據(jù)國外安全媒體報道，安全研究人員發(fā)現(xiàn)一種新的勒索軟件攻擊技術(shù)將惡意軟件部署為虛擬機(jī)（VM），以逃避傳統(tǒng)防御。最近檢測到RagnarLocker攻擊，其中勒索軟件隱藏在Oracle VirtualBox Windows XP VM中。攻擊有效載荷為122MB的安裝程序，內(nèi)部有282MB的虛擬映像，隱藏49KB的可執(zhí)行文件。在檢測到的攻擊中，Ragnar Locker使用GPO任務(wù)執(zhí)行Microsoft Installer（msiexec.exe），傳遞參數(shù)從遠(yuǎn)程Web服務(wù)器下載并以靜默方式安裝制作的122 MB未經(jīng)簽名的MSI軟件包。
MSI軟件包包含一個Oracle VirtualBox虛擬機(jī)管理程序和一個名為micro.vdi的虛擬磁盤映像文件（VDI），該文件是Windows XP SP3操作系統(tǒng)的精簡版本映像。由于vrun.exe勒索軟件應(yīng)用程序在虛擬客戶機(jī)內(nèi)部運(yùn)行，因此其過程和行為可以不受阻礙地運(yùn)行，物理主機(jī)上的安全軟件是無能為力的。
攻擊具備高度針對性的，RagnarLocker最近在行動中，對葡萄牙能源巨頭葡萄牙能源集團(tuán)（EDP）的攻擊中，成功部署后，要求支付1000萬歐元（合1100萬美元）贖金。
勒索軟件背后的組織通常以托管服務(wù)提供商（MSP）為目標(biāo)，并利用Windows遠(yuǎn)程桌面協(xié)議（RDP）中的漏洞來獲得攻擊組織的立足點(diǎn)。獲得對目標(biāo)和數(shù)據(jù)的后，提權(quán)到域管理員級別的訪問權(quán)限后，使用Windows管理原生工具，如PowerShell和Windows組策略對象（GPO），實(shí)現(xiàn)網(wǎng)絡(luò)橫向移動到Windows客戶端和服務(wù)器。
