一、安全预警 近日,出现 GandCrab 勒索病毒的最新变种版本(V5.1), 该变种通过 RDP 爆破进行传播,主要攻击数据库服务器。目 前,该病毒加密的文件无法解密恢复。 请各重点单位高度重视,加强网络安全防护,切实保障 网络系统安全稳定运行。
二、事件信息 (一)病毒描述。 GandCrabV5.1 新型病毒变种采用 RSA+AES 相结合的加密 算法,功能流程为:①黑客通过人工入侵获取主机控制权, 操纵终端设备访问病毒网址下载勒索病毒文件,并上传主机 信息;②生成 key,遍历磁盘目录和共享目录文件夹内的文件,并进行加密,后缀为随机后缀名;③将相应信息上传到 远端服务器www.kakaocorp.link。 (二)影响范围。 开启了 445 端口 SMB 网络共享协议,或开启 3389 远程 桌面端口存在弱口令漏洞的 Windows 系统(包括个人版和服 务器版),目前中毒主机主要为数据库服务器。 三、处置建议 (三)排查方案。 1.检查系统是否安装了最新系统漏洞补丁包; 2.检查系统是否开启了 445 端口的 SMB 网络共享协议; 3. 检查系 统 是否 存在 访问 www.kakaocorp.link , 204.232.192.84 情况; 4.检查系统是否磁盘存在随机后缀名的加密文件; 5.检查系统是否存在遭受 RDP 爆破日志。
三、解决方案。 1.隔离感染主机:已中毒计算机尽快隔离,关闭所有网 络连接,禁用网卡; 2.切断传播途径:关闭失陷终端的SMB445等网络共享端口,关闭异常的外联访问,同时,尽量关闭终端设备的不 必要的文件共享权限和 3389 远程桌面服务; 3.查找攻击源:手工抓包分析或借助态势感知类产品分 析,确认全网感染数量; 4.查杀病毒:可使用以下工具进行查杀(http://edr.sangfor.com.cn/tool/SfabAntiBot.zip); 5.修补漏洞:安装“永恒之蓝”漏洞补丁,请到微软官网,下载对应的漏洞补丁;(https://technet.microsoft.com/zh-cn/library/s ecurity/ms17-010.aspx) 6.设置复杂密码:重新更改设备登录密码,同时避免使 用统一的密码。
四、应处置建议 一旦发现系统中存在漏洞被利用的情况,要第一时间上 报我中心(电话:26537109),同时开展以下紧急处置: 一是立即断开被入侵的主机系统的网络连接,防止进一 步危害; 二是留存相关日志信息;漏洞后再恢复网络连接。
|