安全预警 近日，出现 GandCrab 勒索病毒的最新变种版本（V5.1）， 该变种通过 RDP 爆破进行传播，主要攻击数据库服务器。目 前，该病毒加密的文件无法解密恢复。 请各重点单位高度重视，加强网络安全防护，切实保障 网络系统安全稳定运行。 二、事件信息 （一）病毒描述。 GandCrabV5.1 新型病毒变种采用 RSA+AES 相结合的加密 算法，功能流程为：①黑客通过人工入侵获取主机控制权， 操纵终端设备访问病毒网址下载勒索病毒文件，并上传主机 信息；②生成 key，遍历磁盘目录和共享目录文件夹内的文件，并进行加密，后缀为随机后缀名；③将相应信息上传到 远端服务器www.kakaocorp.link。 （二）影响范围。 开启了 445 端口 SMB 网络共享协议，或开启 3389 远程 桌面端口存在弱口令漏洞的 Windows 系统（包括个人版和服 务器版），目前中毒主机主要为数据库服务器。 三、处置建议 （三）排查方案。 1.检查系统是否安装了最新系统漏洞补丁包； 2.检查系统是否开启了 445 端口的 SMB 网络共享协议； 3. 检查系 统 是否 存在 访问 www.kakaocorp.link ， 204.232.192.84 情况； 4.检查系统是否磁盘存在随机后缀名的加密文件； 5.检查系统是否存在遭受 RDP 爆破日志。 三、解决方案。 1.隔离感染主机：已中毒计算机尽快隔离，关闭所有网 络连接，禁用网卡; 2.切断传播途径：关闭失陷终端的SMB445等网络共享端口，关闭异常的外联访问，同时，尽量关闭终端设备的不 必要的文件共享权限和 3389 远程桌面服务； 3.查找攻击源：手工抓包分析或借助态势感知类产品分 析，确认全网感染数量； 4.查杀病毒：可使用以下工具进行查杀（http://edr.sangfor.com.cn/tool/SfabAntiBot.zip）； 5.修补漏洞：安装“永恒之蓝”漏洞补丁，请到微软官网，下载对应的漏洞补丁；（https://technet.microsoft.com/zh-cn/library/s ecurity/ms17-010.aspx） 6.设置复杂密码：重新更改设备登录密码，同时避免使 用统一的密码。 四、应处置建议 一旦发现系统中存在漏洞被利用的情况，要第一时间上 报我中心(电话：26537109)，同时开展以下紧急处置： 一是立即断开被入侵的主机系统的网络连接，防止进一 步危害； 二是留存相关日志信息；漏洞后再恢复网络连接。 |