與勒索軟體團伙談判的9個技巧

NCC 集團旗下Fox-TT 的網路安全分析師 Pepijn Hack和Zong-Yu Wu 在Black Hat Europe 2021 的會議上提出了這些概念，並在不久之後在 NCC 集團的部落格文章中做了詳細擴充套件。這些資料來源於 2019 年至 2020 年間，對超過 700 次勒索者與受害者談判的研究，以及一篇探索三個主要主題的論文。他們分別是：

• 勒索者如何使用經濟模型來實現利益最大化

• 受害者如何在談判階段表明立場

• 勒索軟體受害者可以使用的策略

研究人員寫道：“這項實證研究表明，勒索軟體已經發展成為了一項複雜的業務。” “每個勒索軟體團伙都制定了自己的談判和定價策略，旨在實現利益最大化。”

勒索軟體團伙處於談判的主導地位

該資料集主要關注兩種不同的勒索軟體。提供2019年末至2021年初收集的資料對兩個勒索軟體進行了比較。第一組是在 2019 年收集的，當時勒索者相對缺乏經驗，贖金要求較低。受害者和勒索軟體組織進行了 681 次談判。第二組進行了30次談判。

分析顯示，勒索軟體操作層面的成熟度有所提高。勒索軟體實施團隊根據勒索目標的綜合情況計算攻擊成本以及贖金定價策略，他們判斷的因素包括受感染裝置/伺服器的數量、員工、預估收入以及媒體曝光的潛在影響等等。透過這樣做，勒索者甚至可以在受害者進入談判之前準確地預判受害者可能支付的金額。一旦他們這樣做，受害企業就會處於不利地位。部落格中有提到“通常情況下，在談判中，每個玩家都握著自己的牌。勒索者知道他們的業務成本以及他們需要賺多少錢才能達到收支平衡。同時，受害者也預估了補救成本”。這便造成了這樣一種情況，受害者必須透過“不公平的談判遊戲”，在其不知情的情況下，勒索者會先預估出“合理的”贖金範圍。“這是一場被操縱的遊戲。如果對手牌技高超，那麼他將會一直獲勝。這也恰恰是勒索軟體攻擊越來越猖獗的關鍵原因之一。”

研究結果表明，從每年收入的角度來看，較小的公司通常支付更多的贖金。這意味著他們支付的百分比較高，但絕對贖金金額較少。相比之下，最高贖金（1400 萬美元）是由《財富》500 強的企業支付的。“因此可以理解為，攻擊者會精心挑選有價值的目標並從幾筆大額贖金中獲利，而不是選擇攻擊小公司。這也導致一些勒索軟體組織往往只選擇針對大型盈利企業實施勒索攻擊。”

被勒索企業或個人談判需要做以下 4 個準備

該研究列出了可以在某種程度上來說對受害者有利的談判方法，可以取得更好的談判效果並降低損失。

1。 告訴員工不要開啟贖金票據並點選裡面的連結。點開後，裡面通常會出現倒計時付款的字樣。不開啟票據就可以爭取到一些時間，這樣就有時間來確定是哪些基礎設施受到了攻擊、瞭解被攻擊產生的後果以及成本。

2。 確定談判目標，準備備選方案以及應對最佳/壞的情況下可能要支付的贖金方案

3。 建立清晰的內外溝通渠道，包括但不限於危機管理團隊、董事會、法律顧問和溝通部門。

4。 儘可能多的瞭解攻擊者及他們的策略並嘗試解密金鑰是否可用。

5個談判技巧

如果企業決定與勒索者進行談判的話，除了上述準備，還建議他們掌握以下五種談判技巧，儘可能的降低損害。

1。 談判時保持尊重的態度並使用專業詞彙，切忌將多餘的感情帶入到談判中。

2。受害者應該儘可能多的爭取時間，探索所有恢復的可能性。還有一種方法是解釋您需要時間來籌集所需的加密貨幣贖金。

3。 與其拖延時間，不如提前支付少量費用，往往勒索者都會同意降低贖金金額以快速獲利，轉向下一個目標。

4。 最有效的策略之一是說服勒索者您沒有能力支付他最初要求的金額，不過勒索者往往會對勒索物件進行調查。但研究指出，擁有一定的收入與擁有流動資金和加密貨幣往往是有區別的。

5。 避免告訴勒索者自己有網路保險政策。企業不要將網路保險檔案儲存在任何可訪問的伺服器上。這會影響談判的靈活度，因為大多數保險政策都涵蓋了成本。

該研究還給出了一些談判後的建議。包括：要求解密測試被加密檔案、付款後要求勒索者提供檔案刪除證明，以及讓攻擊者解釋入侵方式。企業也應該做好準備，即使支付贖金也會發生洩露或被出售檔案的情況。