 駭客集團有所關聯的勒索病毒變種。2019 年，Ryuk 要求的贖金曾高達 1,250 萬美元，並在該年當中創下一些最高贖金的記錄，包括 530 萬美元和 990 萬美元。其受害機構遍布各種產業，包括：政府、醫療、媒體。除此之外，該集團也與其他惡意程式有所關聯 (如 TrickBot 和 Emotet)，協助它們入侵系統。
資料來源：Malwarebytes。
Black Basta
Black Basta 是一個以勒索病毒服務 (RaaS) 模式經營的勒索病毒集團，現身後便迅速在勒索病毒版圖上占據重要地位，專門攻擊全球各種產業和關鍵基礎設施。據觀察，該集團會利用 QakBot、Brute Ratel 和 Cobalt Strike 之類的工具來滲透網路並將敏感資料外傳。
Royal
Royal 勒索病毒集團從 2022 年初便開始活躍至今，並以激進的攻擊手法與高額的贖金火速竄紅，金額從 25 萬美元至 200 萬美元不等。Royal 採用雙重勒索手法，會將資料加密並外傳，同時也將攻擊行動擴大至 Linux 式系統，包括 ESXi 伺服器。受害對象遍及各種產業，有一大部分集中在北美。
圖 5：Royal 勒索病毒攻擊流程。
Water Ouroboros
Water Ouroboros 出現於 2023 年 10 月，是一個勒索病毒服務 (RaaS) 集團，據稱是從 2023 年 1 月被 FBI 瓦解的 Hive 勒索病毒演化而來。比起加密，他們更專注於資料竊取、漏洞攻擊、登入憑證搜刮，以及使用 Rust 這類語言撰寫進階惡意程式。其攻擊對象主要位於美國、加拿大、英國、法國、德國及義大利。
Hive
Hive 是一個勒索病毒服務 (RaaS) 集團，出現於 2021 年，專門攻擊全球各種產業，包括：醫療、金融及製造業。他們使用雙重勒索手法，先將資料加密之後、再威脅受害者若不支付贖金就要公開敏感資訊。2023 年 1 月，FBI 瓦解了 Hive 的營運，但該集團仍繼續使用不同的別名來經營。
趨勢科技勒索病毒防護
去年，有 83% 的企業都曾發生多次的資安事件，每次損失 440 萬美元，因此，若能降低曝險，平均將可節省 130 萬美元。
Cyber Risk Exposure Management 是我們 Trend Vision One™ 企業網路資安平台的一環，能大幅降低資安風險，提供涵蓋雲端、混合及企業內環境的持續發掘、即時評估，以及自動防範。
進一步了解
Joe Lee
產品管理副總裁
Joe Lee 是趨勢科技產品管理副總裁，負責掌管企業電子郵件與網路防護解決方案的全球策略與產品開發。