关于新型 GandCrab 勒索病毒的紧急预警

发布者:系统管理员发布时间:2019-04-03浏览次数:11

安全预警
近日,出现 GandCrab 勒索病毒的最新变种版本(V5.1), 该变种通过 RDP 爆破进行传播,主要攻击数据库服务器。目 前,该病毒加密的文件无法解密恢复。
请各重点单位高度重视,加强网络安全防护,切实保障 网络系统安全稳定运行。

二、事件信息
(一)病毒描述。
GandCrabV5.1 新型病毒变种采用 RSA+AES 相结合的加密 算法,功能流程为:①黑客通过人工入侵获取主机控制权, 操纵终端设备访问病毒网址下载勒索病毒文件,并上传主机 信息;②生成 key,遍历磁盘目录和共享目录文件夹内的文件,并进行加密,后缀为随机后缀名;③将相应信息上传到 远端服务器www.kakaocorp.link。
(二)影响范围。
开启了 445 端口 SMB 网络共享协议,或开启 3389 远程 桌面端口存在弱口令漏洞的 Windows 系统(包括个人版和服 务器版),目前中毒主机主要为数据库服务器。
三、处置建议
(三)排查方案。
1.检查系统是否安装了最新系统漏洞补丁包;
2.检查系统是否开启了 445 端口的 SMB 网络共享协议;
3. 检查系 统 是否 存在 访问 www.kakaocorp.link , 204.232.192.84 情况;
4.检查系统是否磁盘存在随机后缀名的加密文件;
5.检查系统是否存在遭受 RDP 爆破日志。

三、解决方案。
1.隔离感染主机:已中毒计算机尽快隔离,关闭所有网 络连接,禁用网卡;
2.切断传播途径:关闭失陷终端的SMB445等网络共享端口,关闭异常的外联访问,同时,尽量关闭终端设备的不 必要的文件共享权限和 3389 远程桌面服务;
3.查找攻击源:手工抓包分析或借助态势感知类产品分 析,确认全网感染数量;
4.查杀病毒:可使用以下工具进行查杀(http://edr.sangfor.com.cn/tool/SfabAntiBot.zip); 
5.修补漏洞:安装“永恒之蓝”漏洞补丁,请到微软官网,下载对应的漏洞补丁;(https://technet.microsoft.com/zh-cn/library/s ecurity/ms17-010.aspx)
6.设置复杂密码:重新更改设备登录密码,同时避免使 用统一的密码。

四、应处置建议
一旦发现系统中存在漏洞被利用的情况,要第一时间上 报我中心(电话:26537109),同时开展以下紧急处置:
一是立即断开被入侵的主机系统的网络连接,防止进一 步危害;
二是留存相关日志信息;漏洞后再恢复网络连接。