搜索

[14347] 2019-07-14_勒索病毒最新预警：从“十二生肖”到“十二主神”

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-07-14_勒索病毒最新预警：从“十二生肖”到“十二主神” 勒 索 病 毒 最 新 预 警 ： 从 “ 十 二 生 肖 ” 到 “ 十 二 主 神 ” 深 信 服   F r e e B u f   2 0 1 9 - 0 7 - 1 4 近 日 ， 深 信 服 安 全 团 队 观 察 到 近 日 ， 深 信 服 安 全 团 队 观 察 到 G l o b e l m p o s t e r 勒 索 病 毒 又 出 现 最 新 变 种 ， 加 密 后 缀 有 勒 索 病 毒 又 出 现 最 新 变 种 ， 加 密 后 缀 有 A r e s 6 6 6 、 、 Z e u s 6 6 6 、 、 A p h r o d i t e 6 6 6 、 、 A p o l l o n 6 6 6 等 ， 目 前 国 内 已 有 多 家 大 型 医 院 率 先 发 现 感 染 案 例 ！ 等 ， 目 前 国 内 已 有 多 家 大 型 医 院 率 先 发 现 感 染 案 例 ！ A r e s 是 希 腊 神 话 里 的 战 神 阿 瑞 斯 ， Z e u s 是 主 神 宙 斯 ， A p h r o d i t e 是 爱 与 美 之 女 神 阿 佛 洛 狄 忒 ， A p o l l o n 是 光 明 、 音 乐 、 预 言 与 医 药 之 神 阿 波 罗 ， 通 过 查 阅 资 料 意 外 发 现 ， 以 上 四 位 均 是 奥 林 匹 斯 十 二 主 神 ， 也 就 是 古 希 腊 宗 教 中 最 受 崇 拜 的 十 二 位 神 。 从 上 图 ， 可 以 看 到 ， 目 前 已 经 出 现 了 四 个 以 奥 林 匹 斯 十 二 主 神 名 字 + 6 6 6 的 加 密 后 缀 版 本 ， 我 们 将 此 G l o b e l m p o s t e r 勒 索 病 毒 变 种 命 名 为 G l o b e l m p o s t e r “ 十 二 主 神 ” 版 本 ， 相 信 后 续 一 定 会 不 断 出 现 以 其 他 主 神 命 名 的 新 加 密 后 缀 。
（ 注 ： 以 上 截 图 ， 来 自 百 度 百 科 ， 红 色 圈 圈 的 ， 均 为 已 出 现 的 相 应 勒 索 加 密 后 缀 版 本 。 ） 我 们 以 A r e s 6 6 6 加 密 勒 索 后 缀 为 例 ， 在   V i r u s T o t a l   上 发 现 ， 样 本 上 传 时 间 点 是   2 0 1 9   年   7   月   7   号 ， 而 在 其 它 威 胁 情 报 中 也 检 索 到 ， 都 集 中 在   2 0 1 9   年   7   月 初 ， 可 见 这 是 最 新 升 级 并 释 放 出 来 的 版 本 。 其 实 ， 在 早 前 ， 深 信 服 已 经 跟 踪 到 了   G l o b e l m p o s t e r “ 十 二 生 肖 ” 版 本 ， 也 就 是 G l o b e l m p o s t e r 3 . 0 ， 其 加 密 后 缀 以 * 4 4 4 4 为 主 要 特 征 ， 典 型 后 缀 包 括 十 二 生 肖 后 缀 D r a g o n 4 4 4 4 （ 龙 ） 、 P i g 4 4 4 4 （ 猪 ） 、 T i g e r 4 4 4 4 （ 虎 ） 、 S n a k e 4 4 4 4 （ 蛇 ） 、 R o o s t e r 4 4 4 4 （ 鸡 ） 、 R a t 4 4 4 4 、 H o r s e 4 4 4 4 （ 马 ） 、 D o g 4 4 4 4 （ 狗 ） 、 M o n k e y 4 4 4 4 （ 猴 ） 、 R a b b i t 4 4 4 4 （ 兔 ） 、 G o a t 4 4 4 4 ( 羊 ) 等 。 我 们 经 过 对 比 分 析 ， 确 认   “ 十 二 主 神 ” 版 就 是 “ 十 二 生 肖 ” 的 升 级 版 本 ， 也 就 是 说 ， G l o b e l m p o s t e r “ 十 二 主 神 ” 版 ， 是 G l o b e l m p o s t e r 3 . 0 的 更 新 版 本 ， 目 前 依 然 无 法 解 密 ， 已 有 多 家 医 院 的 多 台 服 务 中 招 ， 业 务 出 现 瘫 痪 ， 危 害 巨 大 。 其 实 ， 国 内 一 直 饱 受 G l o b e l m p o s t e r 勒 索 病 毒 的 侵 害 ， 涉 及 不 同 行 业 ， 覆 盖 行 业 有 医 疗 、 政 府 、 能 源 、 贸 易 等 。 其 中 ， 该 勒 索 病 毒 对 国 内 医 疗 行 业 危 害 最 大 。 在 受 G l o b e l m p o s t e r 感 染 的 各 个 行 业 中 ， 医 疗 行 业 占 到 4 7 . 4 % ， 接 近 一 半 ， 详 情 见 下 图 ：
医 疗 行 业 占 比 高 的 主 要 原 因 在 于 ， 该 行 业 具 有 很 大 的 业 务 紧 迫 性 ， 一 旦 被 勒 索 ， 将 导 致 业 务 中 断 ， 造 成 的 损 失 不 可 估 量 ， 受 害 者 为 了 快 速 恢 复 业 务 ， 会 选 择 给 黑 客 支 付 赎 金 ， 这 使 得 攻 击 者 更 容 易 达 到 他 的 目 的 。 此 外 ， 境 外 黑 客 势 力 并 不 会 管 这 个 行 业 的 特 殊 性 和 公 益 性 ， 较 之 以 往 更 加 变 本 加 厉 ， 给 医 疗 卫 生 行 业 带 来 了 巨 大 的 挑 战 。 2 0 1 8 年 春 节 年 后 ， 影 响 最 恶 劣 的 医 疗 安 全 事 件 ， 就 是 G l o b e l m p o s t e r 做 的 ， 从 此 ， 黑 客 也 开 始 不 断 向 医 院 下 手 ， 可 谓 毫 无 人 性 。 （   注 ： 以 上 截 图 ， 来 自 F r e e b u f 。 ） 虽 然 勒 索 病 毒 的 传 播 感 染 方 式 多 种 多 样 ， 使 用 的 技 术 也 不 断 升 级 ， 但 勒 索 病 毒 主 要 采 用 的 加 密 算 法 依 旧 是 R S A + A E S 相 结 合 的 高 强 度 加 密 算 法 ， 导 致 加 密 后 的 文 件 ， 多 数 情 况 下 是 无 法 被 解 密 ， 所 以 危 害 巨 大 。 G l o b e l m p o s t e r 勒 索 病 毒 变 种 通 过 社 会 工 程 ， R D P 爆 破 ， 恶 意 程 序 捆 绑 等 方 式 进 行 传 播 ， 加 密 受 害 主 机 文 件 ， 释 放 勒 索 信 息 进 行 勒 索 ， 深 信 服 安 全 团 队 密 切 关 注 该 勒 索 病 毒 家 族 的 发 展 动 态 ， 对 捕 获 的 变 种 样 本 进 行 了 详 细 分 析 。
一 、 详 细 分 析 一 、 详 细 分 析 此 勒 索 病 毒 为 了 保 证 正 常 运 行 ， 先 关 闭 了   W i n d o w s   d e f e n d e r   ： 接 着 ， 创 建 自 启 动 项 ， 启 动 项 命 名 为   ” W i n d o w s U p d a t e C h e c k ”   ：
通 过 执 行 c m d 命 令 删 除 磁 盘 卷 影 、 停 止 数 据 库 服 务 ： 历 卷 并 将 其 挂 载 ： 系 统 保 留 卷 被 挂 载 ： 遍 历 磁 盘 文 件 ：
排 除 以 下 文 件 及 目 录 ： 排 除 以 下 后 缀 名 的 文 件 ： 对 其 余 文 件 进 行 加 密 ， 加 密 后 缀 名 为   ” A r e s 6 6 6 ”   ： “   .   ” 、 “   . .   ” 、   w i n d o w s   、   b o o t m g r   、   p a g e f i l e . s y s   、   b o o t   、   i d s . t x t   、   N T U S E R . D A T   、   P e r f L o g s   ； “   . d l l   ” 、 “   . l n k   ” 、 “   . i n i   ” 、 “   . s y s   ”
生 成 勒 索 信 息 文 件   “   H O W   T O   B A C K   Y O U R   F I L E S . t x t   ” ： 勒 索 信 息 如 下 ： 加 密 完 成 后 ， 删 除 自 启 动 项 ： 执 行 c m d 命 令 删 除 磁 盘 卷 影 、 删 除 远 程 桌 面 连 接 信 息 、 清 除 系 统 日 志 ：
最 后 ， 病 毒 文 件 进 行 自 删 除 处 理 ： 二 、 解 决 方 案 二 、 解 决 方 案 针 对 已 经 出 现 勒 索 现 象 的 用 户 ， 由 于 暂 时 没 有 解 密 工 具 ， 建 议 尽 快 对 感 染 主 机 进 行 断 网 隔 离 。 深 信 服 提 醒 广 大 用 户 尽 快 做 好 病 毒 检 测 与 防 御 措 施 ， 防 范 该 病 毒 家 族 的 勒 索 攻 击 。 病 毒 检 测 查 杀 病 毒 检 测 查 杀 1 、 深 信 服 为 广 大 用 户 免 费 提 供 查 杀 工 具 ， 可 下 载 如 下 工 具 ， 进 行 检 测 查 杀 。 6 4 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 6 4 . 7 z 3 2 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 8 6 . 7 z 病 毒 防 御 病 毒 防 御 深 信 服 安 全 团 队 再 次 提 醒 广 大 用 户 ， 勒 索 病 毒 以 防 为 主 ， 目 前 大 部 分 勒 索 病 毒 加 密 后 的 文 件 都 无 法 解 密 ， 注 意 日 常 防 范 措 施 ： 1 、 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 。 2 、 对 重 要 的 数 据 文 件 定 期 进 行 非 本 地 备 份 。 3 、 不 要 点 击 来 源 不 明 的 邮 件 附 件 ， 不 从 不 明 网 站 下 载 软 件 。 4 、 尽 量 关 闭 不 必 要 的 文 件 共 享 权 限 。 5 、 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 。 6 、 如 果 业 务 上 无 需 使 用 R D P 的 ， 建 议 关 闭 R D P 。 最 后 ， 建 议 企 业 对 全 网 进 行 一 次 安 全 检 查 和 杀 毒 扫 描 ， 加 强 防 护 工 作 。
* 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理