关于我们

质量为本、客户为根、勇于拼搏、务实创新

< 返回新闻公共列表

关于新型勒索病毒GlobeImposter漏洞的情况通报

发布时间:2018-03-02 11:25:09

近日,我大队接上级通报,一种新型勒索病毒-GlobeImposter在网上传播,一旦感染该勒索病毒,网络系统的数据库文件将被病毒加密,只有支付赎金才能恢复文件。据媒体报道,湖北襄阳南漳县人民医院、湖南省儿童医院信息系统分别于2月23日和2月24日遭受黑客攻击,医院服务器疑感染GlobeImposter勒索病毒,导致医院诊疗系统大面积瘫痪,挂号、收费、诊疗等业务均无法正常运转。

一、GlobeImposter勒索病毒的危害

 GlobeImposter是目前流行的一类勒索病毒,它会加密磁盘文件并篡改后缀名为.Techno、.DOC、.CHAK、.FREEMAN、.TRUE等形式。由于其采用高强度非对称加密方式,受害者在没有私钥的情况下无法恢复文件,如需恢复重要资料只能被迫支付赎金。普通勒索病毒一般是通过邮件、水坑攻击、U盘摆渡等方式进入用户系统,由恶意代码自身的横向移动功能在内网进行感染攻击。GlobeImposter勒索病毒攻击相对普通的勒索病毒首要区别在于:该病毒不具备主动传播性,是由黑客渗透进入内网后,在目标主机上人工植入,该病毒具有极强的破坏性和针对性,目前很难被破解。

二、GlobeImposter勒索病毒的攻击手法

经分析,该病毒的主要攻击步骤如下:第一步对服务器进行渗透,黑客通过弱口令爆破、端口扫描等攻击手法,利用3389等远程登陆开放端口,使用自动化攻击脚本,用密码字典暴力破解管理员账号。第二步对内网其他机器进行渗透,攻击者在打开内网突破口后,会在内网对其他主机进行口令爆破,利用网络嗅探、多协议爆破等工具实施爆破。第三步植入勒索病毒,在内网横向移动至一台新的主机后,会尝试进行手动或用工具卸载主机上安装的防护软件,手动植入勒索病毒。第四步运行病毒,病毒自动执行程序,对电脑内文件进行加密,完成病毒攻击过程。

三、工作提示

经安全专家分析,存在弱口令且Windows远程桌面服务(3389端口)暴露在互联网上、未做好内网安全隔离、Windows服务器、终端未部署或未及时更新杀毒软件等漏洞和风险的信息系统更容易遭受该病毒侵害。针对此情况,我大队按照上级要求提示如下:一是及时加强终端、服务器防护,所有服务器、终端应强行实施复杂密码策略,杜绝弱口令;安装杀毒软件、终端安全管理软件并及时更新病毒库;及时安装漏洞补丁;服务器开启关键日志收集功能,为安全事件的追溯提供基础。二是严格控制端口管理,尽量关闭不必要的文件共享权限以及关闭不必要的端口,如:445,135,139,3389;建议关闭远程桌面协议。三是合理划分内网安全域,重要业务系统及核心数据库应当设置独立的安全区域并做好区域边界的安全防御,严格限制重要区域的访问权限。四是强化业务数据备份,对业务系统及数据进行及时备份,并验证备份系统及备份数据的可用性;建立安全灾备预案,同时,做好备份系统与主系统的安全隔离,避免主系统和备份系统同时被攻击,影响业务连续性。五是加强应急处置,加强监测以及开展24小时应急值守,进一步完善本单位网络与信息系统突发事件应急预案,确保突发事件应急响应及时、规范、有效。六是及时上报事件,突出情况及时向我大队报告。

 



/template/Home/Zkeys/PC/Static