档案库 · 内容与影视 · 产品决策 · 2021
Unit221B和Krebs将勒索软件的俄罗斯禁令转化为免费的电脑“疫苗”
俄罗斯勒索软件不感染独联体机器，因此Krebs和Unit221B推广免费“疫苗”：通过一个键盘调整让Windows看起来像俄罗斯的。
Unit221B · KrebsOnSecurity
当时的题目
During the May 2021 DarkSide attack that shut down the Colonial Pipeline, Krebs noted that virtually all Russian ransomware strains refuse to install on Windows machines that have Russian or Ukrainian keyboards installed — a built-in failsafe protecting the criminals from their own country's law enforcement. Readers wanted to know if ordinary users could exploit that rule.
它是怎么成立的
2021年5月，当DarkSide勒索软件团伙关闭了5500英里的Colonial Pipeline并推高美国燃油价格时，Brian Krebs指出了犯罪经济的一个怪癖：几乎所有俄语勒索软件都拒绝在带有俄罗斯或乌克兰键盘布局的Windows机器上安装。排除列表覆盖独联体国家，目的是让加盟者永远不会在自己国家制造受害者——因为只有当地受害者投诉，警察才会调查。
Krebs的创意妙招是将该规则交还给防御者：既然恶意软件会自行排除看起来像俄罗斯的机器，那就让每台机器看起来像俄罗斯。他的文章向读者展示了如何安装独联体国家键盘，Unit221B的Lance James发布了一个两行批处理脚本，该脚本在恶意软件检查的确切注册表项中添加俄语语言引用。Allison Nixon称之为“疫苗”，其真正价值是战略性的：大规模采用将迫使俄罗斯黑客在保留法律保护（避免国内机器）或放弃检查（面临起诉风险）之间做出选择。
这篇文章成为当月阅读最多的安全报道之一——在Hacker News上获得604分和278条评论，文章本身有147条评论——读者安装布局、分享脚本并辩论罪犯是否会适应。其中附带的条件说明也是吸引力的一部分：该技巧无法防御没有独联体排除规则（的恶意软件），不能替代深度防御，而且Mandiant发现一个最近的DarkSide变体已经取消了语言检查。尽管如此，作为免费的两分钟措施，它给普通用户提供了真正的防御，让攻击者每次绕过都要付出代价。
妙在哪
- 疫苗无需新的安全产品：它利用罪犯自己代码中已有的不感染列表。
- 两行注册表脚本使这一技巧易于采用，将一个巧妙想法变成普通用户当天就能运行的东西。
- Colonial Pipeline事件为这一技巧提供了时机：多年来最显眼的勒索软件攻击使免费的防御性便利方法立即具有新闻价值。
- 战略框架（迫使罪犯在法律保护和收入之间取舍）使该技巧超越个人卫生，成为集体行动。
- 诚实的限制说明（并非所有恶意软件都会检查，已有变体取消了检查）让建议在持怀疑态度的安全受众中传播时保持可信。
做出来什么
The explainer became one of May 2021's most-discussed security posts — 604 points and 278 comments on Hacker News plus 147 comments on the site — and James's script circulated as the free, one-step version of the fix. Nixon argued mass adoption would force criminals to weaken their own legal shield or accept losses, while the piece was explicit that the defense only works against malware with a CIS exclusion and that a recent DarkSide variant analyzed by Mandiant skipped the language check entirely.
可以借走的
对手的安全规则是一个控制面：罪犯呆在自己的地盘外以躲避当地警察，因此防御者伪造那个地盘，迫使攻击者削弱其保护或失去收入。
后来
该技巧成为Colonial Pipeline之后勒索软件讨论中的一个参照点：DarkSide在服务器和比特币被查封后宣布关停，而语言检查防御作为一种免费临时措施流传，同时防御者争论其局限性。评论者探究其弱点（检查当前激活的键盘、查看布局安装时间、完全取消检查），Nixon将其视为疫苗设计的取舍。这篇文章持续在线并有人评论，成为一个持久解释：罪犯的地理规则如何成为任何人的防御。
资料来源
- Try This One Weird Trick Russian Hackers Hate
- Unit221B/Russian — Russian Keyboard Registry Script
- Try This One Weird Trick Russian Hackers Hate (Hacker News discussion)
发现哪里写错了？告诉我们。
轮到你了
你刚读完一个点子。把你手上的题目说出来，看看谁接过同样的题。
免费账号 · 3 次免费提问 · 不用绑卡