勒索病毒一再进犯 看尊龙凯时的整体解决计划
宣布时间 2019-03-15
克日，Globelmposter以及GandCrab勒索病毒变种再度肆虐互联网，给海内许多企业机构带来重大损失。下面我们就这两起主要的勒索病毒攻击事务举行剖析汇总，同时基于相关事务推出尊龙凯时勒索病毒整体解决计划，并提醒宽大企业机构亲近注重和提防。
事务一：
Globelmposter3.0变种再度袭击海内多个医疗机构
继去年下半年在海内医疗机构爆发Globelmposter勒索病毒以来，今年3月，该勒索病毒3.0版本变种再次袭击海内多家大型医院。熏染后，数据库被加密破损，文件被加密并重命名为.snake4444扩展名，并要求用户通过邮件相同赎金跟解密密钥。该病毒主要通过RDP弱口令爆破入侵服务器，继而使用已经攻陷的装备做跳板攻击内网内其他主机。
样天职析：
（1）样本在执行最先时会对PE文件的完整性举行验证，若是都通过则进入主体流程。
（2）程序进入主流程之后会从自身资源区直接获取一段加密的shellcode并赋值到开发好的内存块中。
这段shellcode的前8字节与另一段16字节的key一起作为shellcode的解密KEY对shellcode每8个字节举行一次解密。
解密算法如下：
（3）然后程序会挪用VirtualProctet对存放这段shellcode的内存区域付与可执行权限，并跳转到该shellcode举行执行。这段shellcode会去寻找shellcode中内嵌的一个PE文件的位置，并申请一段内存将其拷贝到申请到的内存空间中，然后将其PE头和后续数据举行解密并覆写到最最先的执行PE文件的PE头和.text区段，然后动态获取所需要的函数地点并重写导入表，最后直接跳转到修改好的代码区域执行最终的勒索软件主体。
（4）勒索软件主体程序会判断是否保存情形变量%appdata%,若是保存则将自身拷贝到该路径下，若是不保存直接竣事历程。然后紧接着建设注册表项
Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\BrowserUpdateCheck 并将存放在%appdata%的勒索软件主体的路径作为其值，来实现开机自启动。
（5）接着判断是否保存情形变量%public%和%ALLUSERSPROFILE%，若是都不保存则直接竣事历程。这个判断的主要目的是为了存放受害者主机天生的密钥和唯一标识码。
（6）之后最先遍历历程，并使用taskkill下令竣事掉历程名中含有如下字符串的历程。
（7）历程遍历竣事之后，遍历所有盘符，查找磁盘属性为移动磁盘、牢靠磁盘，网络磁盘对应的盘符，然后找到几多个磁盘就建设几多个对应的线程加密对应磁盘内的数据。
（8）在遍历文件时会判断文件是否属于扫除路径，若是不是才会被加密。
（9）文件的加密密钥是由目今被加密的文件所决议，程序会获取需要被加密的文件的文件路径，巨细，用户ID来盘算对应的AES密钥，然后文件将会使用该密钥加密，同时该密钥会被硬编码的RSA公钥加密生涯在文件中，被加密的文件会被附上新的后缀名（依勒索病毒版本转变），并且每个加密文件夹内会天生一个Read__Me.html来指导受害者怎样支付赎金。
（10）最后会执行批处置惩罚删除卷影副本和远程桌面相关设置。
事务二：
黑客冒没收安部分发送垂纶邮件撒播GandCrab 5.2勒索病毒
克日，海内有多个企事业单位收到了黑客冒没收安部分发送的垂纶邮件，垂纶邮件问题为“你必需在3月11日下昼3点向警员局报到！”，垂纶邮件同时携带文件名为“03-11-2019.rar”的附件。附件中包括一个可执行文件，经太过析，该可执行文件为GandCrab勒索病毒5.2版本变种。
经由对攻击者的剖析，我们发明其IP地点主要位于韩国和俄罗斯。
现在已经发明的攻击者邮箱如下：
Jae-Bong-Police@designerbasith.com
Jae-ho-policesupport@skinslotto.com
Jae-Bong-Police@skinslotto.com
Jae-jin@utista.com
Jae-joon@b4imports.com
Byung-chal@santafegiants.com
Jae-hyuk@santafegiants.com
Jae-hyun@b4imports.com
Jae-joon@skinslotto.com
Jae-hyuk@utista.com
Jae-beom@santafegiants.com
yung-ho@designerbasith.com
Jae-beom@utista.com
yung-ho@utista.com
Jae-hyun@skinslotto.com
Jae-hyun@idalbostian.com
Jae-jin@illwaitforthemovie.com
Jae-joon@illwaitforthemovie.com
Byung-chal@amazosicherheitsdienst.com
Byung-chal@blackmonlabs.com
Beom-seyk@idalbostian.com
Jae-ho-policesupport@idalbostian.com
yung-ho@illwaitforthemovie.com
Jae-hyun@illwaitforthemovie.com
yung-ho@idalbostian.com
Jae-hyun@amazosicherheitsdienst.com
阻止到现在，我们在海内大部分地区均发明了熏染案例。
样天职析：
（1）样本程序入口有许多花指令，以滋扰静态剖析。
（2）疑似使用OpenProcess举行运行情形检测，传入的ProcessID为牢靠的0x2D，且有TERMINATE权限。较量返回值是否为INVALID_HANDLE_VALUE，不是继续执行。若是是INVALID_HANDLE_VALUE，则获取过失码，并和0x57较量，即是继续执行，不即是直接退出历程，0x57代表参数过失。
（3）同时为了对抗静态检测，病毒内嵌的字符串都是使用时再举行RC4解密。
（4）网络用户的系统信息，包括账号、机械名称、系统版本等信息，并拼接成如下名堂：
pc_user=* &pc_name=*&pc_group=*&pc_keyb=*&os_major=*&os_bit=*&ransom_id=*&hdd=*&id=*&sub_id=*&version=*&action=call。上述信息使用RC4算法加密，密钥为.oj=294~!z3)9n-1,8^)o((q22)lb$。
（5）在网络完上述信息并加密后，会继续盘问输入法，发明有俄文输入法，删除自身文件，并退出历程。
没有俄文输入法的话，继续检测操作系统语言，关于如下国家的系统则自动放过加密：
419(俄罗斯)、422(乌克兰)、423(比利时)、428(塔吉克)、42b(亚美尼亚)、42c(阿塞拜疆-阿里赛)、437(格鲁吉亚)、43f(吉尔吉斯坦)、440(吉尔吉斯斯坦)、442(土库曼)、443(乌兹别克斯坦)、444(鞑靼斯坦)、818(罗马尼亚)、819(俄罗斯-摩尔多瓦)、82c(阿塞拜疆)、843(乌兹别克)、45A(叙利亚)、2801(未知)
（6）查找并竣事如下历程。
msftesql.exe、sqlagent.exe、sqlbrowser.exe、sqlwriter.exe、oracle.exe、ocssd.exe、dbsnmp.exe、synctime.exe、agntsvc.exe、isqlplussvc.exe、xfssvccon.exe、sqlservr.exe、mydesktopservice.exe、ocautoupds.exe、encsvc.exe、firefoxconfig.exe、tbirdconfig.exe、mydesktopqos.exe、ocomm.exe、mysqld.exe、mysqld-nt.exe、mysqld-opt.exe、dbeng50.exe、sqbcoreservice.exe、excel.exeinfopath.exe、msaccess.exe、mspub.exe、onenote.exe、outlook.exe、powerpnt.exe、steam.exe、thebat.exe、thebat64.exe、thunderbird.exe、visio.exe、winword.exe、synctime.exe、dbsnmp.exe、oracle.exe、sqlwriter.exe、ocomm.exe、sqlbrowser.exe、sqlagent.exe、thebat.exe、isqlplussvc.exe、msftesql.exe、agntsvc.exe、xfssvccon.exe、sqlservr.exe、mydesktopservice.exe、ocautoupds.exe、encsvc.exe、firefoxconfig.exe、tbirdconfig.exe、mydesktopqos.exe、ocssd.exe、mysqld.exe、mysqld-nt.exe、mysqld-opt.exe、dbeng50.exe、sqbcoreservice.exe、excel.exe、mspub.exe、infopath.exe、msaccess.exe、onenote.exe、outlook.exe、powerpnt.exe、steam.exe
（7）在内存里依次解密出RSA公钥，需要加密的文件扩展名，不需要加密的文件扩展名。
（8）最终遍历所有文件，使用Salsa20加密包括上述扩展名的文件，并追加随机扩展名。加密机制如下：
a.天生32位和8位字节的随机字符，作为Salsa20的密钥和向量。
b.天生一对RSA密钥，记为Session Prv Key和Session Pub Key，关于私钥Session Prv Key使用上述天生的密钥和向量举行Salsa20加密。公钥Session Pub Key和加密后的Session Prv Key都生涯在注册内外。
c.用攻击者的公钥加密前面天生的Salsa20的密钥和向量。
d.对每个被加密的文件，天生32和8位字节随机字符，作为Salsa20的密钥和向量。以此加密文件，且每个文件的Salsa20的密钥和向量都差别。对这个Salsa20的密钥和向量使用公钥Session Pub Key加密。
面临一再爆发的勒索攻击，尊龙凯时推出“云端感知，网端检测，终端防护，系统加固“的立体解决计划。
一、“云”端感知
在“云”端，VenusEye威胁情报中心监测全球勒索病毒态势，推出搜集了超300种勒索病毒家族的搜索引擎（lesuo.venuseye.com.cn）。用户可使用勒索病毒名，加密文件名等盘问到这些勒索病毒的情报信息，并获得相关的解决计划及处置惩罚建议。
二、“网”端检测
在“网”端可以安排：
天镜懦弱性扫描与治理系统对包括勒索病毒使用误差的资产举行检测 ；
天阗高级一连性威胁检测与治理系统对网络中的未知勒索病毒举行检测 ；
天清邮件清静治理系统对邮件中的勒索病毒举行精准阻挡 ；
天阗入侵检测与治理系统，天清入侵防御系统斩断勒索病毒的撒播途径。
1、通过安排天镜懦弱性扫描和治理系统，确认如下的扫描战略已经升级下发，并使用该战略举行勒索病毒使用误差的资产扫描：
（1） 通过SMB和RDP误差举行撒播的支持要领：
战略名称如下：
战略包括的SMB误差如下：
战略包括的RDP误差如下：
（2）通过SMB和RDP弱口令举行撒播的支持要领：
下发弱口令扫描使命，选中，SMB和RDP：
使用最新的勒索病毒弱口令：
2、通过安排天阗高级一连性威胁检测与治理系统，无需升级即可有用检测流量中的未知勒索病毒。
3、通过安排天清邮件清静治理系统，精准发明通过邮件撒播的勒索病毒。
关于天清邮件清静治理系统针对勒索病毒的整体解决计划请参考：
https://mp.weixin.qq.com/s/BbRTP4FfKDV-BW08lFowWg
4、通过安排天阗入侵检测与治理系统、天清入侵防御系统，并确认如下事务已经下发，即可有用检测、阻断勒索病毒通过弱口令以及误差举行撒播。
提醒：当发明上述弱口令事务且源IP地点属于非白名单IP时，则危害更大。
三、“终端”防护
在终端/服务器可以安排具备完善勒索病毒防护系统的景云网络防病毒系统，形成勒索病毒的最后一道防地。
1、病毒检测与实时监控功效可以有用检测出已知勒索病毒。
2、开启U盘防护功效，可以阻挡通过移动存储介质撒播的勒索病毒。
3、一样平常使用补丁扫描功效，实时修补种种系统补丁，避免勒索病毒通过系统误差进入。
四、系统加固
在有用安排种种清静产品的同时，还应该对系统举行全方位加固，以确保万无一失。
1、只管关闭不须要的服务和端口。如：135，139，445端口，关于远程桌面服务（3389），VNC服务需要举行白名单设置，仅允许白名单内的IP上岸。
2、禁用GUEST来宾用户。只管不要使用局域网共享，或把共享磁盘设置为只读属性，不允许局域网用户改写文件。
3、接纳不少于10位的高强度密码，并按期替换密码。
4、实时更新系统，给系统打补丁，修补误差。
5、按期对主要文件以及数据库做非外地备份。
6、不点击泉源不明的邮件以及附件，切断勒索病毒的邮件撒播方法。
事务一：
Globelmposter3.0变种再度袭击海内多个医疗机构
继去年下半年在海内医疗机构爆发Globelmposter勒索病毒以来，今年3月，该勒索病毒3.0版本变种再次袭击海内多家大型医院。熏染后，数据库被加密破损，文件被加密并重命名为.snake4444扩展名，并要求用户通过邮件相同赎金跟解密密钥。该病毒主要通过RDP弱口令爆破入侵服务器，继而使用已经攻陷的装备做跳板攻击内网内其他主机。
样天职析：
（1）样本在执行最先时会对PE文件的完整性举行验证，若是都通过则进入主体流程。
（2）程序进入主流程之后会从自身资源区直接获取一段加密的shellcode并赋值到开发好的内存块中。
这段shellcode的前8字节与另一段16字节的key一起作为shellcode的解密KEY对shellcode每8个字节举行一次解密。
解密算法如下：
（3）然后程序会挪用VirtualProctet对存放这段shellcode的内存区域付与可执行权限，并跳转到该shellcode举行执行。这段shellcode会去寻找shellcode中内嵌的一个PE文件的位置，并申请一段内存将其拷贝到申请到的内存空间中，然后将其PE头和后续数据举行解密并覆写到最最先的执行PE文件的PE头和.text区段，然后动态获取所需要的函数地点并重写导入表，最后直接跳转到修改好的代码区域执行最终的勒索软件主体。
（4）勒索软件主体程序会判断是否保存情形变量%appdata%,若是保存则将自身拷贝到该路径下，若是不保存直接竣事历程。然后紧接着建设注册表项
Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\BrowserUpdateCheck 并将存放在%appdata%的勒索软件主体的路径作为其值，来实现开机自启动。
（5）接着判断是否保存情形变量%public%和%ALLUSERSPROFILE%，若是都不保存则直接竣事历程。这个判断的主要目的是为了存放受害者主机天生的密钥和唯一标识码。
（6）之后最先遍历历程，并使用taskkill下令竣事掉历程名中含有如下字符串的历程。
（7）历程遍历竣事之后，遍历所有盘符，查找磁盘属性为移动磁盘、牢靠磁盘，网络磁盘对应的盘符，然后找到几多个磁盘就建设几多个对应的线程加密对应磁盘内的数据。
（8）在遍历文件时会判断文件是否属于扫除路径，若是不是才会被加密。
（9）文件的加密密钥是由目今被加密的文件所决议，程序会获取需要被加密的文件的文件路径，巨细，用户ID来盘算对应的AES密钥，然后文件将会使用该密钥加密，同时该密钥会被硬编码的RSA公钥加密生涯在文件中，被加密的文件会被附上新的后缀名（依勒索病毒版本转变），并且每个加密文件夹内会天生一个Read__Me.html来指导受害者怎样支付赎金。
（10）最后会执行批处置惩罚删除卷影副本和远程桌面相关设置。
事务二：
黑客冒没收安部分发送垂纶邮件撒播GandCrab 5.2勒索病毒
克日，海内有多个企事业单位收到了黑客冒没收安部分发送的垂纶邮件，垂纶邮件问题为“你必需在3月11日下昼3点向警员局报到！”，垂纶邮件同时携带文件名为“03-11-2019.rar”的附件。附件中包括一个可执行文件，经太过析，该可执行文件为GandCrab勒索病毒5.2版本变种。
经由对攻击者的剖析，我们发明其IP地点主要位于韩国和俄罗斯。
现在已经发明的攻击者邮箱如下：
Jae-Bong-Police@designerbasith.com
Jae-ho-policesupport@skinslotto.com
Jae-Bong-Police@skinslotto.com
Jae-jin@utista.com
Jae-joon@b4imports.com
Byung-chal@santafegiants.com
Jae-hyuk@santafegiants.com
Jae-hyun@b4imports.com
Jae-joon@skinslotto.com
Jae-hyuk@utista.com
Jae-beom@santafegiants.com
yung-ho@designerbasith.com
Jae-beom@utista.com
yung-ho@utista.com
Jae-hyun@skinslotto.com
Jae-hyun@idalbostian.com
Jae-jin@illwaitforthemovie.com
Jae-joon@illwaitforthemovie.com
Byung-chal@amazosicherheitsdienst.com
Byung-chal@blackmonlabs.com
Beom-seyk@idalbostian.com
Jae-ho-policesupport@idalbostian.com
yung-ho@illwaitforthemovie.com
Jae-hyun@illwaitforthemovie.com
yung-ho@idalbostian.com
Jae-hyun@amazosicherheitsdienst.com
阻止到现在，我们在海内大部分地区均发明了熏染案例。
样天职析：
（1）样本程序入口有许多花指令，以滋扰静态剖析。
（2）疑似使用OpenProcess举行运行情形检测，传入的ProcessID为牢靠的0x2D，且有TERMINATE权限。较量返回值是否为INVALID_HANDLE_VALUE，不是继续执行。若是是INVALID_HANDLE_VALUE，则获取过失码，并和0x57较量，即是继续执行，不即是直接退出历程，0x57代表参数过失。
（3）同时为了对抗静态检测，病毒内嵌的字符串都是使用时再举行RC4解密。
（4）网络用户的系统信息，包括账号、机械名称、系统版本等信息，并拼接成如下名堂：
pc_user=* &pc_name=*&pc_group=*&pc_keyb=*&os_major=*&os_bit=*&ransom_id=*&hdd=*&id=*&sub_id=*&version=*&action=call。上述信息使用RC4算法加密，密钥为.oj=294~!z3)9n-1,8^)o((q22)lb$。
（5）在网络完上述信息并加密后，会继续盘问输入法，发明有俄文输入法，删除自身文件，并退出历程。
没有俄文输入法的话，继续检测操作系统语言，关于如下国家的系统则自动放过加密：
419(俄罗斯)、422(乌克兰)、423(比利时)、428(塔吉克)、42b(亚美尼亚)、42c(阿塞拜疆-阿里赛)、437(格鲁吉亚)、43f(吉尔吉斯坦)、440(吉尔吉斯斯坦)、442(土库曼)、443(乌兹别克斯坦)、444(鞑靼斯坦)、818(罗马尼亚)、819(俄罗斯-摩尔多瓦)、82c(阿塞拜疆)、843(乌兹别克)、45A(叙利亚)、2801(未知)
（6）查找并竣事如下历程。
msftesql.exe、sqlagent.exe、sqlbrowser.exe、sqlwriter.exe、oracle.exe、ocssd.exe、dbsnmp.exe、synctime.exe、agntsvc.exe、isqlplussvc.exe、xfssvccon.exe、sqlservr.exe、mydesktopservice.exe、ocautoupds.exe、encsvc.exe、firefoxconfig.exe、tbirdconfig.exe、mydesktopqos.exe、ocomm.exe、mysqld.exe、mysqld-nt.exe、mysqld-opt.exe、dbeng50.exe、sqbcoreservice.exe、excel.exeinfopath.exe、msaccess.exe、mspub.exe、onenote.exe、outlook.exe、powerpnt.exe、steam.exe、thebat.exe、thebat64.exe、thunderbird.exe、visio.exe、winword.exe、synctime.exe、dbsnmp.exe、oracle.exe、sqlwriter.exe、ocomm.exe、sqlbrowser.exe、sqlagent.exe、thebat.exe、isqlplussvc.exe、msftesql.exe、agntsvc.exe、xfssvccon.exe、sqlservr.exe、mydesktopservice.exe、ocautoupds.exe、encsvc.exe、firefoxconfig.exe、tbirdconfig.exe、mydesktopqos.exe、ocssd.exe、mysqld.exe、mysqld-nt.exe、mysqld-opt.exe、dbeng50.exe、sqbcoreservice.exe、excel.exe、mspub.exe、infopath.exe、msaccess.exe、onenote.exe、outlook.exe、powerpnt.exe、steam.exe
（7）在内存里依次解密出RSA公钥，需要加密的文件扩展名，不需要加密的文件扩展名。
（8）最终遍历所有文件，使用Salsa20加密包括上述扩展名的文件，并追加随机扩展名。加密机制如下：
a.天生32位和8位字节的随机字符，作为Salsa20的密钥和向量。
b.天生一对RSA密钥，记为Session Prv Key和Session Pub Key，关于私钥Session Prv Key使用上述天生的密钥和向量举行Salsa20加密。公钥Session Pub Key和加密后的Session Prv Key都生涯在注册内外。
c.用攻击者的公钥加密前面天生的Salsa20的密钥和向量。
d.对每个被加密的文件，天生32和8位字节随机字符，作为Salsa20的密钥和向量。以此加密文件，且每个文件的Salsa20的密钥和向量都差别。对这个Salsa20的密钥和向量使用公钥Session Pub Key加密。
解决计划
面临一再爆发的勒索攻击，尊龙凯时推出“云端感知，网端检测，终端防护，系统加固“的立体解决计划。
一、“云”端感知
在“云”端，VenusEye威胁情报中心监测全球勒索病毒态势，推出搜集了超300种勒索病毒家族的搜索引擎（lesuo.venuseye.com.cn）。用户可使用勒索病毒名，加密文件名等盘问到这些勒索病毒的情报信息，并获得相关的解决计划及处置惩罚建议。
二、“网”端检测
在“网”端可以安排：
天镜懦弱性扫描与治理系统对包括勒索病毒使用误差的资产举行检测 ；
天阗高级一连性威胁检测与治理系统对网络中的未知勒索病毒举行检测 ；
天清邮件清静治理系统对邮件中的勒索病毒举行精准阻挡 ；
天阗入侵检测与治理系统，天清入侵防御系统斩断勒索病毒的撒播途径。
1、通过安排天镜懦弱性扫描和治理系统，确认如下的扫描战略已经升级下发，并使用该战略举行勒索病毒使用误差的资产扫描：
（1） 通过SMB和RDP误差举行撒播的支持要领：
战略名称如下：
战略包括的SMB误差如下：
战略包括的RDP误差如下：
（2）通过SMB和RDP弱口令举行撒播的支持要领：
下发弱口令扫描使命，选中，SMB和RDP：
使用最新的勒索病毒弱口令：
2、通过安排天阗高级一连性威胁检测与治理系统，无需升级即可有用检测流量中的未知勒索病毒。
3、通过安排天清邮件清静治理系统，精准发明通过邮件撒播的勒索病毒。
关于天清邮件清静治理系统针对勒索病毒的整体解决计划请参考：
https://mp.weixin.qq.com/s/BbRTP4FfKDV-BW08lFowWg
4、通过安排天阗入侵检测与治理系统、天清入侵防御系统，并确认如下事务已经下发，即可有用检测、阻断勒索病毒通过弱口令以及误差举行撒播。
提醒：当发明上述弱口令事务且源IP地点属于非白名单IP时，则危害更大。
三、“终端”防护
在终端/服务器可以安排具备完善勒索病毒防护系统的景云网络防病毒系统，形成勒索病毒的最后一道防地。
1、病毒检测与实时监控功效可以有用检测出已知勒索病毒。
2、开启U盘防护功效，可以阻挡通过移动存储介质撒播的勒索病毒。
3、一样平常使用补丁扫描功效，实时修补种种系统补丁，避免勒索病毒通过系统误差进入。
4、景云还具有基于多步行为序列剖析引擎实现的反勒索防护系统，实现勒索病毒的事前防御、事中监控阻挡、事后恢复全套的闭环的三重纵深防护。
四、系统加固
在有用安排种种清静产品的同时，还应该对系统举行全方位加固，以确保万无一失。
1、只管关闭不须要的服务和端口。如：135，139，445端口，关于远程桌面服务（3389），VNC服务需要举行白名单设置，仅允许白名单内的IP上岸。
2、禁用GUEST来宾用户。只管不要使用局域网共享，或把共享磁盘设置为只读属性，不允许局域网用户改写文件。
3、接纳不少于10位的高强度密码，并按期替换密码。
4、实时更新系统，给系统打补丁，修补误差。
5、按期对主要文件以及数据库做非外地备份。
6、不点击泉源不明的邮件以及附件，切断勒索病毒的邮件撒播方法。
京公网安备11010802024551号