搜索

[14648] 2019-09-30_数千台Linux主机被勒索，该如何打好防御战？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-09-30_数千台Linux主机被勒索，该如何打好防御战？ 数 千 台 L i n u x 主 机 被 勒 索 ， 该 如 何 打 好 防 御 战 ？ 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 9 - 3 0 近 日 ， 国 外 安 全 媒 体 先 后 报 道 了 一 款 名 为 近 日 ， 国 外 安 全 媒 体 先 后 报 道 了 一 款 名 为 L i l o c k e d 的 的 L i n u x 勒 索 病 毒 ， 该 勒 索 病 毒 目 前 为 止 已 感 染 了 勒 索 病 毒 ， 该 勒 索 病 毒 目 前 为 止 已 感 染 了 6 0 0 0 + 台 台 L i n u x 主 机 ， 加 密 后 缀 为 主 机 ， 加 密 后 缀 为 . l i l o c k e d 。 俄 国 的 安 全 研 究 员 认 为 ， 。 俄 国 的 安 全 研 究 员 认 为 ， L i l o c k e d 很 有 可 能 是 通 过 很 有 可 能 是 通 过 E x i m 邮 件 转 发 软 件 的 最 邮 件 转 发 软 件 的 最 新 远 程 执 行 漏 洞 新 远 程 执 行 漏 洞 C V E - 2 0 1 9 - 1 5 8 4 6 进 行 传 播 的 。 进 行 传 播 的 。 其 实 ， 这 个 勒 索 病 毒 从 今 年 7 月 中 旬 就 已 经 出 现 了 ， 只 不 过 当 时 “ 表 现 平 平 ” ， 并 没 有 引 起 大 众 的 关 注 ， 但 是 在 近 期 感 染 量 突 增 ， 有 爆 发 感 染 的 趋 势 。 使 用 G o o g l e 搜 索 " # R E A D M E . l i l o c k e d " 关 键 字 ， 可 以 关 联 到 约 6 3 4 0 个 结 果 ， 也 就 是 说 ， 公 网 上 已 知 的 L i n u x 主 机 ， 有 近 6 3 4 0 个 主 机 被 该 病 毒 勒 索 了 ， 然 而 事 实 上 被 勒 索 的 L i n u x 主 机 肯 定 远 超 这 个 数 字 ， 因 为 还 有 很 多 些 未 联 网 或 未 被 搜 索 引
擎 关 联 到 的 主 机 。 使 用 z o o m e y e 侦 测 这 些 主 机 的 端 口 ， 发 现 大 部 分 都 开 启 邮 件 的 服 务 ， 以 此 推 断 俄 罗 斯 研 究 员 关 于 E x i m 漏 洞 的 说 法 还 是 有 依 据 的 。
勒 索 T o r 地 址 为 ： y 7 m f r r j k z q l 3 2 n w c m g z w p 3 z x a q k t q y w r w v z f n i 4 h m 4 s e b t p w 5 k u h j z q d . o n i o n ， 跟 S o d i n o k i b i 相 似 ， 需 要 输 入 k e y 才 能 跳 转 到 相 应 的 勒 索 联 系 界 面 ， 黑 客 提 示 想 要 解 密 文 件 ， 必 须 发 送 0 . 0 3 个 B T C 到 钱 包 地 址 1 K x v q P W M V p C z j x 7 T e v B Y 3 X b M e F N j 8 5 K e e f 。 那 么 ， L i n u x 下 的 勒 索 病 毒 跟 W i n d o w s 平 台 的 勒 索 病 毒 有 什 么 不 同 ？ 该 如 何 进 行 防 御 呢 ？ 其 实 ， 无 论 在 什 么 平 台 ， 勒 索 病 毒 的 工 作 原 理 都 是 相 似 的 ： 杀 软 检 测   - >   特 定 语 言 国 家 免 疫   - >   生 成 加 密 密 钥   - >   遍 历 除 系 统 文 件 路 径 以 外 的 目 录   - >   加 密 特 定 后 缀 的 文 件   - >   删 除 备 份 文 件   - >   退 出 。 但 L i n u x 勒 索 病 毒 一 般 会 比 W i n d o w s 勒 索 病 毒 多 一 个 步 骤 ， 就 是 在 开 始 前 会 利 用 漏 洞 进 行 提 权 ， 包 括 这 次 的 L i l o c k e d 勒 索 病 毒 ， 也 使 用 了 未 公 开 的 漏 洞 将 自 身 提 升 为 r o o t 权 限 后 再 进 行 加 密 操 作 。 下 面 就 使 用 开 源 的 L i n u x 勒 索 病 毒 G o n n a C r y 演 示 下 ， 有 无 r o o t 权 限 情 况 下 的 运 行 情 况 。 G o n n a C r y 的 功 能 比 较 简 单 ， 使 用 A E S 算 法 加 密 文 件 内 容 ， 然 后 修 改 主 机 桌 面 。
在 普 通 用 户 权 限 下 ， G o n n a C r y 几 乎 无 法 完 成 加 密 操 作 ， 只 能 加 密 几 个 临 时 文 件 。 而 当 以 r o o t 权 限 运 行 时 ， G o n n a C r y 成 功 加 密 ， 主 目 录 下 的 d o c 文 件 都 被 加 密 成 了 G N N C R Y 后 缀 的 文 件 。 可 见 ， L i n u x 勒 索 病 毒 在 有 无 r o o t 权 限 下 运 行 ， 结 果 是 截 然 不 同 的 。
由 于 L i n u x 操 作 系 统 的 权 限 管 控 是 很 严 格 的 ， 除 非 是 在 同 一 个 用 户 组 里 的 用 户 ， 不 然 是 无 法 操 作 其 他 用 户 的 文 件 的 ， 比 如 ： 若 一 个 勒 索 病 毒 是 通 过 r e d i s 漏 洞 进 来 的 ， 那 么 它 的 所 拥 有 者 就 是 r e d i s 账 号 （ 假 设 使 用 r e d i s 用 户 启 动 的 应 用 ） ， 它 将 无 法 读 写 r o o t 、 u s e r 1 、 u s e r 2 等 其 他 用 户 的 文 件 ， 这 就 是 为 什 么 L i n u x 恶 意 软 件 都 想 方 设 法 进 行 提 权 的 原 因 。 M S F 上 面 有 许 多 L i n u x 提 权 漏 洞 的 E X P ， 勒 索 病 毒 只 需 集 成 相 关 的 核 心 代 码 即 可 实 现 提 权 ， 提 升 到 r o o t 权 限 之 后 ， 就 能 够 读 写 操 作 任 意 文 件 了 。 当 然 ， 若 你 的 r o o t 密 码 是 弱 密 码 ， 勒 索 病 毒 也 不 用 通 过 漏 洞 提 权 那 么 麻 烦 了 ， 直 接 爆 破 密 码 以 r o o t 权 限 运 行 。 其 实 对 于 上 述 情 况 ， L i n u x 系 统 还 是 做 出 了 相 应 的 对 策 的 ， 那 就 是 S E L i n u x 和 A p p A r m o r 。 这 两 者 的 主 要 作 用 就 是 采 用 M A C 的 策 略 ， 最 大 限 度 地 减 小 系 统 中 服 务 进 程 可 访 问 的 资 源 （ 最 小 权 限 原 则 ） ， 即 使 是 r o o t 用 户 也 无 法 随 意 操 作 文 件 。 网 上 也 有 相 关 的 使 用 教 程 ， 若 规 则 编 写 得 当 的 话 ， 用 来 防 御 勒 索 行 为 还 是 挺 有 效 的 。
最 后 ， 总 结 一 下 L i n u x 平 台 下 防 御 勒 索 病 毒 的 几 点 使 用 建 议 ： 1 .   尽 量 不 要 使 用 r o o t 权 限 运 行 W e b 应 用 程 序 。 2 .   及 时 打 上 重 要 的 补 丁 ， 防 止 应 用 程 序 被 漏 洞 利 用 入 侵 。 3 .   r o o t 账 号 增 强 密 码 复 杂 性 ， 避 免 被 爆 破 。 4 .   开 启 S E L i n u x 、 A p p A r m o r 等 功 能 保 护 重 要 文 件 。 5 .   部 署 终 端 安 全 软 件 进 行 防 护 。 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理