漏洞攻击事件

2023年5月，漏洞MOVEit Transfer的攻击一个零日漏洞被Clop勒索团伙盯上。短短几天，事件全球上千家组织的漏洞数据被洗劫一空。BBC、攻击壳牌、事件英国航空、漏洞爱尔兰卫生系统——全在名单上。攻击这不是事件电影情节，是漏洞真实发生的。

漏洞本身并不复杂。攻击SQL注入，事件一个在OWASP Top 10里待了二十年的漏洞老面孔。MOVEit的攻击开发者没对用户输入做足够过滤，攻击者就能通过特制请求读取、事件甚至篡改数据库内容。Clop的聪明之处在于，他们没直接勒索被攻击的企业，而是先攻破MOVEit这个文件传输平台，再顺着它的客户链条往下打。一个漏洞，撬动整条供应链。

这种打法近几年越来越常见。SolarWinds那次也是类似思路——攻破IT管理软件，然后像病毒一样扩散到政府机构和科技公司。攻击者不再满足于单点突破，他们找的是“支点”。一个被广泛使用的软件，就是最好的支点。

我翻过MOVEit事件的后续报告。有个细节挺有意思：Clop在入侵后，并没有立刻加密文件。他们花了大约两周时间，静默地窃取数据。等受害者发现时，数据已经在暗网上挂牌了。这种“先偷后敲”的模式，比传统勒索更阴——你就算有备份，数据泄露的后果照样躲不掉。

企业这边呢？反应普遍慢半拍。Progress Software（MOVEit的母公司）在漏洞曝光后发布了补丁，但很多客户根本没及时打。有些是因为内部流程冗长，有些压根不知道自己在用MOVEit——它可能藏在某个第三方服务的底层依赖里。供应链攻击最麻烦的地方就在这：你连自己用了什么都不知道，怎么防？

再说说Clop这个团伙。他们不算技术最顶尖的，但商业头脑一流。2020年他们就开始转向“纯数据勒索”，放弃加密文件这种容易触发备份恢复的玩法。MOVEit事件里，他们甚至给受害者设了谈判截止日期，过期就公开数据。心理战玩得很溜。

安全圈有个老生常谈：漏洞不可避免。这话没错，但MOVEit暴露的问题更深——很多企业连基本的资产管理都没做好。你不知道自己有哪些软件、哪些版本、哪些对外暴露的接口，谈何打补丁？攻击者比你自己更了解你的网络，这仗还没打就输了。

有个做应急响应的朋友跟我说，他们去客户现场处理MOVEit相关事件时，发现有些服务器还在跑Windows Server 2008。补丁？不存在的。这种环境，就算没有MOVEit，也会有别的漏洞被利用。攻击者不挑食。

最后说个观察。MOVEit事件后，Clop沉寂了一段时间，但勒索团伙整体并没收敛。RansomHub、Akira这些新面孔接着冒出来，手法更激进。漏洞攻击这条产业链已经高度分工——有人负责挖漏洞，有人负责写利用工具，有人负责谈判洗钱。你防住一个Clop，还有下一个在排队。

安全不是产品，是过程。这话听着像口号，但MOVEit的受害者们大概深有体会。补丁管理、资产清点、最小权限——这些老掉牙的建议，每次出事都被翻出来说一遍。问题在于，有多少人真的在做？