雖然在2021 年微軟就已針對Hive 勒索軟件發布Exchange 服務器的安全補丁，並敦促企業及時進行部署，但是依然有一些組織並沒有及時跟進。消息稱這些尚未跟進的組織近日再次遭受了Hive 勒索軟件的攻擊，被黑客獲得了系統權限。

在攻擊獲得系統權限之後，該勒索軟件就會通過PowerShell 腳本啟動Cobalt Strike，並創建了一個名為“user”的新系統管理員賬戶。

然後，攻擊者使用Mimikatz（一款功能強大的輕量級調試神器）來竊取域管理員的NTLM 哈希值，並獲得對該賬戶的控制。在成功入侵後，Hive 進行了一些發現，它部署了網絡掃描儀來存儲IP 地址，掃描文件名中含有”密碼”的文件，並嘗試RDP進入備份服務器以訪問敏感資產。

最後通過“ Windows .exe”文件執行一個自定義的惡意軟件有效載荷，用於竊取並加密文件，刪除影子副本，清除事件日誌，並禁用安全機制。隨後，會顯示一個勒索軟件的說明，要求該組織與Hive的”銷售部門”取得聯繫，該部門設在一個可通過Tor 網絡訪問的.onion 地址。

被攻擊的組織還被提供了以下指示：

● 不要修改、重命名或刪除*.key.文件。你的數據將無法解密。

● 不要修改或重命名加密的文件。你會失去它們。

● 不要向警察、聯邦調查局等機構報告。他們並不關心你的業務。他們只是不允許你付款。結果是你將失去一切。

● 不要雇用恢復公司。沒有密鑰，他們無法解密。他們也不關心你的業務。他們認為自己是好的談判者，但事實並非如此。他們通常會失敗。所以要為自己說話。

● 不要拒絕（sic）購買。滲出的文件將被公開披露。

如果不向Hive付款，他們的信息將被公佈在HiveLeaks Tor 網站上。同一網站上還會顯示一個倒計時，以迫使受害者付款。

該安全團隊指出，在一個例子中，它看到攻擊者在最初入侵的72小時內設法加密環境。因此，它建議企業立即給Exchange服務器打補丁，定期輪換複雜的密碼，阻止SMBv1，盡可能限制訪問，並在網絡安全領域培訓員工。