photo credit by: https://threatpost.com/new-variant-of-keypass-ransomware-discovered/135018/
KeyPass 是一種新的勒索軟體威脅，自8月7日以來，已有至少 20 個國家/地區受到威脅，並且此軟體似乎通過假的軟體安裝程序來進一步擴散。
受害者的資料使用 “.KEYPASS” extenstion 加密，並且贖金票據存放在每個成功加密的目錄中。勒所金為 300 美元，並試圖通過提前在付款之前發送解密證明來安撫受害者。鼓勵受害者向攻擊者發送一個小型加密文件的樣本。在這樣做之後，根據說明，受害者將免費獲得該文件的未加密版本。很明顯，攻擊者正在採用與合法軟體開發人員相同的 “用戶體驗” 關注度，以最大化他們的利潤。
Demo and Findings
從以下的視頻中可以看出，SentinelOne 客戶自動受到對於 KeyPass 的保護。
Agent 會立即檢測到惡意活動，然後刪除惡意軟體。當 SentinelOne 的 policy 設置為 “Protect” 時，預期性的行為是刪除，但在 demo 中，我們使用 “僅檢測” 的 policy 來觀察勒索軟件的行為。那麼是什麼導致惡意軟體被刪除呢？
事實證明，勒索軟體實際上正在刪除自己。讓我們通過檢查 SentinelOne 管理控制台中的攻擊故事情節，仔細研究一下層面下到底發生了什麼。 執行時，KeyPass ransomware.exe 會建立該文件 /c "C:\Users\admin\AppData\Local\Temp\delself.bat" 然後，此檔案會刪除以下兩個文件： \Device\HarddiskVolume2\Users\admin\Desktop\KeyPass 、\ransomware.exe\Device\HarddiskVolume2\Users\admin\AppData\Local\Temp\delself.bat 幾秒鐘後，贖金票據出現： 
幾分鐘後，它開始加密受害者的文件，包括捷徑和桌面背景，導致這種狀態：
出於 demo 的目的，我們使用了 “僅檢測” policy ，並允許勒索軟體完成對整個設備的加密。在這種情況下，SentinelOne 的 rollback 功能可以輕鬆地將設備恢復到原始狀態，只需點擊一下即可。在現實生活中，勒索軟體將會在有機會造成任何損害之前就被阻止。
Deep Visibility
通過 SentinelOne 管理控制台 提供的 Deep Visibility 揭示了攻擊故事情節背後的其他事件。控制台顯示惡意軟體首先嘗試與位於俄羅斯的四台伺服器進行溝通，然後自我刪除及其關聯的腳本。 你可以在控制台中檢視到溝通和確切的 DNS 查詢： 178.208.83.13; type: 2 ns4.mchost.ru; type: 2 ns3.mchost.ru; type: 2 ns2.mchost.ru; type: 2 ns1.mchost.ru; 178.208.73.21; 92.222.67.101; 91.134.50.205; 209.250.253.181; 
避免停機
通常，勒索軟體攻擊的受害者面臨著嚴峻的選擇。在最近的 ZDNet 採訪中， SentinelOne 的客戶 Lester Godsey ，亞利桑那州梅薩市的首席信息安全官指出，受害者必須支付費用並承擔進一步攻擊的風險，或者仰賴他們從備份中恢復的能力。在影響業務關鍵服務的情況下，避免停機是首要考慮因素。如上所述， SentinelOne agent 可以在所有端點上提供預防和（如果需要）點擊還原選項，從而避免停機。如上所示， SentinelOne agetn 能夠在不中斷用戶的情況下即時恢復受感染的主機。想了解 SentinelOne 如何幫助您改善資安嗎？ Get a Demo Now  Photo credit by: https://www.geckoandfly.com/3929/download-the-best-mac-os-x-anti-spyware-and-anti-virus-software-for-free/ 研究人員和注重安全的電腦用戶都依賴在線反惡意軟體沙箱服務 VirusTotal 來跟上最新的威脅，並檢查他們發現的可疑樣本是否已經是已知的違法者。此工具的一個重要功能是任何人都可以上傳任何內容並立即檢查它是否是已知的威脅。 令人驚訝的是，即使惡意軟體開發者本身也可以利用 VirusTotal 等服務，通過上傳自己的惡意軟體來查看是否被檢測到來。雖然惡意軟體開發人員將其產品預先警告反惡意軟件服務似乎違反常裡，但這是開發人員測試其軟體是否會避免現有檢測算法以及了解其軟體在現實中的反檢測方式的是否起作用的一種方法。在 2015 年發布的一項研究中，發現在成為公開惡意軟體活動的一部分之前，已超過有 1500 個惡意軟體樣本在 VirusTotal 和其他在線虛擬沙箱上預先發布了。 考慮到這一點，研究人員熱衷於在這些網站上搜索和 “追捕” 未檢測到或檢測不到的惡意程式，並意識到他們很可能能夠更新自己的檢測機制以捕獲新出現的惡意軟體。這一情況在今年3月得到了極大的體現，由於此 “概念性驗證”（PoC）被上傳到 VirusTotal，發現了兩個 zero-day 漏洞影響 Adobe 和微軟的 並進行了預先修補。  事實上，這是一場在公開服務上玩弄貓捉老鼠的遊戲。 最近，這場遊戲發生了不尋常的轉變因為一名 SentinelOne 研究人員注意到 2018 年上半年被引用的 macOS 惡意軟體感染的數據特別奇怪。獨立研究機構 AV-Test，其主要任務是比較和測試主要的 AV 解決方案，注意到目前為止，FlashBack 和MaControl（又名“MacKontrol”，“MacControl”）是迄今為止 macOS 平台上最普遍的威脅。 當然，惡意軟體在macOS上的增加也就不足為奇了。令人驚訝的是 FlashBack 和 MaControl 是應該如此的普遍。 FlashBack和 MaControl 在 2012 年幾已經成為頭條新聞，即便如此，它們也不是第一個在外發現的變種。即使對那些仍然在危險軟體風險中翻滾的人來說，如果沒有像 SentinelOne 使用全面的反惡意軟體解決方案來強化套件，那麼這些數字是相當令人大開眼界。這不僅也是因為我們面對的是一個六年前的威脅。而且 FlashBack 和 MaControl 已被 Apple 自己的基本反惡意軟體工具-- Gatekeeper，XProtect 和 MRT 認可，它們將阻止，識別和刪除許多這些變種。  雖然可能是 Apple 的檢測通常不像 SentinelOne 有最新檢測，但事實是大多數聲譽良好的 macOS 反惡意軟體產品都清楚所有當前已知的 FlashBack 和 MaControl 變種。此外，在 2014 年，Apple 收購了所有與 FlashBack bot 相關的 C＆C 域名，並且在2013年末已關閉與上一個已知相關的 Java 漏洞。從各方面來看，FlashBack 已經不活躍。那麼，FlashBack 和MaControl 怎麼還能夠有如此龐大數量並被發現呢？ 在分析 VirusTotal 上的樣本後，SentinelOne 研究人員發現了一條線索：  SentinelOne 的 macOS 團隊更進一步研究發現，FlashBack 和 MaControl 的相同樣本在同一天內以增倍時間點多次提交。 Making a Hash of it 要了解這如何影響檢測，讓我們將原始 MaControl 樣本與最近上傳的樣本進行比較。在兩個文件上執行二進制差異表示它們是相同的，除了末尾的插入：  令人擔憂的是，對於未受保護的 Mac 用戶，Apple 的內建安全工具將無法檢測到 “填充” 樣本。 Apple 的識別程序依賴於與Yara 規則匹配的Sha1 hash 值：  但是，“填充” 將 XProtect 可識別的 Sha1，從 8a86ff808d090d400201a1f94d8f706a9da116ca 更改為 93922b711f18b7b9d859718521ba2854c37d39d7，這與搜索規則不匹配，並讓 Apple 不會注意到該文件的安全保護。  有趣的是，我們使用 “填充” 版本，刪除附加的字符串並將其轉回原始副本，XProtect 會注意到。這證明了 2012 年的原始樣本與最近上傳到 VirusTotal 的樣本之間沒有其他區別，除了二進製文件末尾的填充。 Automated Variants 自動變種 到目前為止，我們可能會認為惡意軟體開發者必須負責製造這些小變種以避免被發現，但事實證明，這是個有點複雜的故事。當我們檢查檔案末尾的填充性質時，我們可以開始明白為什麼。 這是 FlashBack 變種末尾的填充，然後是 MaControl 變種末尾的填充：   驚訝的是，它們看起來非常相似，具有多個 “H” 字符串的形式： FlashBack sample H42_IP11.005_W7_x86_Ent_SP11531001025.22 H42_IP11.005_W7_x86_Ent_SP11531001240.06 H42_IP11.005_W7_x86_Ent_SP11531002164.69 MaControl sample H43_IP13.054_W2008R2_x64_Ent_SP11531643140.19 H43_IP13.054_W2008R2_x64_Ent_SP11531643213.24 H43_IP13.054_W2008R2_x64_Ent_SP11531643334.22 字符串的主體表示出這是不同版本的 Windows 和字符串的結尾，正如以上提到的 SentinelOne 研究員所發現的，結果是包含了 Unix 時間點：  當然，這些與提交到 VirusTotal 的檔案實際時間點無關：  但是，一次刪除一個時間點，再重新計算 Hash 值並在 VirusTotal 上搜索，在大多數情況下，一次僅能命中一個範本 ，而且還是最近上傳的。 進一步的調查顯示，VirusTotal 中又增加了 10000 多個包含 “H” 字符串的 FlashBack 獨特變種。至於 MaControl，在某些情況下，unix timestring 被附加到文件的 __LINKEDIT 段以及 “H” 字符串或代替 “H” 字符串，以製造同一檔案的更多變種。我們的研究表示，僅在7月份，就有1000多個 MaControl 變種一次就上傳到 VirusTotal。 目前尚不清楚是誰上傳了這些變種，但考慮到 “H” 字符串和 unix timestring 的絕對數量和常見形式，它很可能是自動化和單一的。以下範例顯示嵌入的時間為非常接近的日期： Thu 12 Jul 2018 08:51:05 Thu 12 Jul 2018 08:52:37 Thu 11 Jul 2018 23:56:07 Thu 12 Jul 2018 00:00:05 對於以上的範例，實際上傳時間為3天後。 此外，據我們所知，FlashBack 和 MaControl 沒有共同的開發者身份或分發管道。我們還注意到，儘管 Apple 的內建檢測很容易被 Hash 的變化所欺騙，但這些變種可被 VirusTotal 上的引擎廣泛檢測到。當然，SentinelOne 是不依賴於基於 hash 或特徵碼的檢測，無論二進制的更改如何，都還是可以識別這些變種。由於這些原因，這些上傳的變種似乎不太可能是以擊敗已知的安全軟體為目的。 最後，我們能夠從 VirusTotal 上的可用 metadata 中確定上傳者是使用API密鑰及通過程序化界面上傳的。 Wrapping Up
不論這些上傳是否試圖誇大 FlashBack 和 MaControl 的範圍，或者它們是否是 “友好的攻擊火力” 的結果 - 也或許是由資安供應商使用的自動腳本，沒有注意到，甚至失去控制 ，這還有待觀察。 然而，很清楚的是，隨著安全研究人員依賴對像 VirusTotal 等服務的分析，惡意軟體獵人很可能會因此類提交而得出錯誤的結論。當提交檔案像這樣誇大時，研究不僅可能淹沒在這些無關的噪音中，還可能導致對當前威脅景觀性質的誤解。 FlashBack 和 MaControl 是否真的是 macOS 用戶目前面臨的五大威脅之一？或者是過去的威脅被挖出來了，還是重新開始？如果是後者，那麼 2018 年 macOS 上最普遍的惡意軟體究竟是什麼？ 我們的研究結果已在發布前告知 VirusTotal。當更多新信息曝光時，我們會更新 SentinelOne 讀者。 
在許多資安刊物中，當勒索軟體被提起時 ，他的恐怖影響力與氣候變化，伊波拉或某某名星死去等有著相同令人恐懼的敬畏 - 這是一個具有毀滅性影響的謎。
然而，現在出現的勒索軟體通常不比之前如花園般多樣式的惡意軟體來的複雜多。它是可以被停止。
勒索軟體與普通惡意軟體有什麼共同之處？
所有惡意軟體的基本需求都是避免檢測 - 如果被發現，那麼成功機會很低。以下是惡意軟體隱藏的一些常見方式： Encryption 加密: 大多數惡意軟體使用加密來混淆特徴碼檢測。它們不是顯示為惡意可執行文件，而是顯示為字母數字的隨機字串。大多數防毒現在都知道如何查找這些文本字符串或 Hash值，但製作惡意軟體的人很容易改變其文件的基礎子結構，以使該 Hash 顯示不同。 Timing 定時: 如果端末檢測系統沒有連續監控功能，則基於定時的混淆的惡意軟體可以在其周圍運行。此類惡意軟體僅在絕對必要時運行，例如在用戶重新啟動後運行，以避免在惡意軟體掃描期間運行。 Communication 通訊 : 基本上，惡意軟體是為了竊取數據而製作的 - 這意味著它通常需要向其父母 “打電話回家” 通報。防毒軟體檢視在伺服器，網域和 IP 地址上進行通信的程序，而對於既定類型的惡意軟體的host command 及 control server ，這些伺服器，網域和 IP 地址為已知。通過倒換這些地址，惡意軟體可以逃避防病軟體：其程序被編程為在既定時間僅查看小範圍的 C＆C 伺服器。 Virtualization Awareness 虛擬化檢視 : 許多惡意軟體工具都有特定的 sensors ，可以檢測它們是否處於虛擬環境中，以逃避 honeypots 或阻止資安研究人員解開其組件。
那到底是什麼讓 RANSOMWARE 不同？
當然，真正的區別就是贖金啦。勒索軟體旨在執行新奇的操作，例如加密大量文件，刪除允許用戶從備份恢復的 shadow 副本，以及使用 C＆C 伺服器存儲用戶在付款後解鎖文件的加密密鑰。 然而，所有這些動作都是行為機制。基於特徵碼的防毒軟體不會尋找行為，而是尋找其可識別特徵，例如正在運行的進程名稱，加密文件的 hash 值或惡意軟體回報所在的伺服器。正如以上所述，這些特徵很容易掩蓋，一旦勒索軟體開始採取行動，基於特徴碼的惡意軟體就無法得知有壞事正在發生。 請確保您的端末安全提供軟體使用行為檢測，以防止勒索軟體攻擊，並確保您不是一個簡單的目標。 
https://twitter.com/hashtag/cryptoworm
Introduction
在去年年底，Marco Ramilli 發表了一篇關於 in-memory Powershell-WMI CryptoWorm 的文章。很慶幸的，SentinelOne 發現了這種傳播 CryptoWorm 的新活動變體。在這篇文章中，我們將審視這個變體中的新內容，並建議如何將它從受感染的網路中移除。
這個版本有什麼新功能？
Communication 此種 CryptoWorm 通過 HTTP 進行傳達。它使用主伺服器的 IP 地址及使用 DNS 地址作為後備。 
Figure 1 – Command-and-Control Servers Fallback
惡意程式的 IP 是195.22.127.93 和 windowsdefenderhost.club（port 8000）的子域。與之前的版本不同，如果檔案是在Powershell之外下載的，則伺服器回覆403 Forbidden HTTP 錯誤代碼。蠕蟲也可以從 CNC 服務器上自我更新。它檢查自己的版本並將其與伺服器上 ver.txt 文件中寫入的版本進行比較。如果有更高版本可用，它將下載並更新。
Figure 2 – Version Control
現在，CryptoWorm版本是1.4。它有兩個 Powershell 腳本，每個操作系統體系結構一個：32位的 info3.ps1 和 64 位的info6.ps1。
持久性
此惡意軟體使用 WMI 計時器方法來實現持久性。它設置計時器並使用 WMI 事件使用者。現階版本計時器和事件使用者使用名稱“SCM Events Log Filter”，“SCM Events Log Consumer”。先前的版本分別使用`SCM Event Filter`和`SCM Event Consumer`。
散播
像舊版本一樣，這種蠕蟲使用少量的方法來散播至整個網路。它通過發布 Invoke-ReflectivePEInjection 並加載 Mimikatz 來竊取憑證。 之後，它使用 Powershell 中執行的 Invoke-WMIExec 和 Eternal Blue 進行散播。最後，它在遠端機器上運行遠端安裝命令。
阻止 SMB 連接
此惡意程式阻止傳入 SMB 連接到受感染的機器。可能為了防止其他類型的惡意軟體使用相同的方法散播，刪除CryptoWorm 或使用CPU。 
Figure 3 – Firewall Blocking Rules
Conclusion
SentinelOne 的客戶不用擔心該 CryptoWorm 的任何一個版本，因為 SentinelOne agent 使用從 2.0 版開始的行為 AI 引擎檢測並阻止它。對於沒有 SentinelOne 的讀者，以下將解釋如何從他們的網路中刪除這個 CryptoWorm： 在所有網路主機上同時運行相同的命令是一個麻煩的過程。因此，從網路中刪除蠕蟲最困難的部分是阻止它從其他的主機散播到新清理乾淨的主機。 因此，為了消除這種蠕蟲，首先我們建議先將它的遠端命令行列入黑名單。這項措施將防止它再散播開來。 之後，我們建議殺死 CryptoWorm Powershell 進程，刪除其防火牆規則以及 WMI 計時器篩選器和 WMI 事件使用者。 這是一個移除 PS 腳本，用於刪除防火牆規則並刪除 WMI 項目。請以管理員身份運行。 在以下附錄中，我們詳細介紹了要阻止的相關命令行和 IP。
Demo
在以下 Demo 影片 中，我們運行無檔案 CryptoWorm，它是從真正的 CNC 直接下載到內存中。 可以看到 SentinelOne 如何檢測並阻止它。
Appendix
IOCs Malicious IP and domain addresses:
Malicious files (SHA1 hashes):
Available here.  讓我先事先說明，這不是一篇業配文，但如果有人因此受到傷害，就讓他們就來吧！這篇文章也是NSFM 限制級。而我相信在2015年，這適合在工作閱讀 - 但絕對不適合媽媽幫。 如果你曾經閱讀過我的其他文章，沒有的話也請立馬閱讀，你會知道我喜歡用很好的比喻。本直著透明的精神，這篇文章幾乎是一個故事，敘述了一個飢餓的男子有一個釣竿，並準備拋向到一個儲備豐富的湖泊。但說實話，我本人討厭釣魚。當我去的時候，我寧願拿起一瓶酒，故意忘記誘餌......但這將是一個不同的故事。 所以相反的，這是一篇愛情故事......但也可能是尷尬的故事... 我已經參與這場遊戲二十年了。在玩 BI 的領域中，這算是一個不短的時間。事實也證明了，我有很多BI 工具。但一個男人在最終的某個時刻，他還是需要一個好女人，好好的安頓下來。我想在2015年是可以安全地說一個好的男人......但我會把這個故事留給其他人。 好女人難尋.. 我與 MicroStrategy 有關係好一段時間了。隨著與她交往中，她是非常隨和的。事實上，當你在Data Technology 中聆聽你的朋友時，他們總是試圖向你推銷她。但有一個很好的理由可以讓你堅決反對這個觀點，那就是她提供的維護很少。所以謝謝有緣再聯絡。 接下來是Essbase。外傳她知道 Kama Sutra 中所敘述的每一個位置。但我必須說實話，她似乎沒有興趣與我一起做這些事情。她的金融朋友說她只是有點複雜。我的供應商暗示我沒有足夠的經驗。老實說，她讓我覺得我是不及格......但這最好留給我的治療師的來說吧。 然後是Tableau。她絕對是個美女，而且很簡單。對不起老媽。但她真的很容易上手。與Tableau，可以在第一次約會時就直衝三壘！但不幸的是，她不擅長長期合作關係。特別是牽扯到數據和其他用戶時，她還是可以解決問題：雖然一些更混雜的人喜歡讓她站一邊參與，但我會形容她有點混亂。 然後我找到了 Qlikview 雖說 Qlikview 不是最漂亮的女孩，但當她穿上那件黑色的小禮服時，她是非常有吸引力。她建立了良好的關係，非常的開放，在社交社群中廣為人知。最好的是，大多數的時候，我所有的朋友都喜歡她。 她有時讓我發瘋。有時喜怒無常。會議總是遲到。是一個固執女人，總是將 slider bars 移動到圖表的另一側。無論我們同意如何開始，她總是會忘記。有時候，當我按錯鈕時，她會沉默的對待我和無神的眼光要我來啟動。 也可以用母親 來形容她。真的，她很擅長照顧孩子們。她在他們後面收拾殘局並幫助他們完成作業。但人無完人，房子還是有點亂，洗衣服對他來說可能是一個挑戰。但是，她很擅長送乾洗，而且現在我們有一個女傭。 我仍然是不明白關於她的許多事情。她的一些故事是無稽之談，她並讓我嘗試了一些最奇怪的東西。我的意思是......設置符號...真的有需要嗎？她跳舞時感到緊張，而且她的朋友 NPrinting 也是常常破壞舞會。 對於製造錯誤我也小有貢獻。她稱他們為使用者錯誤。她的 HoneyDo 清單很長，而且有時是困難的工作。然而我依舊在等待一個可以給我一杯啤酒的課題（或一杯葡萄酒）， 但是她又會把它扔給我...... 最後，這是一個很好的關係，只需要一些額外的照料，它就會很棒。 Qlikview 是你安定下來的那種女孩，而安定下來也並不是那麼糟糕。
小編一直到現在都無法置信居然純樸的菜市場都會被 wannacry 攻擊.
Yes, wannacry 想哭 is back again! 而且這次是襲擊了傳統的菜市場.... 先讓小編來喚起大家對於wannacry 的記憶 - WannaCry（又名Wanna Decryptor），一種“蠕蟲式”的勒索病毒軟體，由不法分子利用NSA（National Security Agency，美國國家安全局）洩露的危險漏洞 “EternalBlue”（永恆之藍）進行散播 。其攻擊特點利用Windows操作系統445端口存在的漏洞進行散播，並具有自我複制、主動散播的特性。 被該勒索軟體入侵後，用戶主機系統內的照片、圖片、文檔、音頻、視頻等幾乎所有類型的文件都將被加密，加密文件的副檔名被統一修改為 .WNCRY，並會在桌面彈出勒索對話框，要求受害者支付價值數百美元的比特幣到攻擊者的比特幣錢包，且贖金金額還會隨著時間的推移而增加。 
那麼 SentinelOne 使否可以成功的阻擋？請見以下視頻！！
By Amit Chowdhry
SentinelOne 是一家專注通過端末保護企業的次世代網路安全公司。 SentinelOne 端末保護平台（EPP）技術著重於行為阻止並利用人工智慧，而不使用特徵碼，這使其成為市場上其他防病毒軟體的有力代替品。 SentinelOne 的 EPP 服務也可以與傳統的防毒軟體兼容，提供希望可同時運行的企業組織使用。該解決方案還結合了端末檢測和回應（EDR）功能，如修復和 roll back，,以及廣大的能見度 - 甚至可用於加密流量 - 用於搜尋威脅。
那為什麼行為阻止很重要？ SentinelOne 檢視動態執行模式來發現端末是否受到攻擊 - 端末可能包括連接到公司網路的筆電，伺服器或雲端工作負載。由於 SentinelOne 的訓練是來自好數百萬好與壞的行為模式，它可以防止甚至未知的惡意軟軟體散播，並且就本質上，比數百萬個特徵碼還更有效。 EPP 還可以自動隔離檔案，終止進程，甚至將機器恢復並修復回已知狀態。通過靜態和行為 AI 與駐留在端末上的模具相結合，SentinelOne 能夠針對最廣泛的檔案和無檔案攻擊類型實現最高功效及最小的誤報和系統影響。
自2013年SentinelOne推出以來，籌資超過1.1億美元。一些 SentinelOne 的投資者包括Accel Partners，Tiger Global Management，Sound Ventures，Third Points Ventures，Redpoint 和Data Collective。為了解更多的有關於 SentinelOne ，我採訪了首席執行官和共同創始人 Tomer Weingarten。
Weingarten 告訴我，電腦和軟體總是讓他著迷。他在青少年時期就與 SentinelOne 的聯合創始人之一相識，他們都對研究網路安全和挑戰當前的防禦措施感到興趣。 Weingarten在接受採訪時說：“這是一個與我們現在正在經歷的事情完全不同的時代，一切都很容易被破解。” “我的共同創始人將他的熱情轉為職業生涯，並加入了Checkpoint（他在那裡遇到了我們的第三位共同創始人），同時我繼續建立其他公司，研究和利用統計分析 - 今日可能被稱為”機器學習“。”
此時，Weingarten 表示，所有共同創始人聯合起來概念化一個理想保護軟體的外觀。 “通過構建一個可以即時監控設備的自主 AI 核心，通過一個輕量級 agent 自動化阻止，檢測甚至修復攻擊，我們已經能夠建立出具有無與倫比的功效和可全面覆蓋平台的產品 ”， Weingarten並補充道。 “其自動 EDR 功能可以在執行後部署 roll back 的功能，以將主機恢復到未感染狀態。該平台具備了從開始到結束的端末和威脅的 360 度視圖，從而為數位鑑識和策略執行提供強大之功能。“
Weingarten指出，沙盒和特徵碼將無法應對日益嚴峻的“越來越來勢洶洶的攻擊格局”。因此，SentinelOne 團隊知道唯一有效的防線為誘捕和阻止端末設備上的攻擊者。這些想法恰好與人工智慧和機器學習的進步相吻合。
“我們知道，機器學習將創建一個強大且有效的新方法來即時檢測和阻止攻擊，而無需任何關於攻擊或含惡意程式執行檔的特定預先知識。這是一個令人難以置信的突破 - 使我們的技術能夠使用統計分析來準確預測嘗試在端末上運行的內容是惡意的 ” Weingarten解釋說。
在 2013 年初建立第一個原型之後，SentinelOne 團隊向全球最先進技術公司的安全和基礎設施的團隊展示了它。在得到資安專家的正面反饋後，最初的產品有了更進一步的發展。此後更多的資金投入，現在該公司在全球僱用了近 300 人。 SentinelOne 也擁有超過 2,000 名客戶，公司在 2017 年同比增長達到 300％。
此外，SentinelOne 在第三方測試中連續排名第一。例如，AV Test 將S entinelOne 評為唯一在Mac平台上“防範所有攻擊者100％ ”的提供商。 SentinelOne 被選為第一個也是唯一與 Windows Defender 高級威脅防護（ATP）服務集成以涵蓋 Mac 和Linux 設備平台的次世代端末防護平台（EPP）。一個領先的研發團隊，SentinelOne 最近在GitHub宣布的開放原始碼計劃來回饋族群。
那又是什麼讓 SentinelOne 是更有價值？因為該平台是自主性的。 SentinelOne 在端末上使用機器學習和人工智慧來動態分析運行設備上的所有的低階進程。
“我們是唯一可提供部署在內部和雲端環境中的次世代端末保護平台。也是市場上唯一就單一個 agent ，可完全融合端末保護平台（EPP）和端點檢測與響應（EDR) ” Weingarten特別強調。 “我們也是唯一一個由端末提供，從加密流量中可檢視全面威脅的解決方案，因此無需在網路流量時解密和重新加密。”
“網路正在經歷一次重大轉變，傳統預防的逝去不僅將保護的重心，還包括存取控制 - 轉移到端末。隨著我們 Deep Visibility 的發布，我們首次嘗試對網路數據路徑進行控制， ” Weingarten 總結。 “這些數據讓我們能夠有效地進行模具建立，並且僅能通過軟體進行 - 網路存取和使用的真實狀況 - 沒有任何界限，無論設備在哪裡，甚至是在雲端上。在現代企業中，以你喜好的方式來定義您的網路，且以一種非常適合當今數據消費量模式的方式，這就是最終的靈活性。“
有針對性攻擊的 Samsam 第ㄧ次是在2016年左右首次出現，它瞄準了醫療保健行業並且是一個很典型的勒索軟體，受害者通過點擊惡意鏈接，email 附件或惡意廣告進行感染。 因為 Samsam 直接使用 Red Hat's JBoss產品中的漏洞感染伺服器，所以變得獨一無二。駭客使用 JexBoss：一個開放原始碼滲透測試工具等其他工具來識別 JBoss 伺服器中未修補的漏洞。一旦駭客滲透其中一台伺服器，他們會將 Samsam 安裝到目標中的 Web 應用程序伺服器上，並將勒索軟件客戶端散播到Windows 設備並對其文件進行加密。
至 2016 年 4 月底，Samsam 已目標攻擊至少 58 個組織，包括醫療保健行業。 MedStar Health 是一家 50 億美元的醫療服務朱組織，在馬里蘭州和華盛頓特區擁有 10 家醫院，員工超過 30,000 人，是第一個受到攻擊並被勒鎖 45 比特幣或18,500美元贖金的公司之一。儘管所有營運都被迫停止，但很幸運的，MedStar不需付贖金。除 MedStar 之外，洛杉磯的好萊塢長老會醫療中心遭到駭客攻擊並且支付了將近 17,000 美元的贖金，德國的兩家醫療機構及肯塔基州Henderson 的衛理公會醫院也遭到了攻擊。 2018 年 3 月 23 日星期五，亞特蘭大市發布了以下信息： 亞特蘭大市目前正面臨著各種客戶使用的應用程序的停機問題，其中包括一些客戶可能用來支付賬單或與法院有關的信息。我們將會發布任何更新訊息。 — City of Atlanta, GA (@Cityofatlanta) March 22, 2018 
接下來是新聞發表會：
市長 @KeishaBottoms 針對安全漏洞招開新聞發表會. https://t.co/h1WlcyUc6x — City of Atlanta, GA (@Cityofatlanta) March 22, 2018 根據 11Alive，是 Samsam 所做的攻擊。年初時 Samsam 也攻擊了科羅拉多州交通部。
Demo
Analysis
SentinelOne會在 pre-execution 及 on-execution 就檢測到 Samsam 。在默認 policy 中，它將不會被允許執行。如果設置為檢測模式，SentinelOne 會檢測勒索軟體專門使用的行為，意指掃描硬碟上的文件，並用加密的版本替換它們。鑑於Samsam 使用漏洞進行部署，SentinelOne 會在此階段檢測到攻擊。在 Attack Storyline 中，我們看到 SentinelOne agent 檢測到 Samsam，從而防止文件被加密並無法恢復。此外，如果未檢測到漏洞利用，SentinelOne 將檢測到受攻擊伺服器向網路上其他伺服器的任何橫向移動。在勒索軟體能夠執行之前，SentinelOne的早期檢測將會發現 Samsam 攻擊。另外，Samsam會刪除 shadow copies，使IT管理員無法將檔案和應用程式恢復到未加密狀態。 SentinelOne 識別此行為並檢測Samsam何時嘗試刪除 shadow copies。如果有什麼東西漏掉了，SentinelOne 能夠修復受攻擊的檔案並將它們回轉到預先加密的狀態。 
Qlik管理控制台 （QMC）是一個基於Web的應用程序，用於配置和管理你的 Qlik Sense網站。
可觀看本影片以瞭解QMC概念。 為什麼我們是獨一無二的！ 了解為什麼Gartner連續第八次將Qlik作為分析與商業智慧平台魔術象限的領導者：  |
Archives
August 2018
Categories |
RSS Feed