一、概述
騰訊安全御見(jiàn)威脅情報(bào)中心接受到用戶求助,稱其公司內(nèi)服務(wù)器文件被全盤加密,被加密文件全部修改為.geer類型。經(jīng)遠(yuǎn)程協(xié)助查看,攻擊者疑似通過(guò)RDP弱口令登錄成功后投毒,再將系統(tǒng)日志全部清除。并嘗試在其機(jī)器上部署一系列掃描、對(duì)抗工具、密碼抓取工具達(dá)數(shù)十個(gè)之多,攻擊者利用這些工具,對(duì)內(nèi)網(wǎng)其它機(jī)器實(shí)施攻擊,以擴(kuò)大勒索病毒對(duì)該企業(yè)網(wǎng)絡(luò)的破壞數(shù)量,勒索更多不義之財(cái)。
由于該病毒使用RSA+salsa20加密文件,暫無(wú)有效的解密工具,我們提醒各政企機(jī)構(gòu)高度警惕,盡快消除危險(xiǎn)因素,強(qiáng)化內(nèi)網(wǎng)安全。
二、分析
該勒索病毒編寫極為簡(jiǎn)潔,僅使用22個(gè)函數(shù)來(lái)完成加密過(guò)程。病毒涉及到的部分敏感操作均使用NT函數(shù),希望借此躲過(guò)一些3環(huán)的調(diào)試下斷和部分軟件的Hook流程。同時(shí),該病毒加密文件并不做類型區(qū)分、地域區(qū)分、會(huì)嘗試加密全盤所有可訪問(wèn)到的文件,整個(gè)勒索加密模塊更像是為了此次攻擊,緊急編寫制作而成。
病毒使用RSA+salsa20的方式對(duì)文件進(jìn)行加密,RSA公鑰硬編碼Base64編碼后存放,全局生成的salsa20密鑰將被該公鑰加密后作為用戶ID使用,對(duì)每個(gè)文件生成salsa20密鑰后使用全局密鑰加密存放于文件末尾,被加密文件暫時(shí)無(wú)法解密。
如下圖中,文件被加密后添加geer擴(kuò)展后綴,同時(shí)留下名為READ_ME.txt勒索信,要求用戶聯(lián)系指定郵箱geerban@email.tg購(gòu)買解密工具。
查看用戶側(cè)染毒環(huán)境可知,攻擊者并不滿足于只攻陷這一條服務(wù)器,還企圖在內(nèi)網(wǎng)中攻擊其它機(jī)器。根據(jù)被加密的殘留痕跡信息可知,攻擊者在目標(biāo)機(jī)器部署了大量對(duì)抗工具,主要有進(jìn)程對(duì)抗工具(processhacker,Pchunter等),內(nèi)網(wǎng)掃描工具(NS),系統(tǒng)日志清理工具(Loggy cleaner.exe),同時(shí)還有大量的本地密碼抓取工具(包括mimikztz本地口令抓取,各類瀏覽器密碼抓取,郵箱密碼抓取,RDP,VNC登錄口令抓取等工具)。
被攻擊環(huán)境中存在大量殘留的密碼抓取工具,此時(shí)攻擊者會(huì)嘗試?yán)脪呙韫ぞ哌M(jìn)一步探測(cè)內(nèi)網(wǎng)其它開(kāi)放風(fēng)險(xiǎn)服務(wù)的機(jī)器,一旦該部分機(jī)器使用了與本機(jī)相同被竊取的弱密碼,則也會(huì)同時(shí)成為攻擊者加密目標(biāo)。
聯(lián)系攻擊者得到回復(fù),其索要0.37比特幣的解密贖金,市值約1.7萬(wàn)元人民幣。
三、安全建議
企業(yè)用戶:
1、盡量關(guān)閉不必要的端口,如:445、135,139等,對(duì)3389,5900等端口可進(jìn)行白名單配置,只允許白名單內(nèi)的IP連接登陸。
2、盡量關(guān)閉不必要的文件共享,如有需要,請(qǐng)使用ACL和強(qiáng)密碼保護(hù)來(lái)限制訪問(wèn)權(quán)限,禁用對(duì)共享文件夾的匿名訪問(wèn)。
3、采用高強(qiáng)度的密碼,避免使用弱口令密碼,并定期更換密碼。建議服務(wù)器密碼使用高強(qiáng)度且無(wú)規(guī)律密碼,并且強(qiáng)制要求每個(gè)服務(wù)器使用不同密碼管理。
4、對(duì)沒(méi)有互聯(lián)需求的服務(wù)器/工作站內(nèi)部訪問(wèn)設(shè)置相應(yīng)控制,避免可連外網(wǎng)服務(wù)器被攻擊后作為跳板進(jìn)一步攻擊其他服務(wù)器。
5、對(duì)重要文件和數(shù)據(jù)(數(shù)據(jù)庫(kù)等數(shù)據(jù))進(jìn)行定期非本地備份。
6、教育終端用戶謹(jǐn)慎下載陌生郵件附件,若非必要,應(yīng)禁止啟用Office宏代碼。
7、在終端/服務(wù)器部署專業(yè)安全防護(hù)軟件,Web服務(wù)器可考慮部署在騰訊云等具備專業(yè)安全防護(hù)能力的云服務(wù)。
8、建議全網(wǎng)安裝御點(diǎn)終端安全管理系統(tǒng)(https://s.tencent.com/product/yd/index.html)。御點(diǎn)終端安全管理系統(tǒng)具備終端殺毒統(tǒng)一管控、修復(fù)漏洞統(tǒng)一管控,以及策略管控等全方位的安全管理功能,可幫助企業(yè)管理者全面了解、管理企業(yè)內(nèi)網(wǎng)安全狀況、保護(hù)企業(yè)安全。
個(gè)人用戶:
1、啟用騰訊電腦管家,勿隨意打開(kāi)陌生郵件,關(guān)閉Office執(zhí)行宏代碼;
2、打開(kāi)電腦管家的文檔守護(hù)者功能,利用磁盤冗余空間自動(dòng)備份數(shù)據(jù)文檔,即使發(fā)生意外,數(shù)據(jù)也可有備無(wú)患。
IOCs
MD5:
b27e50375a815f59a8a8b33fd5d04367
感謝騰訊御見(jiàn)威脅情報(bào)中心來(lái)稿!
原文:https://mp.weixin.qq.com/s/PRvcgISEyjek0xh1MW50Qw
更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主
微信掃碼或搜索:z360901061

微信掃一掃加我為好友
QQ號(hào)聯(lián)系: 360901061
您的支持是博主寫作最大的動(dòng)力,如果您喜歡我的文章,感覺(jué)我的文章對(duì)您有幫助,請(qǐng)用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧,狠狠點(diǎn)擊下面給點(diǎn)支持吧,站長(zhǎng)非常感激您!手機(jī)微信長(zhǎng)按不能支付解決辦法:請(qǐng)將微信支付二維碼保存到相冊(cè),切換到微信,然后點(diǎn)擊微信右上角掃一掃功能,選擇支付二維碼完成支付。
【本文對(duì)您有幫助就好】元
