[业内新闻动态] [【转载】] 近日美国支付平台BridgePay遭遇勒索攻击后，导致服务器宕机

结论

BridgePay事件符合典型勒索攻击链特征：初始入侵→横向移动→关键业务系统加密→谈判赎金。其攻击面可能集中在第三方服务接口、员工凭证泄露或未修复的远程服务漏洞。数据未泄露但服务宕机表明攻击者优先加密核心业务系统（如支付网关），而非窃取PCI数据。

分析路径

L1 攻击面识别

1. 入口点推测：

   • 公开服务面：检查BridgePay云环境暴露的API端口（如支付网关、数据库API）、未授权访问的管理面板（如Kibana、JMX）。
   • 第三方服务：供应链攻击可能性，如被入侵的支付处理SDK或日志分析工具（参考SolarWinds模式）。
   • 凭证泄露：员工钓鱼事件泄露的AD凭据或云服务密钥（AWS IAM）被复用。

2. 攻击目标：

   • 支付系统核心组件（如交易日志数据库、清算中间件）被加密，导致全国性服务中断。

L2 假设与验证

1. 假设验证链：

   • 横向移动路径：检查AD日志是否存在异常组策略修改（如Domain Admins权限提升）、被入侵主机的横向扫描（如SMB NULL Session）。
   • 加密行为特征：分析磁盘异常写入模式（如高频小文件写入）和加密文件扩展名（如.locked、.encrypted).
   • C2通信残留：检查DNS查询记录是否有C2服务器请求（如短域名、动态DNS子域）。

2. 关键指标：

   • 支付卡数据未泄露可能因攻击者未深入支付处理层（如HSM加密模块），或数据存储于隔离的PCI DSS合规区域。

L3 边界/异常场景

1. 防御绕过点：

   • WAF/IPS规则未拦截横向移动工具（如Mimikatz）或勒索软件行为（如AES+RSA加密模式）。
   • 备份系统未隔离，导致加密范围扩大至生产与灾备环境。

2. 异常行为：

   • 攻击者选择性加密业务数据库而非全部文件，体现对支付系统架构的深度理解。

L4 防御反推与修复

1. 溯源缺失环节：

   • 若日志显示2月6日前存在异常登录，需检查45天内的SSH/RDP会话、容器镜像供应链（如Docker私有仓库）。

2. 修复优先级：

   • 横向移动阻断：部署主机防火墙（如Windows Firewall规则限制CIFS/RPC端口跨段访问）。
   • 加密防护：对关键业务系统启用防勒索软件功能（如Windows Defender Controlled Folder Access）。

验证步骤

1. 入口点回溯：

   # 检查SSH异常登录  
   grep "Accepted publickey" /var/log/secure | awk '{print $11}' | sort | uniq -c  
   # 分析Web服务器异常请求（如未授权API调用）  
   cat access.log | grep -E 'PUT|POST' | grep -v '/api/v1/health'  

2. 横向移动证据：

   # 查找失陷主机的异常进程树  
   ps auxwwwf | grep -E 'mimikatz|rdpclip'  
   # 检查域控制器组策略修改时间  
   Get-ADObject -Filter * -Properties whenChanged | Where-Object {$_.whenChanged -gt "2026-02-05"}  

3. 加密行为验证：

   # 分析文件扩展名变化频率  
   find /mnt/data -type f -newermt "2026-02-05" -exec file {} \; | grep 'encrypted data' | wc -l  

修复建议

1. 漏洞修补：

   • 立即修补公开服务的CVE（如Log4j、Confluence RCE漏洞），使用工具nuclei扫描常见攻击面。

2. 备份隔离：

   • 采用3-2-1备份策略（3份副本、2种介质、1份离线），测试恢复流程的RTO/RPO是否符合PCI DSS要求。

3. 入侵检测强化：

   • 部署Elasticsearch+Suricata检测异常横向访问，配置SIEM规则触发条件：source.port:445 AND dest.domain:ad.internal AND bytes_out:>10MB。

4. 供应链管控：

   • 对第三方支付SDK进行SBOM分析（如Syft工具），禁用未使用的第三方API权限（最小权限原则）。

注：若需进一步分析需获取关键日志片段（如AD事件4624、Web防火墙日志），或系统镜像哈希值辅助判定是否被持久化。