本文来自嘶吼网，作者胡金鱼。
BianLian和Rhysida等勒索软件团伙越来越多地使用Microsoft的Azure存储资源管理器和AzCopy从受感染的网络窃取数据并将其存储在Azure Blob存储中。
Storage Explorer是Microsoft Azure的GUI管理工具，而AzCopy是一个命令行工具，可以促进与Azure存储之间的大规模数据传输。在网络安全公司modePUSH观察到的攻击中，被盗数据随后被存储在云中的Azure Blob容器中，威胁分子随后可以将其传输到他们自己的存储中。
Azure存储资源管理器界面
然而，研究人员指出，攻击者必须进行额外操作才能使Azure存储资源管理器正常工作，包括安装依赖项和将.NET升级到版本8。此举也表明勒索软件操作越来越关注数据盗窃，这是威胁分子在随后的勒索阶段的主要手段。
为什么选择Azure
虽然每个勒索软件团伙都有自己的一套泄露工具，但勒索软件团伙通常使用Rclone与各种云提供商同步文件，并使用MEGAsync与MEGA云同步。
Azure是企业经常使用的受信任的企业级服务，不太可能被企业防火墙和安全工具阻止。因此，通过它进行的数据传输尝试更有可能顺利通过且不被发现。
此外，Azure的可扩展性和性能使其能够处理大量非结构化数据，当攻击者试图在最短的时间内窃取大量文件时，这一点非常有益。
modePUSH表示，它观察到勒索软件参与者使用多个Azure存储资源管理器实例将文件上传到blob容器，从而尽可能加快这一过程。
检测勒索软件泄露
研究人员发现，威胁分子在使用存储资源管理器和AzCopy时启用了默认的“信息”级别日志记录，这会在%USERPROFILE%.azcopy处创建一个日志文件。
该日志文件对于事件响应人员特别有价值，因为它包含有关文件操作的信息，使调查人员能够快速确定哪些数据被盗（UPLOADSUCCESSFUL）以及可能引入了哪些其他有效载荷（DOWNLOADSUCCESSFUL）。
数据传输成功日志
防御措施包括监控AzCopy执行情况、到“.blob.core.windows.net”或Azure IP范围的Azure Blob存储端点的出站网络流量，以及对关键服务器上的文件复制或访问中的异常模式设置警报。
如果企业已经使用Azure，建议选中“退出时注销”选项以在退出应用程序时自动注销，防止攻击者使用活动会话进行文件窃取。
