黑客拿到500万美元：美国被黑燃油管道商“花钱消灾” 结果很尴尬

在被黑客掐断重要运输管道后，美国最大燃油管道商之一的科洛尼尔管道运输公司（Colonial Pipeline）被迫缴纳了赎金，才得以恢复运营。

赎金高达500万美元，约合人民币3200万，是以加密货币的形式支付给黑客。

该公司原本无意向黑客妥协，政府也建议该公司不要支付赎金，否则将助长黑客攻击盈利之风。

美媒：科洛尼尔向黑客支付了500万美元

科洛尼尔运营美国最大的成品油管道系统，管道共长5500英里，将汽油和其他燃料从德克萨斯州运往东北，其提供的燃油约占东海岸燃料消耗的45%。其燃油运输中断将影响到5000万美国人，涉及民生及国家安全。

本月7日，黑客通过加密手段锁住该公司计算机系统并盗取机密文件，试图以解锁为条件来勒索赎金。该公司一度被迫关闭整个能源供应网络，极大影响了美国东海岸燃油等能源供应。

据央视新闻援引美国媒体当地时间13日报道，有消息人士称，遭到黑客攻击被迫关闭输油管道的美国科洛尼尔管道运输公司原无意向黑客妥协，但最终还是支付了将近500万美元的赎金以恢复被攻击的系统。

据消息人士透露，在7日遭到黑客攻击的数小时后，科洛尼尔管道运输公司以无法追踪交易往来的加密货币支付了赎金，黑客收到付款后提供了解密工具帮助恢复其计算机网络。但因该解密工具运行速度过慢，科洛尼尔管道运输公司最后还是使用自己的备份数据来恢复系统。

此前多家美国媒体报道称，科洛尼尔管道运输公司没有支付赎金的计划，而是希望通过与网络安全公司合作，从备份系统中恢复数据。美国网络安全和基础设施安全局代理局长布兰登·威尔斯（Brandon Wales）也曾针对该事件表示，建议该公司不要支付赎金，否则将助长黑客攻击盈利之风。

此外，当地时间5月13日，美国总统拜登就美国科洛尼尔管道运输公司遭黑客攻击事件在白宫进行讲话。拜登表示，科洛尼尔管道运输公司已于昨日开始重启工作，并于13日早上开始恢复向大部分地区运输燃料，大部分地区将在本周末至下周初开始逐渐恢复燃油供应。拜登指出，虽然该公司即将恢复全部运营能力，但在安全情况下完全恢复运营仍需一段时间。

拜登还说，美方不认为俄罗斯政府与科洛尼尔管道运输公司遭黑客攻击事件有关，但美方有充分理由相信，实施网络攻击的人居住在俄罗斯。

拜登表示，美国政府已经下达一系列紧急命令以暂时免除部分燃料运输限制的法令，使燃油能更容易地送到有需求的地区。由于燃油供应即将恢复，拜登希望民众停止恐慌性抢购汽油的行为，并表示将对加油站的燃油价格欺诈问题进行严厉打击。

消息传出后，国家油价急跌，美国WTI原油盘中一度跌近5%。最终，WTI 6月原油期货结算价收跌2.26美元，跌幅3.42%，报63.82美元/桶。布伦特7月原油期货收跌2.27美元，跌幅3.27%，报67.05美元/桶。均创1个月以来最大单日跌幅。

{image=1}

Darkside是谁？

美国联邦调查局（FBI）10日指认，此次网络袭击与黑客组织“黑暗面”（DarkSide）有关。该组织据信位于俄罗斯或东欧，专门通过窃取公司机密数据对其进行勒索，以换取赎金。该组织甚至配有客服。

Darkside，是一个提供勒索软件即服务（RaaS：Ransomware as a Service）的组织。一封勒索软件领域宣传资料曾如此描述RaaS：

“简单！低成本！一夜暴富！不需要花多年时间浸淫代码编写或软件开发技艺。只需要下载我们简单的勒索软件工具包，就能让您钱财源源而来——享受在家办公的舒适与弹指坐听比特币落袋声的双重快乐。”

随着互联网技术的发展和应用软件的成熟，近年来软件即服务（SaaS）日趋流行。SaaS平台供应商将应用软件统一部署在自己的服务器上，客户可以根据工作实际需求，通过互联网向厂商定购所需的应用软件服务。

SaaS平台为中小企业提供了较为廉价的软件服务，而RaaS则是为犯罪团伙提供了廉价的作案工具。RaaS这种商业模式的兴起，使得从业者无需任何专业技术知识就可以毫不费力地发起网络敲诈活动。近几年，RaaS呈爆发式增长，可谓网络安全的新疫情。RaaS为黑客提供了勒索软件的巨大使用便利，节省了他们的时间资源并简化了流程，还有利于保护攻击者的真实身份。

一个勒索软件特别工作组上个月发布的报告称，2020年勒索软件受害者支付的金额暴增311%，至大约3.5亿美元加密货币，各机构支付的平均赎金额为31万美元左右。

安恒信息工业互联网安全事业部总经理叶鹏对《每日经济新闻》记者表示，勒索病毒主要以邮件、程序木马、网页挂马的形式进行传播，利用各种非对称加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。“上次挪威铝业巨头（海德鲁）遭受勒索软件攻击，耗费约一个月时间才完全恢复。”

随后，叶鹏详细描述了勒索病毒的工作原理：“勒索病毒文件一旦进入本地，就会自动运行。接下来，勒索病毒利用本地的互联网访问权限连接至黑客的C&C服务器，进而上传本机信息并下载加密公钥，利用加密公钥对文件进行加密。除了拥有解密私钥的攻击者本人，其他人几乎不可能解密。”

加密完成后，勒索病毒通常还会修改壁纸，在桌面等明显位置生成勒索提示文件，指导用户去缴纳赎金。勒索病毒变种非常快，对常规的杀毒软件都具有免疫性。

对于类似RaaS这样的商业模式，叶鹏认为，不仅仅是勒索软件，整个互联网领域的攻击行为都呈现出低门槛、低成本的趋势。比如一个普通中学生，都能够使用相关工具轻松攻击机构网站，这对互联网安全企业提出了更高的要求。