【转载】Globelmposter勒索病毒最新变种预警
近日,深信服安全团队观察到Globelmposter勒索病毒又出现最新变种,加密后缀有Ares666、Zeus666、Aphrodite666、Apollon666等,目前国内已有多家大型医院率先发现感染案例!
Ares是希腊神话里的战神阿瑞斯,Zeus是主神宙斯,Aphrodite是爱与美之女神阿佛洛狄忒,Apollon是光明、音乐、预言与医药之神阿波罗,通过查阅资料意外发现,以上四位均是奥林匹斯十二主神,也就是古希腊宗教中最受崇拜的十二位神。从上图,可以看到,目前已经出现了四个以奥林匹斯十二主神名字+666的加密后缀版本,我们将此Globelmposter勒索病毒变种命名为Globelmposter“十二主神”版本,相信后续一定会不断出现以其他主神命名的新加密后缀。
(注:以上截图,来自百度百科,红色圈圈的,均为已出现的相应勒索加密后缀版本。)
我们以Ares666加密勒索后缀为例,在VirusTotal上发现,样本上传时间点是2019年7月7号,而在其它威胁情报中也检索到,都集中在2019年7月初,可见这是最新升级并释放出来的版本。
其实,在早前,深信服已经跟踪到了Globelmposter“十二生肖”版本,也就是Globelmposter3.0,其加密后缀以*4444为主要特征,典型后缀包括十二生肖后缀Dragon4444(龙)、Pig4444(猪)、Tiger4444(虎)、Snake4444(蛇)、Rooster4444(鸡)、Rat4444、Horse4444(马)、Dog4444(狗)、Monkey4444(猴)、Rabbit4444(兔)、Goat4444(羊)等。
我们经过对比分析,确认“十二主神”版就是“十二生肖”的升级版本,也就是说,Globelmposter“十二主神”版,是Globelmposter3.0的更新版本,目前依然无法解密,已有多家医院的多台服务中招,业务出现瘫痪,危害巨大。
其实,国内一直饱受Globelmposter勒索病毒的侵害,涉及不同行业,覆盖行业有医疗、政府、能源、贸易等。其中,该勒索病毒对国内医疗行业危害最大。在受Globelmposter感染的各个行业中,医疗行业占到47.4%,接近一半,详情见下图:
医疗行业占比高的主要原因在于,该行业具有很大的业务紧迫性,一旦被勒索,将导致业务中断,造成的损失不可估量,受害者为了快速恢复业务,会选择给黑客支付赎金,这使得攻击者更容易达到他的目的。此外,境外黑客势力并不会管这个行业的特殊性和公益性,较之以往更加变本加厉,给医疗卫生行业带来了巨大的挑战。
2018年春节年后,影响最恶劣的医疗安全事件,就是Globelmposter做的,从此,黑客也开始不断向医院下手,可谓毫无人性。
(注:以上截图,来自Freebuf。)
虽然勒索病毒的传播感染方式多种多样,使用的技术也不断升级,但勒索病毒主要采用的加密算法依旧是RSA+AES相结合的高强度加密算法,导致加密后的文件,多数情况下是无法被解密,所以危害巨大。
Globelmposter勒索病毒变种通过社会工程,RDP爆破,恶意程序捆绑等方式进行传播,加密受害主机文件,释放勒索信息进行勒索,深信服安全团队密切关注该勒索病毒家族的发展动态,对捕获的变种样本进行了详细分析。
一、详细分析
此勒索病毒为了保证正常运行,先关闭了Windows 。
defender:
接着,创建自启动项,启动项命名为”WindowsUpdateCheck”:
通过执行cmd命令删除磁盘卷影、停止数据库服务:
历卷并将其挂载:
系统保留卷被挂载:
遍历磁盘文件:
排除以下文件及目录:
“.”、“..”、windows、bootmgr、pagefile.sys、boot、ids.txt、NTUSER.DAT、PerfLogs;
排除以下后缀名的文件:
“.dll”、“.lnk”、“.ini”、“.sys”。
对其余文件进行加密,加密后缀名为”Ares666”:
生成勒索信息文件“HOW TO BACK YOUR FILES.txt”:
勒索信息如下:
加密完成后,删除自启动项:
执行cmd命令删除磁盘卷影、删除远程桌面连接信息、清除系统日志:
最后,病毒文件进行自删除处理:
二、解决方案
针对已经出现勒索现象的用户,由于暂时没有解密工具,建议尽快对感染主机进行断网隔离。深信服提醒广大用户尽快做好病毒检测与防御措施,防范该病毒家族的勒索攻击。
病毒检测查杀
1、深信服为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀。
64位系统下载链接:
http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z
32位系统下载链接:
http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z
2、深信服EDR产品及防火墙等安全产品均具备病毒检测能力,部署相关产品用户可进行病毒检测。
病毒防御
深信服安全团队再次提醒广大用户,勒索病毒以防为主,目前大部分勒索病毒加密后的文件都无法解密,注意日常防范措施:
1、及时给电脑打补丁,修复漏洞。
2、对重要的数据文件定期进行非本地备份。
3、不要点击来源不明的邮件附件,不从不明网站下载软件。
4、尽量关闭不必要的文件共享权限。
5、更改账户密码,设置强密码,避免使用统一的密码,因为统一的密码会导致一台被攻破,多台遭殃。
6、如果业务上无需使用RDP的,建议关闭RDP。当出现此类事件时,推荐使用深信服防火墙,或者终端检测响应平台(EDR)的微隔离功能对3389等端口进行封堵,防止扩散!
7、深信服防火墙、终端检测响应平台(EDR)均有防爆破功能,防火墙开启此功能并启用11080051、11080027、11080016规则,EDR开启防爆破功能可进行防御。
8、深信服防火墙客户,建议升级到AF805版本,并开启人工智能引擎Save,以达到最好的防御效果。
9、使用深信服安全产品,接入安全云脑,使用云查服务可以即时检测防御新威胁。
最后,建议企业对全网进行一次安全检查和杀毒扫描,加强防护工作。推荐使用深信服安全感知+防火墙+EDR,对内网进行感知、查杀和防护。
转载于:https://www.cnblogs.com/kapecel/p/11236513.html
【转载】Globelmposter勒索病毒最新变种预警相关推荐
- Globelmposter勒索病毒最新“十二主神”预警
近日,深信服安全团队观察到Globelmposter勒索病毒又出现最新变种,加密后缀有Ares666.Zeus666.Aphrodite666.Apollon666等,目前国内已有多家大型医院率先发现 ...
- 【转载】撒旦(Satan 4.2)勒索病毒最新变种加解密分析
[转载]原文来自:https://bbs.kafan.cn/thread-2135007-1-1.html 一.概述 近日,腾讯御见威胁情报中心检测到一大批的服务器被入侵,入侵后被植入勒索病毒.经过分 ...
- Mallox勒索病毒最新变种.malox勒索病毒来袭,如何恢复受感染的数据?
Mallox勒索病毒是一种针对计算机系统的恶意软件,能够加密受感染计算机上的文件.最近,新的Mallox病毒变种.malox勒索病毒被发现并引起了关注,.malox勒索病毒这个后缀已经是Mallox勒 ...
- 2018最新出现的勒索病毒及变种统计丨阿里云河南
目录 0x01 Relec勒索病毒 0x02 DeadRansomware勒索病毒 0x03 Saturn勒索病毒 0x04 BananaCrypt勒索病毒 0x05 Shifr勒索病毒变种Crypt ...
- 勒索病毒发生变种 新文件名将带有“.UIWIX”后缀
5月18日,据国外媒体报道,本周三国家计算机病毒应急处理中心(CVERC)和软件公司亚信科技联合监测发现了与WannaCry勒索病毒类似的UIWIX病毒. uiwix病毒 CVERC常务副主任陈建民表 ...
- GlobeImposter勒索病毒新变种C4H东山再起
0x0 背景介绍 随着疫情的缓解,各地企业纷纷复工,而勒索病毒家族也并没有停下他们的脚步.近期深信服安全团队就收到多个地区关于用户主机遭受大面积.C4H勒索病毒入侵的求助,经过安全团队排查分析,确认为 ...
- 勒索病毒 最新消息整理
1.黑客公开勒索病毒代码 (2019-1-29) 1月29日瑞星拦截一款病毒样本 作者"GoRansom". 病毒采用Go语言开发,使用非对称算法加密文件,病毒运行后会加密指定文件 ...
- 勒索病毒-特洛伊木马变种
一.病毒简介 文件名称: 457d9e4773f45954449ee5913d068fdbb3d8e5689019688e7bce901467e5473a 文件类型(Magic): PE32 exe ...
- 勒索预警,近期一大波新型勒索病毒来袭
点击蓝字关注我们 目前勒索病毒仍然是全球最大的威胁,最近一年针对企业的勒索病毒攻击越来越多,大部分勒索病毒是无法解密的,一定要保持高度的重视,近期又有一大波新型勒索病毒来袭...... HildaCr ...
最新文章
- AWS论剑Azure:安全组之争
- boost之timer,progress_timer,progress_display的介绍及使用
- 用WebService实现调用新浪的天气预报功能
- 《UNIX网络编程卷1》第一例及问题
- pandas 画折线图_如何从Pandas数据帧绘制多个折线图
- mac bochs 调试linux,Mac OS X下编译安装带debugger的bochs
- 06-10 Jenkins 配置 allure 报告
- excel 单元格名称 java_Java 创建、编辑、删除Excel命名区域
- LeetCode(232)——用栈实现队列(JavaScript)
- php模拟登录京东,京东jos 获取授权及php-sdk的使用示例
- 拓端tecdat|R语言分解商业周期时间序列数据:线性滤波器、HP滤波器、Baxter King滤波器、Beveridge Nelson分解等去趋势方法
- html简介百度百科,outerHTML
- docker介绍与应用
- [附源码]Java计算机毕业设计SSM房屋租赁管理系统设计
- zyf的现状 (BFS+优先队列)
- 矢量数据向栅格数据的转换算法
- 谁为「滑板底盘」买单
- JS组件系列——Bootstrap组件福利篇:几款好用的组件推荐(二)
- nutz dao 操作
- L1-3 打折 (5 分)——2018
热门文章
- Java 38---Hibernate框架(1)
- 禁止Ubuntu快捷键(二)
- Java基础知识——Java语言基础
- 程序功能:创建打印机类Printer,定义抽象方法Print()。 创建针式打印机类DotMatrixtPrinter和墨式打印机InkpetPrinter两个子类,修改测试类,实现该打印机打印。
- python语言是什么语言-python是一门什么样的语言?
- 配流01—DIAL算法(经典)
- 创业赢利模式之一 鱼模式
- 京东夺宝岛抢拍插件(转)
- 六自由度机械臂正向运动学与姿态绘制with matlab
- KSDK2.0 + Pins Tool 体验