基于ATT&CK模型的勒索软件组织攻击方法研究  

Analysis of Attack Methods of Ransomware Organizations Based on ATT&CK

作　　者：郑啸宇 杨莹 汪龙 Zheng Xiaoyu;Yang Ying;Wang Long(The Third Research Institute of The Ministry of Public Security,Shanghai 200031)

机构地区：[1]公安部第三研究所,上海200031

出　　处：《信息安全研究》2023年第11期1054-1060,共7页Journal of Information Security Research

摘　　要：自2017年WannaCry勒索病毒爆发以来,全球范围内针对政府机构、大型企业、医疗机构等的勒索软件攻击持续增加,并呈现出勒索赎金高涨,勒索软件攻击产业链愈发完善,商业化运作更加规模化、职业化等特点.因此,亟需开展针对勒索软件组织的研究.而传统的基于网络大数据分析的攻击检测技术无法有效还原和刻画勒索软件组织的攻击链条,基于网络杀伤链模型描述勒索软件组织的攻击方法存在抽象度高、缺乏统一描述机制等问题,导致不同安全研究人员对同一勒索软件组织的描述存在差异.为了统一描述机制,完整刻画攻击链条,采用了统一原语的ATT&CK模型,针对性选取分析了Conti等9个近年异常活跃的勒索软件组织,使用ATT&CK模型描述其攻击方法,然后使用ATT&CK模型聚类了勒索软件组织在各个攻击阶段常用的技战术,最后使用ATT&CK模型针对Conti组织的勒索攻击案例进行刻画.ion and lack of a unified description mechanism problems.This leads to differences in the descriptions of the same ransomware organizations by different security researchers.In order to unify the description mechanism,describes the attack chain completely.This paper proposed adopted ATT&CK(Adversarial Tactics,Techniques,and Common Knowledge)model,analyzes the common methods of 9 recently active ransomware organizations like Conti.And analyze the attack techniques commonly used by ransomware organizations.This paper shared a ransomware attack case of Conti organization depicted using the ATT&CK model in the end.

关 键 词：WannaCry勒索病毒 勒索软件组织 基于网络大数据分析的攻击检测技术 网络杀伤链模型 ATT&CK模型 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]