【2018資安趨勢 5】30萬個勒贖錢包金流追追追，小心Cerber勒索軟體持續發威

面對全球勒索軟體橫行，只有不到4成（37％）的人有做好備份電腦資料的基本工作而已。根據Google從2016年第一季以來，開始追蹤勒索軟體專案的報告中顯示，使用者對勒索軟體查詢的比例暴增877％，證明勒索軟體帶來的威脅已經顯得白熱化及正常化。

對此，Google反詐欺和濫用研究總監Elie Bursztein在黑帽駭客大會上表示，勒索軟體賺取的金額高達2千5百萬美元（約新臺幣7.8億元），其中大約三成金額（780萬美元）是勒索軟體Locky的贖金，但到今年第二季還持續有人受駭、支付贖金以求取得解密金鑰的勒索軟體則是Cerber。

Locky贖金占三成，但Cerber今年第二季仍持續有人付贖金

為了確保使用者上網安全，Elie Bursztein表示，Google籌組一個由該公司、區塊鏈研究公司Chainalysis、聖地牙哥大學以及紐約州立大學組成的團隊，一起追蹤並分析勒索軟體的比特幣錢包，透過相關的金流追蹤，先定義出受駭的對象，再找出付款的網路途徑，比對不同的付款途徑，找出共通受駭對象或付款錢包，甚至是共用的付錢網路途徑等。

Elie Bursztein表示，該團隊發現了34個勒索軟體家族的資料集（Data Set），以及15.4萬的Binaries，從程式碼的相似程度、共用相關的基礎設施（例如：命令與控制伺服器）。將這些資料作分類，總共歸納出15.4萬個種子資料集（Seed dataset）和14.7萬個額外的Binaries。

該團隊也使用AI人工智能機制，找出不同勒索軟體的比特幣付款途徑。Elie Bursztein指出，從資料中也發現，從2016年第二季開始，就發現開始有不同的勒索軟體出現獲利模式，每個月進帳上百萬美元。

若進一步分析勒索軟體所獲得的贖金，從2016年第一季以來。使用者支付勒索軟體的贖金高達2,525萬美金，迄今獲得最多贖金的是勒索軟體Locky，贖金金額超過780萬美金，約佔整體勒索軟體贖金金額的三成。

其次，則為Cerber，勒索贖金高達690萬美元，占整體贖金金額的27％。第三名則是勒索軟體CryptoLocker，勒索贖金金額為200萬美金，占整體贖金金額的8％。

至於在今年5月造成全球人心惶惶的勒索蠕蟲WannaCry，從該份統計資料卻發現，真正支付WannaCry勒索蠕蟲的贖金只有10萬美元，約56個比特幣。顯而易見，WannaCry雖然造成全球性的大災害，但獲利跟其他勒索軟體相較之下，卻相對少。

若從Google另外一個針對每個月支付勒索軟體贖金的追蹤調查資料發現，從2016年第一季開始，使用者最主要是支付CryptoWall的贖金（贖金總額120萬美元），但只維持了一季就消聲匿跡。在這之後，最主要的贖金都是針對勒索軟體Locky，一直到2016年第四季後，就幾乎看不見Locky的蹤影。

從2016年第二季一直發展到今年第二季，都一直有追蹤到，持續有使用者支付贖金的勒索軟體就是Cerber，目前追蹤到的贖金金額排名第二名，但因為是一個現在進行式的勒索軟體，只要還持續演進，並且持續加密使用者的電腦資料，駭客獲得的贖金金額也會持續累積增加。

根據Google統計，有九成的使用者是透過單一的支付途徑支付相關的勒索贖金，其中更有高達95％的比特幣，是透過BTC-E這個比特幣交易平臺兌現的。

Locky贖金總額最高，但Cerber最具有長尾效應

從統計資料看來，Locky主要橫行的時間以2016年為主，但在今年第一季仍出現零星的贖金支付跡象，Elie Bursztein表示，Locky每個月平均都有超過100萬美元的贖金收入，是目前「最賺錢」的勒索軟體排名第一名。

最具長尾效應的勒索軟體就是Cerber，到目前為止，都持續有贖金支付的紀錄，Cerber每個月贖金收入都超過20萬美元，已經維持一年以上。除此之外，Cerber更是將勒索軟體雲端服務化的重要推手，推出Ransomware as a Service（勒索軟體即服務）的業務型態，鼓勵使用者購買勒索軟體後，自己去感染其他使用者並以此賺錢。

目前Cerber加密電腦資料，幾乎都在一分鐘內完成，平日如果沒有良好資安攻防演練機制，一旦面對這樣的快速加密機制，使用者面對這樣的電腦資料加密情況，只能束手無策。

Spora獲得的贖金雖然只有80萬美金，卻重新定義勒索軟體的商業模式，除了可以免費解鎖2個檔案以測試金鑰有效、駭客言而有信外，使用者也可以依據想要解密內容的多寡，例如全部硬碟資料解密要支付79美元，也可以選擇花30美元，只要解開特定檔案即可。

至於WannaCry收到的贖金只有10萬美金，大約只有得到56個比特幣，流通的比特幣錢包更只有5個而已，但迄今還沒有出現比特幣兌現的紀錄。