挑戰：應變不及，恐使勒索軟體事件損害擴大

當勒索軟體攻擊事件發生，若資安團隊無法迅速掌握受駭情況，與應優先處理的環節，導致應變延遲。攻擊者可能利用這空窗期間，持續滲透其他相連系統，擴大損害範圍。要及早採取應對行動，團隊必須掌握環境內是否已出現相關威脅的蛛絲馬跡，才能判斷後續應從何處展開調查與處置。

解決方案：以勒索軟體分析結果強化應變能力

我們透過分析勒索軟體攻擊手法與惡意程式樣本，歸納出具體的威脅指標與應對建議，協助企業組織快速掌握防禦重點。從 CrazyHunter 攻擊台灣醫療機構的案例可看出，這些深入剖析，能協助其他組織確認自身場域是否出現相同威脅。

  • 運用 TTP 還原攻擊路徑
    以 CrazyHunter 攻擊事件為例，從樣本與攻擊活動的分析，掌握到攻擊者以 BYOVD 手法利用有漏洞的 zam64.sys 驅動程式，停用 EDR 防護機制；另利用 SharpGPOAbuse 操作 Active Directory（AD）群組原則，散布勒索軟體。

  • 運用 IoC 確認客戶場域曝險狀況
    彙整事件相關的惡意程式與入侵指標（IoC），再由 MDR 團隊逐一比對客戶場域的端點報告與活動紀錄。

效益：確認客戶曝險狀況，快速應變

透過巡檢協助客戶釐清自身場域是否受到類似的威脅與攻擊。如果日後再發現相關活動，相關的入侵指標等也可作為追查依據。

  • 確認客戶場域未見相關攻擊跡象
    MDR 團隊檢視客戶場域的端點報告與活動紀錄後，並未發現與本案相關的勒索軟體活動，客戶也能據此掌握場域當下的曝險狀況。

  • 提早啟動初步應變
    將威脅情資納入 MDR 與事件應變流程後，資安團隊可將 IoC 匯入防護設備與平台，快速確認場域是否出現相關跡象；針對可疑活動，則可依攻擊者的 TTP 追查攻擊路徑與影響範圍，啟動及時應變。這有助於團隊及早發現勒索攻擊者的活動，並在其橫向移動或展開大規模加密前採取圍堵措施，進而降低營運損害，也大幅提升整體應變判斷的準確度。