您好,歡迎進(jìn)入銳速云官網(wǎng)!
售后熱線:4006-5050-10 QQ客服:2852917158 登錄 注冊(cè)
彈性內(nèi)容分發(fā)服務(wù)加快向終端分發(fā)內(nèi)容
防護(hù)服務(wù)可管理,降低潛在DDoS攻擊風(fēng)險(xiǎn)
專(zhuān)業(yè)穩(wěn)定一站式解決web應(yīng)用核心安全痛點(diǎn)
保護(hù)邊緣應(yīng)用安全,提升安全加速體驗(yàn)
保護(hù)邊緣應(yīng)用安全,提升安全加速體驗(yàn)
云原生的云上邊界網(wǎng)絡(luò)安全防護(hù)產(chǎn)品
應(yīng)用一鍵支持 IPv6,2 分鐘合規(guī)
為用戶提供的全方位安全技術(shù)和咨詢服務(wù)
模擬黑客對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行全面深入的安全測(cè)試
提供標(biāo)準(zhǔn)化可控的應(yīng)急響應(yīng)服務(wù),還原攻擊路徑并為客戶止損
代碼數(shù)據(jù)庫(kù)訪問(wèn)行為審計(jì)、風(fēng)險(xiǎn)操作記錄和告警
準(zhǔn)確可靠、全場(chǎng)景覆蓋的欺詐檢測(cè)服務(wù)
一站式等保咨詢測(cè)評(píng)服務(wù)
安全運(yùn)營(yíng)中心統(tǒng)一遠(yuǎn)程進(jìn)行全天候監(jiān)測(cè)和管理的托管式安全服務(wù)
SSL證書(shū)提供一站式 HTTPS 解決方案
通過(guò)技術(shù)手段防止敏感數(shù)據(jù)意外或惡意泄露的安全措施
對(duì)密碼策略、技術(shù)和管理進(jìn)行現(xiàn)代化升級(jí),以提高安全性和用戶體驗(yàn)
提供7×24小時(shí)準(zhǔn)確、全面的漏洞監(jiān)測(cè)服務(wù)
專(zhuān)注實(shí)戰(zhàn)化安全的下一代防火墻
云上統(tǒng)一、高效、安全的運(yùn)維通道
網(wǎng)絡(luò)威脅檢測(cè)、雙向阻斷,多源情報(bào)賦能
數(shù)據(jù)庫(kù)訪問(wèn)行為審計(jì)、風(fēng)險(xiǎn)操作記錄和告警
應(yīng)用程序產(chǎn)生的日志文件進(jìn)行收集、分析、存儲(chǔ)和報(bào)告的過(guò)程
能實(shí)時(shí)檢測(cè)、報(bào)警和動(dòng)態(tài)響應(yīng)
滿足加密合規(guī)需求,保護(hù)云上數(shù)據(jù)安全
一鍵完成國(guó)密改造,2分鐘合規(guī)
事件概述
10月24日,歐洲地區(qū)爆發(fā)新型勒索病毒Bad Rabbit(壞兔子),感染范圍包含俄羅斯、烏克蘭、德國(guó)等多個(gè)東歐國(guó)家。Bad Rabbit(壞兔子)通過(guò)“水坑站點(diǎn)”進(jìn)行傳播,主要通過(guò)偽裝成Adobe Flash的安裝程序,誘使用戶安裝,從而感染用戶主機(jī)。
病毒傳播過(guò)程
Bad Rabbit(壞兔子)勒索病毒與5月份和6月份爆發(fā)的WannaCry和NotPetya攻擊方式類(lèi)似。比如,使用弱口令嘗試登陸共享服務(wù),通過(guò)內(nèi)網(wǎng)共享和弱密碼在局域網(wǎng)中擴(kuò)散,最后加密系統(tǒng)文件,關(guān)機(jī)重啟后提示通過(guò)支付比特幣解密。
但是Bad Rabbit(壞兔子)勒索病毒并沒(méi)有利用之前的微軟操作系統(tǒng)“永恒之藍(lán)”的漏洞,而主要通過(guò)水坑站點(diǎn)進(jìn)行傳播。
據(jù)分析,Bad Rabbit(壞兔子)勒索病毒目前針對(duì)的俄羅斯和其它東歐國(guó)家,主要通過(guò)在已被黑站點(diǎn)展示虛假的Adobe Flash更新通知。當(dāng)用戶點(diǎn)擊這些通知消息時(shí),它就會(huì)下載一個(gè)名為install_flash_player.exe的文件。一旦虛假的安裝包被點(diǎn)擊,其會(huì)生成infpub.dat和dispci.exe兩個(gè)加密文件,這兩個(gè)文件用于加密磁盤(pán)文件。“壞兔子”通過(guò)以上三步驟來(lái)完成其勒索流程,感染勒索界面如下圖所示:
一旦上述步驟完成,Bad Rabbit(壞兔子)勒索病毒將利用本機(jī)口令和弱口令在局域網(wǎng)中進(jìn)行傳播,感染其他主機(jī),對(duì)企業(yè)用戶危害極大。
目前已知的被加密文件后綴名有:
.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf .cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp .hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm .odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1 .pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs .vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip
加密文件后會(huì)在系統(tǒng)根目錄下留一個(gè)Readme.txt的文件,里面就是勒索病毒提示支付贖金的信息。
解決方案
1、關(guān)閉WMI服務(wù),避免惡意軟件通過(guò)網(wǎng)絡(luò)傳播;
2、關(guān)閉Windows主機(jī)135/139/445等共享服務(wù)端口,禁用方法參考:
https://jingyan.baidu.com/article/d621e8da0abd192865913f1f.html
3、局域網(wǎng)共享PC使用復(fù)雜密碼;
4、及時(shí)更新殺毒軟件病毒庫(kù),以便能檢測(cè)到該勒索病毒;
5、可使用僵尸網(wǎng)絡(luò)查殺工具SfabAntiBot 進(jìn)行查殺(請(qǐng)保持聯(lián)網(wǎng)并及時(shí)更新到最新版本)
僵尸網(wǎng)絡(luò)查殺工具的更新下載地址參考:http://edr.sangfor.com.cn/tool/SfabAntiBot.zip
目前該病毒樣本已公開(kāi),且在國(guó)內(nèi)并無(wú)大規(guī)模傳播,銳速云將持續(xù)跟蹤此病毒及其變種,保障用戶網(wǎng)絡(luò)安全。
粵公網(wǎng)安備 44030902000612號(hào)
