• 發布單位:TWCERT/CC
• 更新日期:2025-02-13
• 點閱次數:4863

TWCERT/CC掌握外部情資，近期 Hunter Ransom Group 針對醫療機構發動勒索攻擊。根據情資顯示，該組織的主要攻擊手法包括滲透企業內網，利用 SharpGPOAbuse 和 BYOVD（Bring-Your-Own-Vulnerable-Driver）技術提升帳號權限，繞過傳統防毒軟體的偵測與防護，進一步在內部橫向移動並加密其他主機的系統檔案。

目前遭攻擊之醫療機構，已知是先滲透內部網路後，進而攻擊AD主機，取得權限後再派送惡意程式至其它主機，已發現的惡意程式名稱如下：

以下為勒索軟體攻擊的防護措施建議：

1. 比對檔案雜湊值，並檢視系統是否存在可疑檔案。

2. 嚴格控管共享資料夾權限。

3. 採用網路入侵防護機制，切割不同網段進行隔離，縮小受影響範圍。

4. 透過防毒軟體進行防護，確保系統安全防護措施正常開啟與運行，並及時更新系統及病毒碼。

5. 提高安全意識，不隨意開啟可疑連結、來源不明電子郵件、檔案，並於開啟與運行前進行安全掃描，盡可能從可信的來源下載和安裝軟體。

6.核心系統主機可安裝 EDR(Endpoint Detection and Response) 端點偵測與回應，即時偵測主機異常活動並進行回應。

7. 定期進行檔案備份，並遵守備份 321原則 :

7.1 資料至少備份 3份

7.2 使用 2 種以上不同的備份媒介

7.3 其中 1 份備份要存放異地