漏洞价值过亿！企业如何防范高额勒索攻击？

公司

2022年的一篇深蓝洞察报道中，揭示了当年且当时史上最高的单笔漏洞奖金——1000万美元，被评为年度最具价值漏洞。漏洞的实际价值，在2023年的安全事件中得到了最直观的体现。以下是深蓝洞察年度安全报告第七篇的内容。

2023年9月27日，一家俄罗斯公司在X平台上发布消息，表示愿意以最高2000万美元的价格购买针对IOS和Android系统的远程代码执行漏洞利用链。同时，该公司保证相关攻击代码只会提供给非北约国家的最终用户。

这一价格已是币圈单笔最高漏洞奖金的两倍。而这个金额仅是收购价，实际出售时，漏洞还需应用于目标攻击，最终买家支付的费用很可能远超2000万美元。高质量的漏洞利用代码从来都不是市场化的商品。以往，只有最终的神秘买家才清楚其价格与价值。被攻击者往往无从得知自己中招的子弹到底值多少钱，甚至很多时候根本不知道自己已被击中。然而，2023年上半年，这颗漏洞子弹的价值却广为人知——1亿美元。这个价值1亿美元的真实漏洞就是CVE-2023-34362，一个被勒索软件组织Cl0p使用的MOVEit SQL注入0day漏洞。Cl0p通过该漏洞，在2023年对壳牌石油、普华永道、多家美国银行和大学等机构发动勒索攻击，从中总共获得了1亿美元赎金，最初的勒索报价更是高达7亿美元。这次事件让众多被攻击者乃至普通公众都意识到漏洞的价值所在。

IOS

2023年下半年，一个名为Citrix Bleed的漏洞（CVE-2023-4966）引起了广泛关注。这可能是中国人最需要了解的一个漏洞。在2023年11月3日，勒索软件组织Lockbit利用该漏洞攻击了中国工商银行在美国的子公司——ICBC Financial Services（工行金融服务），导致其系统服务中断。Lockbit声称，ICBC最终支付了赎金，但具体金额并未公开。然而，ICBC并非唯一受害者。Citrix Bleed漏洞被曝光后，许多存在该漏洞的组织和机构都遭遇了攻击，其中包括波音公司、迪拜港口世界公司（DP World）以及知名律师事务所Allen&Overy等多家大型企业。这一漏洞的重要性可能超越以往同类问题。接下来我们将深入探讨这个代价最高的漏洞到底有何特别之处。CVE-2023-4966是Citrix公司旗下的NetScaler ADC和Gateway产品中发现的一个漏洞。此漏洞存在于设备固件中的/netscaler/nsppe可执行文件内。nsppe作为NetScaler的数据包处理引擎，集成了完整的TCP/IP协议栈与HTTP服务功能。通过对比修复前后版本的nsppe代码，可以清晰地看到ns_aaa_auth_send_openid_config函数的相关改动。修复后的代码在发送响应数据包前增加了一次额外的边界检查，从而避免潜在的安全风险。这一调整看似简单，却有效阻止了攻击者利用内存访问不当获取敏感信息或发起进一步攻击的可能性。由此可见，及时更新补丁对保障网络安全至关重要。在漏洞修复之前，上述代码通过 snprintf 函数将设备主机名及其他相关信息嵌入模板，生成一段用于 OpenID 配置的 JSON 字符串。此字符串会被直接用作响应包返回。由于生成 JSON 时未对缓冲区长度进行严格限制，攻击者可构造一个带有超长 Host 字段的请求发送至 NetScaler 实例。服务器响应中将包含超出缓冲区范围的内存值，其中可能泄露一个 65 字节的 Session Token。以下是实现漏洞利用的代码片段： cuVar7 = snprintf(print_temp_rule, 0x20000, 该代码尝试向大小为 0x20000 的缓冲区写入数据，但未充分验证输入长度，从而导致信息泄露风险。攻击者可借此获取敏感信息，进一步实施攻击。修复后的版本对 JSON 字符串长度进行了边界检查，仅当格式化后的字符串长度小于 0x20000 时，响应才会正常发送。惊讶吗？这个耗费巨大的漏洞，其成因和利用方式竟然如此简单，只是一个缓冲区溢出问题。或许正因其利用难度低，才让它在现实中更具危险性。2023年，勒索软件的蔓延达到了前所未有的程度。勒索组织迅速扩张，攻击次数与数据泄露事件同比激增50%。实际支付的赎金或许远超公开报告的数据，因为被曝光的受害案例可能只是其中一小部分。许多企业为规避监管处罚或保护声誉，往往选择隐瞒此类事件。我们不禁要问：遭受勒索的企业，在安全防护和测试上的年度投入，是否连赎金的十分之一都不到？漏洞风险如子弹般随时可能击中目标，不会因等待而停止。那么，2024年，代价最高的那颗子弹又将击中谁？近期，网络安全领域出现了多个重要安全公告。Citrix发布了关于NetScaler ADC和NetScaler Gateway的安全公告，涉及CVE-2023-4966和CVE-2023-4967两个漏洞。这些漏洞可能允许攻击者未经授权访问系统或执行恶意代码，企业用户应尽快更新补丁以降低风险。与此同时，Clop勒索软件的活动再度引发关注。根据Dark Web情报显示，该组织持续通过复杂手段窃取敏感数据，并威胁受害者支付赎金。此类攻击通常利用公开漏洞或人为疏忽渗透目标网络，提醒各组织加强内部防护，定期备份关键数据。另外，CVE-2023-4966被列为高危漏洞，影响范围广泛。它与特定软件的身份验证机制有关，可能导致信息泄露或服务中断。建议管理员密切关注官方更新，及时采取防御措施。综合来看，当前网络安全形势复杂多变，只有保持警惕并实施有效策略，才能更好地保护数字资产安全。