Unit221B和Krebs将勒索软件的俄罗斯禁令转化为免费的电脑“疫苗”

在2021年5月导致Colonial Pipeline关闭的DarkSide攻击期间，Krebs指出，几乎所有俄罗斯勒索软件都拒绝在安装了俄罗斯或乌克兰键盘的Windows机器上安装——这是一个内置的安全机制，保护罪犯免受本国执法部门的追查。读者想知道普通用户能否利用这一规则。

利用恶意软件自身的国家排除列表作为疫苗：让每台Windows电脑看起来像俄罗斯或乌克兰的，从而使俄罗斯勒索软件的“不安装”检查放过它。

KrebsOnSecurity解释了方法：安装一个独联体国家键盘布局，或运行Unit221B的Lance James制作的可点击两行Windows批处理脚本，该脚本在恶意软件检查的特定注册表项中添加俄语语言引用，无需下载微软语言文件。Allison Nixon将此策略战略性地定位：如果足够多的人这样做，俄罗斯黑客将面临在失去不入侵本国领土的法律保护或失去收入之间做出选择。

这篇解释性文章成为2021年5月最受关注的安全帖子之一——在Hacker News上获得604分和278条评论，网站本身还有147条评论——James的脚本作为免费的逐步修复方案流传开来。Nixon认为，大规模采用将迫使罪犯削弱自己的法律保护或接受损失，而文章明确指出，这种防御只对带有独联体排除规则的恶意软件有效，Mandiant分析的一个最近的DarkSide变体完全跳过了语言检查。

2021年5月，当DarkSide勒索软件团伙关闭了5500英里的Colonial Pipeline并推高美国燃油价格时，Brian Krebs指出了犯罪经济的一个怪癖：几乎所有俄语勒索软件都拒绝在带有俄罗斯或乌克兰键盘布局的Windows机器上安装。排除列表覆盖独联体国家，目的是让加盟者永远不会在自己国家制造受害者——因为只有当地受害者投诉，警察才会调查。

Krebs的创意妙招是将该规则交还给防御者：既然恶意软件会自行排除看起来像俄罗斯的机器，那就让每台机器看起来像俄罗斯。他的文章向读者展示了如何安装独联体国家键盘，Unit221B的Lance James发布了一个两行批处理脚本，该脚本在恶意软件检查的确切注册表项中添加俄语语言引用。Allison Nixon称之为“疫苗”，其真正价值是战略性的：大规模采用将迫使俄罗斯黑客在保留法律保护（避免国内机器）或放弃检查（面临起诉风险）之间做出选择。

这篇文章成为当月阅读最多的安全报道之一——在Hacker News上获得604分和278条评论，文章本身有147条评论——读者安装布局、分享脚本并辩论罪犯是否会适应。其中附带的条件说明也是吸引力的一部分：该技巧无法防御没有独联体排除规则（的恶意软件），不能替代深度防御，而且Mandiant发现一个最近的DarkSide变体已经取消了语言检查。尽管如此，作为免费的两分钟措施，它给普通用户提供了真正的防御，让攻击者每次绕过都要付出代价。

疫苗无需新的安全产品：它利用罪犯自己代码中已有的不感染列表。

两行注册表脚本使这一技巧易于采用，将一个巧妙想法变成普通用户当天就能运行的东西。

Colonial Pipeline事件为这一技巧提供了时机：多年来最显眼的勒索软件攻击使免费的防御性便利方法立即具有新闻价值。

战略框架（迫使罪犯在法律保护和收入之间取舍）使该技巧超越个人卫生，成为集体行动。

诚实的限制说明（并非所有恶意软件都会检查，已有变体取消了检查）让建议在持怀疑态度的安全受众中传播时保持可信。

对手的安全规则是一个控制面：罪犯呆在自己的地盘外以躲避当地警察，因此防御者伪造那个地盘，迫使攻击者削弱其保护或失去收入。

该技巧成为Colonial Pipeline之后勒索软件讨论中的一个参照点：DarkSide在服务器和比特币被查封后宣布关停，而语言检查防御作为一种免费临时措施流传，同时防御者争论其局限性。评论者探究其弱点（检查当前激活的键盘、查看布局安装时间、完全取消检查），Nixon将其视为疫苗设计的取舍。这篇文章持续在线并有人评论，成为一个持久解释：罪犯的地理规则如何成为任何人的防御。