Unit221B 與 Krebs 把勒索軟體自身的俄羅斯禁令變成免費的 PC「疫苗」

在 2021 年 5 月 DarkSide 攻擊導致 Colonial Pipeline 停擺期間，Krebs 指出，幾乎所有俄羅斯勒索軟體都拒絕安裝在已安裝俄羅斯或烏克蘭鍵盤的 Windows 機器上——這是保護犯罪分子免遭本國執法機關追查的內建保險機制。讀者想知道一般使用者能否利用這條規則。

把惡意軟體自己的國家排除清單當作疫苗：讓每台 Windows PC 看起來像俄羅斯或烏克蘭機器，這樣俄羅斯勒索軟體的「禁止安裝」檢查就會放過它。

KrebsOnSecurity 說明了做法：安裝獨聯體國家的鍵盤配置，或執行 Unit221B 的 Lance James 製作的兩行可點擊 Windows 批次腳本；該腳本會把俄文語言參照加入惡意軟體所檢查的特定登錄機碼，而不必下載微軟語言檔。Allison Nixon 從策略角度詮釋這個技巧：如果夠多人這麼做，俄羅斯駭客將面臨抉擇——要麼失去不碰自家地盤的法律保護，要麼失去收入。

這篇解說文成為 2021 年 5 月最受討論的安全文章之一——在 Hacker News 獲得 604 分與 278 則留言，文章本身另有 147 則留言——而 James 的腳本則以免費、一步到位的修正方案廣為流傳。Nixon 主張，若大規模採用，將迫使犯罪分子削弱自身的法律屏障或承受損失；文章也明確指出，這項防禦只對含有獨聯體排除條款的惡意軟體有效，而 Mandiant 分析的一個近期 DarkSide 變種已完全略過語言檢查。

2021 年 5 月，DarkSide 勒索軟體集團癱瘓了長達 5,500 英里的 Colonial Pipeline，並使美國燃料價格攀升；Brian Krebs 指出犯罪經濟的一個奇特現象：幾乎所有俄語勒索軟體都拒絕安裝在帶有俄羅斯或烏克蘭鍵盤配置的 Windows 機器上。排除清單涵蓋獨立國家國協，其存在是為了讓附屬成員永遠不會在自己的國家製造受害者——因為當地警方只有在本地受害者報案時才會調查。

Krebs 的巧思在於把這條規則交還給防禦方：如果惡意軟體會自我排除看起來像俄羅斯的機器，那就讓每台機器看起來都像俄羅斯。他的文章向讀者展示如何安裝獨聯體國家的鍵盤，而 Unit221B 的 Lance James 則發布了一個兩行批次腳本，把俄文語言參照加入惡意軟體所檢查的確切登錄機碼。Allison Nixon 稱之為「疫苗」，其真正價值在於策略性：大規模採用將迫使俄羅斯駭客在兩種選擇之間取捨——藉由避開國內機器來保留法律保護，或放棄檢查並冒著被起訴的風險。

這篇文章成為當月最多人閱讀的安全報導之一——在 Hacker News 獲得 604 分與 278 則留言，文章本身另有 147 則——讀者紛紛安裝鍵盤配置、分享腳本，並爭論犯罪分子是否會調整因應。文中也把注意事項列為主張的一部分：這個技巧對沒有獨聯體排除條款的惡意軟體毫無作用，不能取代縱深防禦，而且 Mandiant 發現一個近期的 DarkSide 變種已經移除了語言檢查。儘管如此，作為一個免費、兩分鐘就能完成的步驟，它為一般使用者提供了真正的防禦，並讓攻擊者為每一次變通付出代價。

這款疫苗不需要新的安全產品：它把犯罪分子自己的「禁止感染」清單武器化，而這份清單早已存在於他們的程式碼中。

一個兩行的登錄腳本讓這項修正變得極易採用，把一個聰明的想法變成任何使用者當天下午就能執行的東西。

Colonial Pipeline 的背景給了這個技巧一個時機：多年來最受矚目的勒索軟體攻擊，讓一個免費的防禦小撇步立刻具備新聞價值。

策略性的框架——迫使犯罪分子以法律保護換取收入——讓這個技巧不只是個人衛生習慣，而成為集體行動。

誠實的注意事項（並非所有惡意軟體都會檢查、變種早已略過檢查）讓這項建議足夠可信，得以在抱持懷疑的安全受眾間流傳。

對手的自保規則就是一個控制面：犯罪分子為了躲避當地警方而不碰自家地盤，因此防禦方若能偽裝成自家地盤，就能迫使攻擊者削弱自己的護盾或失去收入。

這個技巧成為 Colonial Pipeline 之後勒索軟體辯論中的一個參照點：DarkSide 在其伺服器與比特幣遭查扣後宣布結束營運，而語言檢查防禦則作為免費的臨時替代方案流傳，防禦方同時爭論其限制。留言者探究其弱點——檢查哪個鍵盤處於作用中、監看鍵盤配置的安裝時間、完全移除檢查——Nixon 將此詮釋為這款疫苗本來就要迫使對方做出的取捨。這篇文章持續上線並持續有人留言，成為一個歷久不衰的解說，說明犯罪分子的地理規則如何變成任何人都能使用的防禦。