PYSA勒索軟體：運作原理及防護方法

Alpha 指南 » 遊戲 » PYSA勒索軟體：運作原理及防護方法

PYSA勒索軟體已成為近期網路犯罪的一大亮點：它結合了強大的文件加密、資料竊取以及極具侵略性的施壓手段，例如向受害者撥打電話。該組織又名Pysa-Mespinoza，其攻擊目標主要集中在大學、公共機構和醫療保健公司，但也包括歐洲和拉丁美洲各種類型和規模的私營企業。

如果您想了解PYSA 的工作原理、它如何滲透網路、它會對您的裝置造成哪些影響以及如何保護自己，本文將為您提供詳細的解釋。本文面向西班牙和拉丁美洲的使用者和組織，力求以清晰易懂的方式解釋相關概念，避免使用不必要的專業術語，同時涵蓋必要的技術細節。

什麼是 PYSA 勒索軟體？為什麼它如此危險？

PYSA 的全名是「 Protect Your System Amigo 」（保護你的系統，朋友），這句諷刺意味十足的短語甚至被攻擊者用在了勒索信中。它是一種文件加密勒索軟體：它使用強大的加密技術加密文件，阻止用戶存取文件，並要求支付贖金（通常以比特幣等加密貨幣支付），以換取所謂的解密工具或金鑰。

該勒索軟體家族是Mespinoza 勒索軟體的變種，最初於 2019 年末被發現，並在 2020 年至 2021 年間獲得了廣泛關注。它不僅限於加密資料：它採用雙重勒索，即首先竊取敏感資訊並威脅稱，如果受害者不支付贖金，就會公佈這些資訊，此外還要求支付解密文件的費用。

PYSA 因其受害者類型而引起了FBI 和法國網路安全機構等組織的關注：大學（如巴塞隆納自治大學）、各級教育中心、大型醫療機構、地方和區域行政部門，以及西班牙、阿根廷、巴西、哥倫比亞和墨西哥等國的私營公司。

PYSA的經營者在暗網上維護一個網站，上面公佈了他們攻擊過的組織名稱，以及從那些拒絕支付贖金的組織那裡竊取的部分文件。根據Darktracer等來源的數據，光是截至2021年11月，就有超過300個受害者被公開列出，足以說明這次攻擊活動的規模之大。

商業模式：PYSA 作為勒索軟體即服務 (RaaS)

PYSA採用勒索軟體即服務（RaaS）模式運作。這意味著惡意軟體開發者不一定親自在前線執行攻擊：他們招募聯盟成員負責入侵網路、在網路中傳播並部署勒索軟體，以換取從收取的贖金中獲得佣金。

在這種模式下，開發者提供基礎設施（控制面板、定製版勒索軟體、電子郵件地址，有時還包括交易服務），而合作方則提供初始存取權限和在受害者網路中操作的技術訣竅。這種專業化使得攻擊比以往的大規模垃圾郵件攻擊更具針對性、更需要人工幹預，也更難阻止。

與其他駭客組織（例如REvil、LockBit、Conti、DarkSide 和 Netwalker）一樣，PYSA 將 RaaS（資料取得即服務）模式與人肉搜尋軟體/外洩軟體策略結合：竊取和外洩資料作為施加壓力的額外手段。這會倍增受害者的聲譽和法律風險，他們不僅面臨資料遺失的困境，還可能面臨機密資訊被公開傳播的風險。

PYSA勒索軟體如何傳播以及如何獲得初始訪問權限

與 WannaCry 等利用漏洞自動傳播的威脅不同，PYSA 採用「人工操作」的方式。它不會自我傳播；相反，攻擊者需要手動滲透網絡，逐步推進，直到找到進行加密的理想位置。

在 PYSA 活動中觀察到最常見的初始訪問途徑是：

• 網路釣魚郵件 精心準備，針對特定目標（大學教職員工、市議會僱員、醫護人員等），帶有惡意附件或鏈接，打開後攻擊者可以執行代碼或竊取憑證。
• 暴力破解或字典攻擊 針對服務 RDP（遠端桌面協定） 暴露在網路上且防護措施薄弱，尤其是使用弱密碼或重複使用密碼的人。
• 濫用 從非官方網站下載修改過的安裝程序或盜版軟體，其中嵌入了惡意軟體，方便犯罪團夥入侵或安裝木馬程序，然後部署勒索軟體。
• 使用 以前的木馬和惡意軟體 進行鍊式感染：一旦木馬程式進入系統，它就可以在稍後的時間下載並執行 PYSA。

一旦獲得初步立足點，PYSA 攻擊者就會依靠典型的滲透測試和管理工具進行內部偵察：PowerShell Empire、Koadic、PsExec、Mimikatz 和其他實用程序，使他們能夠枚舉網路、獲取更多密碼、提升權限以及在伺服器和工作站之間橫向移動。

在這個過程中，攻擊者會識別關鍵伺服器、網域控制器、備份系統和資料儲存庫（資料庫、檔案伺服器、網路共用），直到全面掌握基礎架構的狀況。只有在一切準備就緒後，他們才會幾乎同時在多台機器上部署 PYSA 二進位文件，以最大限度地造成破壞。

PYSA 在受感染的電腦內部會執行哪些操作？

當 PYSA 可執行檔案在受感染的電腦上啟動時，勒索軟體會遵循一系列非常具體的操作，以確保加密以受控的方式進行，並確保受害者始終可以看到勒索訊息。

首先，它會建立一個具有特定識別碼的互斥鎖（互斥鎖），以確保勒索軟體不會同時運行兩個實例。如果偵測到互斥鎖已存在，它會終止執行，以防止雙重加密，因為雙重加密可能會阻礙後續解密，甚至導致檔案永久損壞。

PYSA隨後啟動多個平行加密執行線程，旨在盡可能加快加密速度，並最大限度地縮短管理員的反應時間。同時，它還會修改Windows註冊表項，使其勒索資訊在每次系統啟動時自動開啟。

該惡意軟體還會準備一個批次腳本，通常稱為update.bat，該腳本在最後用於清除威脅本身的痕跡：它會刪除臨時檔案、可執行檔案所在的資料夾以及其他可能有助於後續取證分析的元素。

另一個關鍵階段是檔案系統分析。 PYSA 會掃描驅動器，識別哪些檔案已加密，哪些檔案未加密，並產生兩個單獨的清單：

• 允許清單這包括攻擊者感興趣的副檔名（.doc、.docx、.xls、.db、.zip 等）的文件，只要它們超過一定的最小大小（例如 1 KB）。這些文件都是加密的候選對象。
• 黑名單收集目錄和文件 對系統的正常運作至關重要 （例如“C:\Windows”和其他系統路徑）。加密這些路徑可能會在攻擊者與受害者互動之前就使機器無法使用，這違背了他們的財務利益。

任何不屬於任一清單的內容，如果被認為可能成為勒索目標，都會被標記為「允許」。有了這種分類，加密線程會專注於允許清單中的項目，而忽略黑名單中的項目。

PYSA 和 .pysa 副檔名的混合加密技術

PYSA採用了一種在現代勒索軟體中非常常見的混合加密方法。它結合了對稱加密和非對稱加密演算法，以兼顧效能和安全性。

首先，使用AES 的 CBC 模式（AES-CBC）對選定的文件進行加密。對於每個檔案或檔案集，都會產生一個對稱金鑰和一個初始化向量 (IV)，這些是解密所必需的元素。這種使用 AES 的方法可以在合理的時間內加密大量資訊。

然後，使用非對稱加密演算法RSA進一步加密該AES金鑰和初始化向量（IV）。這樣，只有擁有對應RSA私鑰的人（即攻擊者）才能解密AES金鑰，進而解密所有用該金鑰加密的檔案。這可以有效防止暴力破解攻擊或多個受害者利用單一金鑰的情況發生。

實際上，當 PYSA 感染結束後，使用者會發現他們的文件、圖像、資料庫和其他重要文件都被加密並重新命名，添加了「.pysa」副檔名。因此，像「1.jpg」這樣的檔案會變成「1.jpg.pysa」 ，所有其他受影響的檔案都會發生同樣的情況。

在加密檔案所在的同一資料夾中，PYSA 會留下一個勒索信，通常名為「Readme.README.txt」，其中解釋了發生了什麼以及如何聯繫犯罪分子。加密過程完成後，update.bat腳本會運行，從惡意軟體執行的目錄中刪除臨時「\pysa」資料夾，以及任何已儲存的清理腳本，例如C:\Users\<使用者名稱>\AppData\Local\Temp中的清理腳本。

勒索信、聯絡郵件和雙重勒索策略

PYSA 勒索信通常以「您好，公司」之類的訊息開頭，並聲稱「裝置的每個位元組都已加密」。它還補充說，恢復備份毫無用處，因為據他們所說，備份也會被加密（如果備份得到適當隔離，這種情況在實踐中並不總是發生）。

在那封信中，攻擊者提供了多個ProtonMail郵箱地址作為聯絡方式：[email protected]、[email protected]，以及其他一些隨著時間推移而變更的地址（[email protected]、[email protected]、[email protected]、[email protected]等等）。 ProtonMail因其高度的匿名性和通訊加密性而受到網路犯罪分子的青睞。

為了博取信任，PYSA 的經營者會允許受害者發送兩個加密檔案（每個檔案不超過幾兆位元組）進行免費解密測試。這種伎倆在許多勒索軟體中都很常見，其目的是讓受害者相信他們確實掌握了密鑰，並且只要支付贖金就能恢復資料。

該通知包含一個簡短的「常見問題」部分，其中回答了一些常見問題：如何確保自己沒有被騙，如何恢復所有數據（基本上，不要重新啟動，不要移動文件並聯繫他們），甚至還有一句諷刺的短語來解釋該如何對老闆說：“保護你的系統，朋友”，用首字母縮寫詞 PYSA 來強化遊戲。

除了加密之外，該組織還採用人肉搜尋或洩漏軟體的手段：在啟動勒索軟體之前，他們會竊取敏感文件（合約、員工資料、醫療記錄、財務資訊等）。如果受害者不支付贖金，部分數據就會發佈到該組織的暗網上，以此作為懲罰並警告其他目標。這種策略會加大受害組織在心理、商業和監管上的壓力。

PYSA襲擊事件受害者概況及影響

PYSA專門攻擊教育機構（大學、學院、神學院）、政府機構（市議會、地方和區域行政部門）、私人公司以及醫療保健行業的組織。這種攻擊策略反映了其明確的考量：這些機構處理關鍵數據，無法承受長時間的宕機。

西班牙和拉丁美洲已確認多名受害者，其中一些受害者的資訊已列入PYSA洩密門戶網站。受影響的國家包括西班牙、阿根廷、巴西、哥倫比亞和墨西哥，公共和私營機構均被迫暫停服務或暫時恢復紙本流程。

此類攻擊的後果涉及多個方面：設備和服務被封鎖、無法存取重要資訊、高昂的經濟成本（包括勒索贖金以及事件回應和恢復費用）、因公開表現為受害者而造成的聲譽影響，甚至如果個人或機密資料洩露，還可能受到監管制裁。

在許多情況下，出於羞恥感或害怕資訊被公開，一些受害者會支付贖金，試圖阻止資訊傳播或更快地恢復資料。然而，執法部門和專家均不建議這樣做，因為無法保證一定能獲得有效的密鑰，也無法保證支付贖金後資料不會繼續洩漏。

PYSA的偵測、入侵指標及清除

從防禦角度來看，PYSA 存在多個入侵指標 (IoC)：可執行檔案的雜湊值、檔案名稱和輔助腳本、使用的電子郵件地址、修改過的登錄項目、在 Windows 系統上執行的異常進程等。這些 IoC 使得 EDR、下一代防毒軟體或 Cyber​​eason 等平台等安全解決方案能夠偵測到勒索軟體或其前驅物組件的存在。

有些解決方案利用 PYSA 的特性，例如建立特定的互斥鎖，來阻止其執行。它們還利用YARA規則來識別二進位程式碼中的模式，以及行為控制策略（偵測批次加密、可疑的登錄機碼變更、非典型的 PowerShell 執行等）。

關於清除，需要注意的是，刪除惡意軟體並不能恢復檔案。通常，清除過程首先需要隔離受影響的系統，執行反惡意軟體或EDR工具來清除PYSA二進位檔案和其他元件（木馬、後門、持久化腳本），然後才能從備份或使用取證工具啟動資料復原程序。

各種商業解決方案（例如專業安全網站推薦的解決方案）提供自動掃描器，能夠檢測出 Avast、BitDefender、ESET 或 Kaspersky 等引擎識別出的變種（這些引擎會將 PYSA 分類為不同類型的 Win32/Filecoder 或 Trojan.Win32 等）。這些工具有助於清理系統，但並不能保證恢復加密檔案。

目前來看，由於 PYSA 使用了強大的加密技術，沒有已知的公開缺陷，因此在不支付贖金的情況下恢復資料的唯一可靠方法通常是擁有完整的離線備份，或者在非常特定的情況下使用已刪除檔案復原工具（例如 Recuva），以防某些資料尚未被覆蓋。

如何識別勒索軟體攻擊並檢查其是否可以解密

在任何涉及大規模文件加密的事件中，識別其背後的勒索軟體家族至關重要。這一點非常重要，因為雖然某些設計拙劣的勒索軟體家族有免費的解密工具，但使用錯誤的解密工具可能會對您的檔案造成不可逆轉的損壞。

首先需要檢討的要素包括：

• 贖金信的姓名和內容 （如 _readme.txt、DECRYPT_FILES.html、Readme.README.txt 等檔案）。雖然許多名稱都很通用，但措辭和聯絡郵箱有助於識別組織。
• 新增到檔案的副檔名 加密檔案（.pysa、.encrypted、.enc、.locked 等）。有些副檔名是某個檔案系列獨有的，有些則不是。
• 很多 聯絡信箱 以及紙條上出現的加密貨幣錢包位址。

快速可靠地識別勒索軟體的方法是使用ID Ransomware等服務。只需上傳勒索信和其中一個加密檔案（前提是該文件不包含敏感資料），該平台即可在幾秒鐘內指出該勒索軟體屬於哪個勒索軟體家族，是否存在免費的解密工具，以及有哪些切實可行的恢復方案。

就 PYSA 而言，目前還沒有可用的公共解密器，因此如果該服務識別出此系列惡意軟體，合理的做法是專注於：保存調查證據、清理環境、從安全備份中恢復以及通知相關部門有關事件。

預防 PYSA 和其他勒索軟體感染的最佳實踐

在考慮如何應對攻擊之前，最重要的是盡可能降低感染風險。阻止 PYSA 的建議與應對任何高影響勒索軟體的通用最佳實踐相一致。

從使用者和電子郵件的角度來看，這很合理：

• 避免打開可疑郵件。 或意想不到的郵件，尤其是帶有附件或鏈接，要求緊急操作（付款、更改密碼、下載發票等）的郵件。
• 懷疑 帶有宏的辦公文件以 ZIP 或 RAR 格式打包的可執行文件以及要求降低辦公室套件安全性的文件。
• 對員工進行培訓並提高其意識 定期關注網路釣魚、社交工程和勒索軟體風險。

關於技術攻擊面，這一點至關重要：

• 正確配置 RDP 以及其他暴露的服務：按 IP 位址限制、使用 VPN、停用不必要的服務並使用強密碼保護它們。
• 實施 強大而獨特的密碼，連同 多重身份驗證 (MFA) 盡可能使用（電子郵件、VPN、管理面板、遠端桌面等）。
• aplicar 補丁和更新 作業系統和應用程式運行速度很快，尤其是在面向互聯網的服務中。

制定完善的備份策略也至關重要：

• 執行定期備份 關鍵資訊應遵循 3-2-1 規則等原則（三份副本，分別保存在兩種不同的媒體上，其中一份保存在主網路之外）。
• 隔離備份 這樣一來，它們就無法從生產網路直接訪問，勒索軟體也無法輕易加密它們。
• 定期測試 恢復不僅是備份，還要確保備份計畫在實踐中有效。

最後，部署一套強大的終端安全解決方案（可靠的防毒/反惡意軟體、EDR、帶有IDS/IPS的防火牆等）可以顯著降低PYSA等威脅未被偵測到的可能性。這些工具如果配置和更新得當，可以在造成不可逆的損害之前偵測到橫向移動嘗試、濫用管理工具以及大規模加密等行為。

如果發生感染，相關部門和專家一致建議：立即隔離受影響的電腦或網路（斷開網路連線、斷開外部硬碟、註銷雲端服務），不要支付贖金，收集證據，聯絡網路安全專家，並將事件報告給主管部門，以協助起訴這些犯罪行為。

綜上所述，PYSA 不僅僅是一種簡單的、令人煩惱的病毒，而是一種複雜的犯罪活動，它結合了社會工程學、利用系統配置錯誤、滲透測試工具、高級加密和公開勒索等手段。了解它的工作原理、攻擊步驟以及如何阻止或減輕其影響，是確保您在遭遇 PYSA 時能夠做好準備並製定切實可行的系統和資料保護計劃的最佳途徑。