勒索软件生意经 | 商贾呓语
分享到: 更多 ()

勒索软件生意经 | 商贾呓语


勒索软件生意经 | 商贾呓语


缘起


勒索从来就是一门生意,大生意,只是,很不招人待见。 


原理上,勒索属于一种双方或多方博弈,历史很久远,比如《史记·刺客列传》里,曹沫劫齐桓公,就是为了挽回打败仗输掉的城池,虽然当时曹沫勒索成功,但最终鲁国还是灭亡了。还有更不着调的,南梁萧衍信佛,为了给佛寺筹款修建,三次称自己被菩萨绑架,强迫群臣凑钱来赎。民间纠纷,也时有发生,但人人都知道,这是违法的。 


在数字世界里,勒索这门生意,这几年却正蓬勃兴起。勒索软件的概念可以追溯到1989 年,那时人们通过人工投递的软盘,将 PC 锁定恶意代码发送给受害者,但自2014年以来,随着比特币等加密数字货币在全球的广泛使用,这类业务有了令人侧目的增长。 


勒索软件生意的市场有多大?


看看数据,根据CybersecurityVentures 2016年的报告,“2017-2021未来5年,全球网络安全产品及服务的支出,累计将超过1万亿美元;而全球网络犯罪造成的经济损失,2015年当年就达到约3万亿美元,到2021年,预计将增长到每年6万亿美元。” 


勒索软件只是数字犯罪中的一种形式,但因其特殊性,自2016年起,勒索软件开始成为企业和消费者面临的最大网络安全威胁之一。美国政府的统计数据表明,勒索软件攻击在2016 年增长了 4 倍,平均每天发生4,000 次。 


为什么会有人从事勒索软件?因为有市场。


勒索软件的主角们大都有着强烈的经济动机。FBI(联邦调查局)和国际执法部门一直在就这一威胁发出警报。联邦调查局估计,2016年,勒索软件将为网络犯罪分子带来约10亿美元的收入,在2016年的前3个月,网络犯罪分子就获得了据称2.09亿美元的收入,与2015年相比,勒索软件在2015年全年仅带来了2400百万美元的收入,因此,从2015到2016年,出现了惊人的771%的增长。典型勒索赎金金额介于 200 到 10,000 美元之间,平均高达 500 美元,最常采用的支付方法是加密货币形式,而企业的服务器和网络勒索金额高达4到5位数,有时甚至达到数百万美元。


以本次爆发的WannaCry为例,据当中一份报告统计,有超过130,000个端点报告遭到感染,因持续发作,最终实际受损终端可能远远超过这个数量。每个受害者被要求支付约300美元来解锁设备,假如所有受害者均愿意支付赎金,则仅本次勒索而言,赎金将超过3,900万美元。当然,WannaCry最终黑客所获取的收益,远远没有这么多,据分析只有100多笔付款(IBMX-Force 研究所推测,大部分支付赎金的人是被感染的个人用户),但这类勒索软件给客户带来的损失,却是不可估量的,有媒体报道,全球总损失大约80亿美金。


勒索软件生意经 | 商贾呓语


所有官方机构及媒体,都不鼓励人们支付赎金,因为支付后无法保证受害者能重获其数据的访问权,而且这会助长网络罪犯的持续犯罪。FBI 网络部门助理总监James Trainor 说:支付赎金无法让组织保证它能找回数据 - 我们看到过组织在支付赎金后从未获得解密密钥的情况。支付赎金不仅会助长现有网络罪犯继续攻击更多组织;还会刺激其他罪犯参与此类非法活动。最后,由于支付了赎金,组织可能非故意地资助了其他与犯罪相关的非法活动。


但现实是,相当一部分用户,愿意支付赎金,来换回他们的数据。这就是市场。 


根据IBMXForce 调查显示:

企业高管


  • 70%的受到勒索软件影响的企业向网络犯罪分子支付了赎金,以便重新获得对业务数据和系统的访问权;而且这些企业中超过一半支付了10,000美元以上的赎金,更有20%的企业支付了超过40,000美元。

  • 所有企业高管中有近60%表示愿意支付赎金以恢复数据。

  • 25%的企业高管表示,根据数据类型的不同,他们愿意支付20,000到50,000美元,以重新获取对数据的访问权。

  • 在高管最可能为其支付赎金的数据类型列表中,财务和销售记录位居榜首,尽管各类数据之间的差别通常很小。

-财务记录– 62%

-客户和销售记录– 62%

-企业电子邮件系统/服务器– 61%

-知识产权– 60%

-人力资源档案– 60%

-企业云系统访问权– 60%

-商业计划– 58%

-研发计划– 58%

-源代码– 58%

消费者


  • 消费者在其财务信息、数字家庭回忆信息等受到威胁时有支付赎金的动机。

  • 虽然超过50%的消费者最初表示他们不会支付赎金,但当被问及具体数据类型时,他们的支付意愿开始上升:

-54%的消费者表示,他们有可能支付赎金,以取回财务数据。

-43%的消费者表示,他们愿意支付赎金,以重新获得对其移动设备的访问权。

-超过一半(55%)的父母愿意支付赎金,以重新访问其数字家庭照片;相比之下,无子女的受访者中只有39%愿意这样做。

  • 父母们更愿意支付赎金:IBM的分析发现,由于涉及到情感价值以及子女幸福,父母们更有动力支付赎金。

-39%的家长有处理勒索软件方面的经验,而总体上29%的非父母表示具有某些相关经验。

-71%的家长最担心其家庭数码照片和视频受到威胁,而只有54%的非父母表示出这种担忧。

-总的来说,55%的家长会支付赎金以便能够重新访问他们的照片,而只有39%的非父母会支付赎金。


勒索软件生意的模型及问题


有了明确的市场,生意便有了土壤,剩下的,就是执行策略和成本收益分析。勒索软件的技术很先进,但业务逻辑并不复杂,无需动用许多艰深的市场营销学模型,比如4Ps-4Cs-4Rs/波士顿矩阵/STP战略/PEST分析/波特的五力分析架构/RFM模型/RATER指数,可以简化如下:

勒索软件生意经 | 商贾呓语


把勒索软件当作一门生意来观察,许多问题就清晰起来:

勒索软件生意经 | 商贾呓语

核心技术研发:


WannaCry之所以成立,涉及到两个核心技术,有一个失效,业务都无法成立:

1. Eternal Blue永恒之蓝漏洞:解决了如何进入用户电脑的问题

2. 加密算法:解决了如何给用户制造麻烦的问题


这两项核心技术的研发成本是多少呢?近乎于零。


为什么?

1. 永恒之蓝漏洞:由NSA研发,被ShadowBroker盗取。ShadowBroker想要批发变现,报价太高没人买得起,于是放出部分样本示例,也许是想展示实力,试图零售吧。其中一个样本就是EternalBlue永恒之蓝,对于任何人为免费。

2. 加密算法:RSA+AES,公开算法,免费,且当下尚不可破解。


勒索软件生意经 | 商贾呓语

生产:


解决了核心技术问题,下一步就是软件工程,将核心技术,编写为一个正式商业软件,产品化。这点上,WannaCry做的不过不失。 


软件生产部分的成本,虽然并不为零,需要一个团队完成,但是按许多技术文章的分析,毕竟场景固定,编写难度不算很高,如果由一个日常工作就是熟练编写木马等软件的“专业团队”来完成,相对于巨大的市场容量,软件开发费用,依然几乎可以忽略。


勒索软件生意经 | 商贾呓语

市场推广:


这部分是非常有趣的。所谓酒香也怕巷子深,再好的病毒软件,没有人中毒,就没有实际意义。因此,病毒的传播方式是否有效,是病毒一大特性。 


过往的勒索软件,在编写好之后,都需要用某种方式,欺骗客户上钩,因此需要社交工程手法介入(钓鱼网页,钓鱼邮件,广告游戏推广等等,都属于病毒推广手段),但制作这些推广手段,与任何正常商品的市场推广一样,需要付出成本,而且伴随试图覆盖的人群上升,成本随之增加。IBM X-Force研究人员已经确定,勒索软件出现在2016年发送的全部垃圾邮件的近40%之中,而在2015年仅占微不足道的0.6%,这一敲诈勒索工具的传播速度显著提高了6,000%。这些,都是产品推广成本。 


因此,过往有些勒索软件,是有针对性的攻击,比如针对一些大型金融机构,足够支付能力的目标客户,才足以支撑推广成本。在 SANS 的一项调查报告中显示,超过 32% 的金融机构,表明他们由于组织受到勒索软件攻击而损失了10万到50万美元。 


而永恒之蓝的技术太特殊了,这个漏洞不仅解决了如何进入用户电脑的问题,还赋予了一个额外的特点:病毒可以以蠕虫方式传播,即无需全部依赖卖家推广,中毒者自动感染,自动执行,自动传播,比传销还有效。这个特性,造就了本次WannaCry的大规模传播,同时,也大大降低了病毒制造者的推广传播成本。


勒索软件生意经 | 商贾呓语

销售& 服务:



客户拿到货,就应该付款,收不回钱来,那就是白忙活。


但现实总是太多可能,一个正常的软件,在销售过程中,也会有许多意想不到的问题发生,何况勒索软件这么奇特。比如这次WannaCry,按其他媒体报道,预计造成全球约80亿美金的直接损失,而黑客只收到几万美金的比特币收入,就是这个环节,没有做好。 


  1. 软件失效:预设开关,如送去了错误的客户家里,则关闭病毒。开关被破。

  2. 商品损耗:1000瓶啤酒,运输到达目的地,50瓶破损或被运输司机偷走,只有950瓶可以正常销售,称为损耗。内网,甚至绝大多数国内设备,都属于商品损耗,因为连不到Tor后台的服务器。

  3. 付款心理:因为比特币的匿名性,按过往色情网站等的勒索方式,黑客会采取差异化收费的方式,来区分究竟是哪个用户已完成付款。本次WannaCry采取了统一定价策略,虽然有公司分析,可以从技术上保障区分,但考虑到用户受众,依然有许多用户怀疑,同样金额下,是否会因无法区分,而得不到解密。抛开技术原理不谈,客户付款心理激励不足,未建立足够的商家信誉描述,无客服,无第三方协助平台,无售后评价。

  4. 付款难度:比特币操作确实有难度,用户已被日常简捷的电子支付手段惯坏了。

总结一下,以商业的角度,WannaCry病毒目标是Windows终端,这个终端的特性与零售相同,比如饮料,快餐,服装等等,与人口基数正相关,因此理论上说,中国应该是很大的市场,软件的多国语言支持,也包含了中文。但最终,因软件设计未充分考虑中国网络和用户群体的特殊性,虽已大量安装,但销售损耗率奇高,收款通道和售后服务完全无法保障,水土不服。在全球来看,也因商业闭环不完备,用户付费不足。同时,勒索软件已非初次出现,前后迭代过多次,每次均遭到详细剖析,技术特性暴露,用户痛点被预警,提升了安全意识,一定程度上阻碍了未来类似软件业务的拓展,只是市场太过庞大,过往业务基数又很低,因此目前还能保持高速增长。商业上讲,WannaCry本身是一个失败的案例,但勒索软件业务模式,有巨大的市场前景,在全球,尤其在中国。


想必,同样,勒索软件制作者也意识到了这些问题,在寻求改进。一个单一版本软件,一周左右的生命周期,开发成本接近于零,面对约80亿美金的市场,来进行博弈,这也是股无比强大的改良驱动力。勒索软件,必将加倍升级,卷土重来。


作为受害者的我们,如何应对


那,应该如何应对? 


写这篇文,不是为了增长敌人气焰,灭自己威风的。虽然,截至目前,防守一方,无论是甲方,还是解决方案供应商,都没觉得有什么可以威风的地方,本质上,解不开病毒,抓不到坏人。今天,我们只能应对。 


当然,有些安全公司,趁这次事件的机会,教育了大众的安全意识,提升了甲方高层的安全观念,顺便做了些业务,赚了些钱。赚钱并不丢人,也不应讳言,但防守方同样是在这80亿美金的市场里,与勒索软件方进行同台博弈,博弈得当,或许可以赚更多的钱,即,为客户提供更多价值。


一个完整的交易,应该如同流水一般顺畅,有任何一环断裂,都无法完成。因此,从这个角度上,攻击方需要提供全部业务闭环,而防守方只需考虑击垮其一个环节,就能给对方造成打击。我们依然按照上面的生意模型,再多考虑两个前提措施,来反思下WannaCry,同时,借这个思路,也能更好的分类理解,市场上各类解决方案的定位,和可能带来的价值。


  • 前提1:缩小市场:

商业上,如果市场不存在,商业行为就不存在了,非商业活动另当别论。因此,如果勒索的目标不存在了,勒索软件就没有价值。 

如何缩减目标市场的容量?建议是:备份。

这个措施的价值有多大?答案是:整个市场容量。WannaCry为例,约80亿美金。 

当然,新闻上还提到一种策略,是放弃使用Windows,国内国外都有,转型到其他平台,其思路核心,也是缩小或重新定义市场。这个,不评论。


  • 前提2:风险打包:


打包方式一:保险

如果采用技术防护手段,都需要费用投入,而投入的费用是企业运营成本。成本的峰值边界在哪里?不知道,没关系,问下保险公司。

有些企业,数据没有长久的生命周期,或业务有独特的特殊性,这些数据的价值是可以衡量的,甚至整个企业的安全风险都是可以衡量的,如果能精算出来,保险不失为一条最简洁的解决方案。

就如同,买台PC就是为了看新闻,PC被锁了,这两天都看不了新闻,又怎么样呢? 


打包方式二:Cloud

请参考各家公有云公众号文章。 


打包方式三:专业安全外包或托管服务

外包托管逐步成为一种趋势,再好的技术手段,也需要人来完成,专业人才的供应,已经落后于技术迭代,成为短板。出路只有两个,AI替代,或外包服务托管。

但大多数企业和个人,错过了前提1,又因各种原因,无法接受前提2的类型。那么,就只有寄希望于在勒索生意模型的四个环节中,寻求应对策略。我们仍然用WannaCry为例,分析一下:

勒索软件生意经 | 商贾呓语

核心技术研发:


1. Eternal Blue永恒之蓝漏洞:

  • 漏洞总会有新的,这个是常态,但0day暴露的时间窗口,可以缩短。对应这个特性,有两类解决方案尤为对症:终端扫描 + 打补丁。

  • 这两类工作属于日常运维范畴,如果不是碰到此类勒索问题,凸显业务价值,日常并不突出,且工作量繁重,被众多甲方吐槽,安全难做,安全不被上层重视。 


2.   加密算法:

  • 破解密钥,除非有量子计算,否则目前的计算能力,代价天文数字,且没有时效性。唯一机会是作者对加密算法理解不够或软件设计中处理不完善,看到有许多公司,用内存搜索等各种迂回手段抓取密钥,可以解开一部分,甚至全部文件。算法是数学上的明珠之争,做不到,当下只有软件工程成熟度之拼。

  • 市场价值方面,因为是迂回破解,且只针对这款软件,大多数是免费工具,证明公司技术能力,辅助客户恢复。

勒索软件生意经 | 商贾呓语

生产:


如前所述,这个软件开发的不过不失,将几个独特的技术手段,整合在一起,实现了一个业务软件。但正因为这个特性,软件模式及其单一固定,易于分析,因此,在这个环节,应对的商业解决方案,十分集中。 


  • 威胁情报预警:从统计意义上,在事态刚起之时,如果能够及时获取,可以尽早通知其他客户,遏制扩散。

  • 终端安全管理:终端行为异常,可模式识别及阻断。

  • UBA行为识别:有的是两个安全模块的联动(如SIEM+EndPoint,或TI+EndPoint),有的是SIEM协调多模块的全局互动。本质上,因为勒索软件的行为模式很固定,因此UBA也很容易识别,区别就是,有的方案是自动识别,有的则要人工设置规则。


林林总总,大道万变,能提升未来的事前防范能力,事中响应能力,但事后均束手无策。


但这些思路和体系,价值并不局限于应对当前的一次问题,而在于提供了一个思路和方法,应对未来多种可能的安全威胁,这才是这些方案真正的价值。


这些方案或产品,要回答几个问题: 

  1. 时效性:设计多级联动,整体协调,是否能在病毒发作前生效?

  2. 有效性:安全体系建设和专杀工具,如同建议一个人健身,长远虽然有好处,但他现在感冒了,迫切需要感冒药,等感冒好了,又很可能好了伤疤忘了疼。

  3. 实用性:思路是思路,现实是现实。现实中,联动是否仅限于自家产品?A品牌的终端安全工具能否与B品牌的SIEM联动?西药和中药能否一起服?谁负责协调和对接?


勒索软件生意经 | 商贾呓语

市场推广:


从勒索软件的业务思路,条条大路通罗马,Routeto Market模型,甚至可以采用经典市场分析理论来调研分析,最差也就是一条一条试过来,最多是代价高低,而最传统有效的,依然是钓鱼和垃圾邮件。用这个思路来看,所有通道检测/拦截/过滤的技术,都是马其顿防线,无法确保有效。如同那句著名的广告语: 总有一款适合你。 


但从防守者思路,从源头到终端,层层加码,处处封堵,是一个漏斗管理体系,拼的不是个别系统的成功,而是概率和方案间的互补性。各类网络设备,web防护设备,层层过滤,最终到达客户内部的,希望成为概率最小值,则缩小总体市场,同时对比同业,延缓爆发时间点,取得应对时间。在森林里,跑赢同伴,而不是熊。 


产品技术和方案就不再赘言,各种解决方案可以自行归类。


勒索软件生意经 | 商贾呓语

销售& 服务:


这一环,敌方做的不好,我方做的更差。


如果说对方业务是闭环,防守方只需击破其中一个环节即可,则之前三个分类,都有人在尝试,且都取得了不同程度的进展,而最后找一个,有点束手无策的感觉。因为比特币和Tor,解决了资金流动的匿名性和流动隐蔽性。 


从媒体可以注意到,全球各国针对这两个问题,均在进行不同程度的法规制定和监管,如同治水,有的在堵(交易非法),有的在疏(监管认证下交易),新事物,都在摸索。 


如不阳谋,就只有阴谋了,那就不是商业范畴,我也不懂了。 


这问题,没有答案,也并未结束,让我再想想看。


最后


有人说未来勒索软件走势是走向移动端,也有人说会走向IOT,都有可能,反正黑客的脑洞是无限大的,再加上每个市场都很大,都有驱动,什么都有可能。


但还是想说,有技术,却做勒索这个生意,真的,很不受人待见。


纪晓岚《阅微草堂笔记∙卷一∙滦阳消夏录》里,有这样一个故事,“南皮疡医某,艺颇精,然好阴用毒药,勒索重赀,不餍所欲,则必死。盖其术诡秘,他医不能解也。”医者无德,技者无良,商贾无仁,这跟勒索软件,有异曲同工之处。 


后来,故事里说,“一日,其子雷震死。”


嗯,雷还在路上,各位仍需努力。


参考

1. http://cybersecurityventures.com/hackerpocalypse-cybercrime-report-2016/

2. Ransomware: How consumers and businesses value their data, by Limor Kessem,IBM Security

3. SANS Survey Security and Risk in Financial Services 2016.pdf, by G.Mark Hardy

4. 部分其他资料数据,来自网络和新闻,如有偏颇,敬请指正。


勒索软件生意经 | 商贾呓语



推荐人物阅读



人物


白健 | Coolfire |段海新杜跃进董志强于旸方小顿方兴范渊龚蔚黄鑫 |韩争光 |姜开达 |季昕华金湘宇刘春泉林伟马杰马坤聂万泉|潘柱廷|孙小美谈剑峰谭晓生吴翰清吴鲁加 王琦薛峰云舒 |赵武 | 张照龙


白帽


聂万泉 | 笑然 |“先知”| 叶敏  | 黄源 | 刘健皓 | MJ |  大菠萝 | 衰大 | 乌云301


新锐


陈奋 | 陈新龙 | 陈宇森 高瀚昭 | 韩争光 | 罗启武 | 李术夫 | 刘士烨 | 马坤 | 吴志雄 | 宋国徽 | 权小文 | 薛锋 |   袁劲松 | 云舒 | 姚威 | 裔云天 |  赵武 | 朱林 


安在

新锐丨大咖丨视频丨白帽丨深度

勒索软件生意经 | 商贾呓语

长按识别二维码 关注更多精彩


本站文章来自网友的提交收录,版权归作者所有,如有权益问题请及时与我们联系处理!

www.rsswx.com true 微书签 http://www.rsswx.com/keji/2911976196.html report 1337 导读---缘起 勒索从来就是一门生意,大生意,只是,很不招人待见。  原理上,勒索属于一种双方或多方博弈,历史很久远,比如《史记·刺客列传》里,曹沫劫齐桓公,就是为了挽回打败仗输掉的城池