國立臺灣大學計算機及資訊網路中心

Crazy Hunter為新興的勒索軟體組織，為基於Prince Ransomware所開發的變種版本，該組織自2月以來針對國內多所學校、醫院及企業進行攻擊，並在暗網設立CrazyHunter Team的資料外洩恐嚇網站，列出遭受攻擊的受害者清單。

駭客首先透過釣魚郵件或攻破包含漏洞之公開主機以進行入侵，再橫向擴散到Active Directory (AD)主機，利用自帶易受攻擊的驅動程式 (Bring Your Own Vulnerable Driver) 提升權限後，以Group Policy Object (GPO) 的方式將勒索軟體部署到網域內每一台主機上。當主機遭受攻擊後，除了檔案被加密導致營運中斷之外，駭客更可能進一步威脅公開或販售敏感資料，大幅增加受害者面臨的風險和支付贖金的壓力，使情勢益發嚴峻。

建議措施：

1. 收到電子郵件時請仔細核實郵件來源的真實性，切勿輕易開啟郵件中的連結與附件，相關安全性設定請參考本校電子郵件社交工程演練專頁https://socialengineering.cc.ntu.edu.tw/。
2. 定期檢視並修補重要系統的漏洞。
3. 定期進行資料備份，遵守備份 321 原則（至少備份資料3份，分別儲存於2種不同的儲存媒介，其中1份存放於異地），並檢視備份資料是否完整。
4. 完善網段切割隔離機制，降低攻擊者橫向移動的機會。
5. 加強系統日誌監控，即時掌握異常行為。
6. 重要系統主機建議安裝Endpoint Detection and Response (EDR) 端點偵測與回應系統。
7. 避免使用單一弱密碼，防範密碼噴灑攻擊(Password Spraying)

參考資料：

1. TACERT：https://cert.tanet.edu.tw/prog/showrpt.php?id=3902
2. TeamT5：https://teamt5.org/tw/posts/the-case-study-hospital-crazyhunter-ransomware-attack/