搜索

[28888] 2021-04-27_【病毒预警】Sarbloh勒索软件-注意防护

文档创建者：s7ckTeam
浏览次数：72
最后更新：2025-01-19
2021-04-27_【病毒预警】Sarbloh勒索软件-注意防护 【 病 毒 预 警 】 S a r b l o h 勒 索 软 件 - 注 意 防 护 O t s 安 全   2 0 2 1 - 0 4 - 2 7 据 报 道 ， 一 种 名 为 “   S a r b l o h ” 的 新 勒 索 软 件 正 在 通 过 特 制 的 恶 意 文 档 （ 通 过 鱼 叉 式 网 络 钓 鱼 电 子 邮 件 附 件 发 送 ） 进 行 传 播 。 M a r c o 嵌 入 了 带 有 严 重 混 淆 的 V B A 代 码 的 恶 意 文 档 ， 该 代 码 会 从 A W S   U R L 静 默 下 载 原 始 有 效 负 载 （ S a r b l o h   R a n s o m w a r e ） 。 一 旦 执 行 ， 它 将 对 受 影 响 的 系 统 上 的 文 件 （ 音 频 ， 图 像 ， 视 频 ， 数 据 库 和 其 他 文 档 文 件 ） 进 行 加 密 ， 并 使 用 “   . s a r b l o h ” 扩 展 名 重 命 名 加 密 的 文 件 ， 以 使 其 无 法 使 用 。 赎 金 记 录 （ “   R E A D M E _ S A R B L O H . t x t ” ） 指 出 ， 用 户 文 件 已 加 密 ， 只 有 在 满 足 S a r b l o h 创 造 者 的 要 求 之 前 ， 用 户 文 件 才 能 被 恢 复 。 病 毒 没 有 国 界 病 毒 没 有 国 界 - 企 业 企 业 - 个 人 个 人 - 不 做 安 全 防 护 不 做 安 全 防 护 - 将 面 临 巨 大 的 风 险 将 面 临 巨 大 的 风 险 Q u i c k   H e a l   S e c u r i t y   L a b s 遇 到 了 一 个 名 为 “   S A R B L O H   R A N S O M W A R E ” 的 勒 索 软 件 ， 该 软 件 声 称 支 持 该 国 正 在 进 行 的 农 民 抗 议 活 动 。 在 此 攻 击 中 ， 传 播 了 恶 意 文 档 ， 该 恶 意 文 档 从 以 下 U R L 下 载 勒 索 软 件 – 下 载 的 勒 索 软 件 使 用 扩 展 名 . s a r b l o h 加 密 系 统 上 的 文 件 ， 并 显 示 勒 索 记 录 。 这 是 一 种 不 寻 常 的 情 况 ， 攻 击 者 不 要 求 任 何 金 钱 赎 金 ， 而 是 要 求 农 民 伸 张 正 义 。 文 件 分 析 文 件 分 析 O f f i c e 文 档 附 件 包 含 一 个 宏 ， 该 宏 带 有 严 重 混 淆 的 V B A 代 码 。 该 代 码 负 责 在 攻 击 链 中 传 递 有 效 负 载 。 h x x p s ： / / s 3 . a p - s o u t h - 1 . a m a z o n a w s . c o m / a n s   [ 。 ]   v i d e o . i n p u t   /   t r a n s c o d e _ i n p u t   /   p r o f i l e 1 6 1 4 6 8 1 5 7 7 8 0 0 5 v w 0 q b . p n g h x x p ： / / s 3 . a p - s o u t h - 1 . a m a z o n a w s . c o m / a n s   [ 。 ]   v i d e o . i n p u t   /   t r a n s c o d e _ i n p u t   /   p r o f i l e 1 6 1 4 6 8 1 5 7 7 8 0 0 5 v w 0 q b . p n g
图 2 ： 恶 意 文 件 图 3 ： 恶 意 V B A 宏 调 试 宏 后 ， 我 们 可 以 看 到 对 分 配 给 变 量 的 b i t s a d m i n 进 行 了 调 用 ， 该 变 量 包 含 下 载 文 件 的 链 接 以 及 文 件 的 下 载 位 置 。 文 件 加 密 文 件 加 密 该 勒 索 软 件 使 用 R S A   +   A E S 加 密 的 组 合 。 这 些 文 件 通 过 A E S - 1 2 8   C B C 模 式 使 用 每 个 文 件 唯 一 的 随 机 生 成 的 密 钥 进 行 加 密 。 然 后 ， A E S 密 钥 由 R S A 加 密 。 让 我 们 详 细 研 究 一 下 。 R S A 公 钥 以 b a s e - 6 4 格 式 存 储 在 . r d a t a 节 中 。 在 C S P “   M i c r o s o f t 增 强 密 码 提 供 程 序 v 1 . 0 ” 中 ， 对 A P I “   C r y p t A c q u i r e c o n t e x t   ” 进 行 了 调 用 ， 以 获 取 当 前 用 户 的 句 柄 。 两 次 调 用 此 A P I ， 以 分 别 获 取 R S A 和 A E S 的 句 柄 。 图 4 . B a s e   6 4 编 码 的 R S A 公 钥
最 佳 做 法 和 补 救 措 施 ： 最 佳 做 法 和 补 救 措 施 ： 建 议 用 户 和 管 理 员 采 取 以 下 预 防 措 施 ， 以 保 护 其 计 算 机 网 络 免 受 勒 索 软 件 感 染 / 攻 击 ： 在 所 有 系 统 上 维 护 更 新 的 防 病 毒 软 件 使 用 最 新 的 补 丁 程 序 使 操 作 系 统 第 三 方 应 用 程 序 （ M S   O f f i c e ， 浏 览 器 ， 浏 览 器 插 件 ） 保 持 最 新 。 不 要 打 开 不 请 自 来 的 电 子 邮 件 中 的 附 件 ， 即 使 它 们 来 自 您 的 联 系 人 列 表 中 的 人 ， 也 不 要 单 击 不 请 自 来 的 电 子 邮 件 中 包 含 的 U R L ， 即 使 该 链 接 看 起 来 是 良 性 的 。 如 果 是 真 正 的 U R L ， 请 关 闭 电 子 邮 件 并 直 接 通 过 浏 览 器 访 问 组 织 的 网 站 如 果 收 到 来 自 不 受 信 任 来 源 的 文 档 提 示 ， 请 不 要 启 用 宏 。 浏 览 网 络 时 ， 请 遵 循 安 全 做 法 。 确 保 使 用 适 当 的 内 容 控 件 对 W e b 浏 览 器 进 行 足 够 的 安 全 保 护 。 对 所 有 关 键 信 息 进 行 定 期 备 份 ， 以 限 制 数 据 或 系 统 丢 失 的 影 响 ， 并 有 助 于 加 快 恢 复 过 程 。 理 想 情 况 下 ， 此 数 据 应 保 存 在 单 独 的 设 备 上 ， 备 份 应 脱 机 存 储 。 定 期 检 查 数 据 库 中 存 储 的 信 息 的 完 整 性 。 定 期 检 查 数 据 库 备 份 文 件 的 内 容 ， 以 查 找 未 经 授 权 的 数 据 记 录 或 外 部 元 素 的 加 密 内 容 （ 后 门 / 恶 意 脚 本 ） 。 如 果 不 需 要 ， 请 考 虑 禁 用 P o w e r S h e l l   /   W i n d o w s 脚 本 托 管 。 限 制 用 户 的 能 力 （ 权 限 ） ， 以 安 装 和 运 行 不 需 要 的 软 件 应 用 程 序 。 在 工 作 站 上 启 用 个 人 防 火 墙 。 启 用 W i n d o w s   D e f e n d e r   A p p l i c a t i o n   G u a r d ， 并 将 受 信 任 的 站 点 指 定 为 白 名 单 ， 以 便 其 余 所 有 站 点 将 在 容 器 中 打 开 ， 以 阻 止 访 问 内 存 ， 本 地 存 储 ， 其 他 已 安 装 的 应 用 程 序 或 攻 击 者 感 兴 趣 的 任 何 其 他 资 源 。 启 用 包 括 几 个 客 户 端 缓 解 步 骤 的 漏 洞 利 用 保 护 [ E M E T 的 继 任 者 ] 。 可 以 在 h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s / s e c u r i t y / t h r e a t - p r o t e c t i o n / m i c r o s o f t - d e f e n d e r - a t p / e n a b l e - e x p l o i t - p r o t e c t i o n 中 查 看 详 细 的 配 置 步 骤 。 启 用 减 少 攻 击 面 的 规 则 ， 包 括 阻 止 凭 证 盗 窃 ， 勒 索 软 件 活 动 以 及 可 疑 使 用 P s E x e c 和 W M I 的 规 则 。 实 施 严 格 的 外 接 设 备 （ U S B 驱 动 器 ） 使 用 策 略 。 采 用 静 态 数 据 和 传 输 中 数 据 加 密 。 考 虑 安 装 增 强 型 缓 解 体 验 工 具 包 或 类 似 的 主 机 级 反 剥 削 工 具 。 阻 止 文 件 类 型 的 附 件 ， 例 如 e x e   |   p i f   |   t m p   |   u r l   |   v b   |   v b e   |   s c r   |   r e g   |   c e r   |   p s t   |   c m d   |   c o m   |   b a t   |   d l l   |   d a t   |   h l p   |   h t a   |   j s   |   w s f 对 关 键 网 络 / 系 统 （ 尤 其 是 来 自 C E R T - I N 强 化 审 核 员 的 数 据 库 服 务 器 ） 执 行 漏 洞 评 估 和 渗 透 测 试 （ V A P T ） 以 及 信 息 安 全 审 核 。 定 期 重 复 审 核 。 不 鼓 励 个 人 或 组 织 支 付 赎 金 ， 因 为 这 不 能 保 证 文 件 会 被 释 放 。 向 C E R T - I n 和 执 法 机 构 报 告 此 类 欺 诈 事 件 有 关 防 止 勒 索 软 件 攻 击 的 其 他 最 佳 做 法 ， 请 参 考 以 下 建 议 h t t p s : / / w w w . c s k . g o v . i n / a l e r t s / r a n s o m w a r e . h t m l 参 考 ： 参 考 ： h t t p s : / / b l o g s . q u i c k h e a l . c o m / a c t i v i s t s - t u r n - h a c k t i v i s t s - n e w - r a n s o m w a r e - t h a t - d o e s - n o t - d e m a n d - m o n e y / h t t p s : / / w w w . c s k . g o v . i n / a l e r t s / r a n s o m w a r e . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理