搜索

[14398] 2019-07-27_Trickbot银行木马下发Ryuk勒索病毒企业损失惨重

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-07-27_Trickbot银行木马下发Ryuk勒索病毒企业损失惨重 T r i c k b o t 银 行 木 马 下 发 R y u k 勒 索 病 毒 企 业 损 失 惨 重 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 7 - 2 7 近 日 ， 深 信 服 安 全 团 队 捕 获 到 一 起 利 用 近 日 ， 深 信 服 安 全 团 队 捕 获 到 一 起 利 用 T r i c k b o t 下 发 下 发 R y u k 勒 索 病 毒 的 攻 击 事 件 。 勒 索 病 毒 的 攻 击 事 件 。 R y u k 勒 索 病 毒 最 早 于 勒 索 病 毒 最 早 于 2 0 1 8 年 年 8 月 被 安 全 研 究 人 员 披 露 ， 名 称 来 源 于 死 亡 笔 记 中 的 死 神 。 该 勒 索 病 毒 运 营 团 伙 最 早 通 过 远 程 桌 面 服 务 等 方 式 针 月 被 安 全 研 究 人 员 披 露 ， 名 称 来 源 于 死 亡 笔 记 中 的 死 神 。 该 勒 索 病 毒 运 营 团 伙 最 早 通 过 远 程 桌 面 服 务 等 方 式 针 对 大 型 企 业 进 行 攻 击 。 对 大 型 企 业 进 行 攻 击 。 R y u k 勒 索 病 毒 界 面 如 下 ： 起 初 由 于 代 码 结 构 与 H e r m e s 勒 索 病 毒 十 分 相 似 ， 研 究 人 员 将 R y u k 勒 索 事 件 归 因 于 朝 鲜 的 A P T 组 织 L a z a r u s 。 随 后 ， 国 外 安 全 团 队 发 现 了 针 对 已 经 被 T r i c k B o t 攻 击 的 受 害 者 的 R y u k 勒 索 活 动 ， 由 此 关 联 出 R y u k 勒 索 事 件 实 为 俄 罗 斯 黑 客 组 织 G R I M   S P I D E R 所 为 。 虽 然 T r i c k B o t 被 称 为 银 行 木 马 ， 但 其 银 行 业 务 能 力 仅 仅 是 其 众 多 能 力 之 一 。 它 能 够 利 用 共 享 和 M S 1 7 - 0 1 0 漏 洞 进 行 内 网 传 播 ， 并 且 与 C 2 服 务 器 通 信 以 收 集 敏 感 数 据 和 接 收 命 令 。 一 旦 攻 击 者 利 用 其 下 发 R y u k 勒 索 软 件 ， 所 有 受 到 感 染 的 设 备 文 件 都 将 被 加 密 ， 造 成 不 可 估 量 的 损 害 。 T r i c k b o t 银 行 木 马 进 行 了 几 次 不 同 的 迭 代 ， 本 次 攻 击 事 件 中 深 信 服 安 全 团 队 捕 获 到 的 木 马 功 能 如 下 ：
排 查 过 程 排 查 过 程 在 被 勒 索 主 机 中 ， 发 现 了 几 个 可 疑 e x e 文 件 ， 包 括 以 俄 语 命 名 的 文 件 ， 如 下 ： 经 分 析 ， 其 中 的 ” T V j K a . e x e ” 为 R u y k 病 毒 文 件 ， 其 余 则 为 T r i c k B o t 木 马 ， 可 以 看 到 有 系 统 进 程 存 在 大 量 不 正 常 的 外 连 行 为 ： 排 查 其 他 未 被 勒 索 的 主 机 ， 发 现 内 网 主 机 已 经 大 量 感 染 T r i c k B o t 木 马 ， 且 植 入 时 间 为 2 0 1 8 年 1 2 月 2 2 号 ， 潜 伏 时 间 长 达
半 年 之 久 ， 一 旦 攻 击 者 利 用 该 木 马 全 面 下 发 勒 索 病 毒 ， 将 给 企 业 带 来 巨 额 损 失 ： R y u k 勒 索 病 毒 分 析 勒 索 病 毒 分 析 1 .   获 取 系 统 版 本 进 行 判 断 ： 2 .   线 程 中 循 环 监 控 终 止 x c h a n g e 相 关 进 程 及 查 找 s p o o l e r 相 关 服 务 进 行 删 除 ： 3 .   提 升 进 程 权 限 ：
4 .   获 取 进 程 的 登 录 用 户 信 息 ： 5 .   查 找 ” c s r s s . e x e ” 、 ” e x p l o r e r . e x e ” 、 ” l s a a s . e x e ” 进 程 中 的 一 个 进 行 注 入 ：
6 .   提 升 注 入 进 程 的 权 限 ： 7 .   生 成 A E S 密 钥 并 使 用 R S A 公 钥 进 行 加 密 ： 8 .   遍 历 磁 盘 ， 对 文 件 进 行 加 密 ：
解 决 方 案 解 决 方 案 针 对 已 经 出 现 勒 索 现 象 的 用 户 ， 由 于 暂 时 没 有 解 密 工 具 ， 建 议 尽 快 对 感 染 主 机 进 行 断 网 隔 离 。 深 信 服 提 醒 广 大 用 户 尽 快 做 好 病 毒 检 测 与 防 御 措 施 ， 防 范 该 病 毒 家 族 的 勒 索 攻 击 。 病 毒 检 测 查 杀 病 毒 检 测 查 杀 1 、 深 信 服 为 广 大 用 户 免 费 提 供 查 杀 工 具 ， 可 下 载 如 下 工 具 ， 进 行 检 测 查 杀 。 6 4 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 6 4 . 7 z 3 2 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 8 6 . 7 z 2 、 深 信 服 E D R 产 品 、 下 一 代 防 火 墙 及 安 全 感 知 平 台 等 安 全 产 品 均 具 备 病 毒 检 测 能 力 ， 部 署 相 关 产 品 用 户 可 进 行 病 毒 检 测 。 病 毒 防 御 病 毒 防 御 深 信 服 安 全 团 队 再 次 提 醒 广 大 用 户 ， 勒 索 病 毒 以 防 为 主 ， 目 前 大 部 分 勒 索 病 毒 加 密 后 的 文 件 都 无 法 解 密 ， 注 意 日 常 防 范 措 施 ： 1 、 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 。 2 、 对 重 要 的 数 据 文 件 定 期 进 行 非 本 地 备 份 。 3 、 不 要 点 击 来 源 不 明 的 邮 件 附 件 ， 不 从 不 明 网 站 下 载 软 件 。 4 、 尽 量 关 闭 不 必 要 的 文 件 共 享 权 限 。 5 、 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 。 6 、 如 果 业 务 上 无 需 使 用 R D P 的 ， 建 议 关 闭 R D P 。 当 出 现 此 类 事 件 时 ， 推 荐 使 用 深 信 服 防 火 墙 ， 或 者 终 端 检 测 响 应 平 台 （ E D R ） 的 微 隔 离 功 能 对 3 3 8 9 等 端 口 进 行 封 堵 ， 防 止 扩 散 ！
7 、 深 信 服 防 火 墙 、 终 端 检 测 响 应 平 台 （ E D R ） 均 有 防 爆 破 功 能 ， 防 火 墙 开 启 此 功 能 并 启 用 1 1 0 8 0 0 5 1 、 1 1 0 8 0 0 2 7 、 1 1 0 8 0 0 1 6 规 则 ， E D R 开 启 防 爆 破 功 能 可 进 行 防 御 。 8 、 深 信 服 防 火 墙 客 户 ， 建 议 升 级 到 A F 8 0 5 版 本 ， 并 开 启 人 工 智 能 引 擎 S a v e ， 以 达 到 最 好 的 防 御 效 果 。 9 、 使 用 深 信 服 安 全 产 品 ， 接 入 安 全 云 脑 ， 使 用 云 查 服 务 可 以 即 时 检 测 防 御 新 威 胁 。 最 后 ， 建 议 企 业 对 全 网 进 行 一 次 安 全 检 查 和 杀 毒 扫 描 ， 加 强 防 护 工 作 。 推 荐 使 用 深 信 服 安 全 感 知 + 防 火 墙 + E D R ， 对 内 网 进 行 感 知 、 查 杀 和 防 护 。 了 解 更 多 了 解 更 多 R y u k 勒 索 病 毒 相 关 勒 索 病 毒 相 关 警 惕 ！ 一 款 注 入 型 勒 索 病 毒 R y u k ， 拉 开 2 0 1 9 年 勒 索 病 毒 攻 击 的 序 幕 注 入 型 勒 索 病 毒 R y u k ， 伸 向 x 6 4 系 统 的 魔 爪 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理