logo

公司新闻

Company News
新闻列表 2019年勒索病毒事件大盘点

2019年勒索病毒事件大盘点

2019-12-20


封图_副本.jpg


勒索病毒是什么?


勒索病毒,是一种新型电脑病毒,主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大,一旦感染将给用户带来无法估量的损失。


攻击的样本以exe、js、wsf、vbe等类型为主,勒索病毒文件进入本地后,就会自动运行,同时删除勒索软件样本,以躲避查杀和分析。接下来,勒索病毒会利用本地的互联网访问权限连接至勒索者的C&C服务器,进而上传本机信息并下载加密私钥与公钥,文件会被以AES+RSA4096位的算法加密。除了病毒开发者本人,其他人是几乎不可能解密的。


加密完成后,还会修改壁纸,在桌面等明显位置生成勒索提示文件,指导用户去缴纳赎金,即必须支付勒索资金,才能拿到解密的私钥,或者选择丢失文件。勒索病毒变种类型非常快,对常规的杀毒软件都具有免疫性。

0_副本.jpg


据公开资料显示,全球最早的勒索病毒雏形诞生于1989年,由Joseph Popp编写,该木马程序以“艾滋病信息引导盘”的形式进入系统。

 

中国大陆第一个勒索软件——Redplus勒索木马(Trojan/Win32.Pluder)出现在2006年,该木马会隐藏用户文档和包裹文件,然后弹出窗口要求用户将赎金汇入指定银行账号。



2019年勒索病毒事件


2019年应该是勒索病毒针对企业攻击爆发的一年,这一年全球各地仿佛都在被“勒索”,每天全球各地都有不同的政府、企业、组织机构被勒索病毒攻击的新闻被曝光,包括医疗信息,帐户凭证,公司电子邮件和机密敏感的数据被盗。


下面我们来盘点部分2019年全球勒索病毒事件。


3月,在挪威,全球最大铝制品生产商之一 Norsk Hydro遭遇勒索软件LockerGoga攻击,全球整个网络都宕机,影响所有的生产系统以及办事处运营,公司被迫关闭多条自动化生产线,震荡全球铝制品交易市场。


5月,中国某网约车平台遭勒索软件定向打击,服务器核心数据惨遭加密,攻击者索要巨额比特币赎金,无奈之下向公安机关报警求助。


5月,美国佛罗里达州里维埃拉,遭到勒索软件攻击,各项市政工作停摆几周,市政紧急会议决定支付60万美元的赎金。


6月,全球最大飞机零件供应商ASCO,在比利时的工厂遭遇勒索病毒攻击,生产环境系统瘫痪,大约1000名工人停工,在德国、加拿大和美国的工厂也被迫停工。


10月,全球最大的助听器制造商Demant,遭勒索软件入侵,直接经济损失高达9500万美元。


10月,全球知名航运和电子商务巨头Pitney Bowes遭受勒索软件攻击,攻击者加密公司系统数据,破坏其在线服务系统,超九成财富全球500强合作企业受波及。


10月,法国最大商业电视台M6 Group惨遭勒索软件洗劫,公司电话、电子邮件、办公及管理工具全部中断,集体被迫“罢工”。


......


2019年五大勒索病毒

1 GandCrab勒索病毒

2018年GandCrab首次出现,经过5次版本迭代,波及罗纳尼亚、巴西、印度等数十国家地区,全球累计超过150万用户受到感染。在很多人看来,GandCrab勒索病毒绝对是2019年最传奇的角色。

今年6月,GandCrab勒索软件团队高调宣布,仅一年半的时间里,团队已赚进超过20亿美金,人均年入账1.5亿美金,所以决定停止更新这个恶意程序,风光隐退。

GandCrab_副本.jpg


2 Sodinokibi勒索病毒

Sodinokibi又称REvil勒索病毒,与GandCrab有着明显的代码重叠,因此很多人推测,GandCrab的部分成员不愿收手,另起炉灶而运营的Sodinokibi。

Sodinokibi的部分变种会将受害者屏幕变成深蓝色,并且以2500-5000美金不等的赎金全球撒网,在不到半年时间,该勒索病毒已非法获利数百万美元。

Sodinokibi_副本.png


3 GlobeImposter勒索病毒

谈起2019的勒索病毒,就必须要提到GlobeImposter。该勒索病毒又称“十二生肖”病毒,因为它攻入计算机内部后,会以“十二生肖英文名+4444”的文件后缀,对文件进行加密。而GlobeImposter自2017年5月首发至今,已经历八个版本迭代,并且后缀也从“十二生肖”,变身希腊“十二主神”。

GlobeImposter病毒主要通过rdp远程桌面弱口令进行攻击,去年山东10市不动产系统遭到它的攻击,今年国内又有多家企业、医院等机构中招。

GlobeImposter_副本.jpg



4 Stop勒索病毒


Stop勒索病毒,也被称作djvu勒索病毒,是2019年最为活跃的病毒家族之一。相比于动辄百万、千万美金的勒索软件,Stop走薄利多销的敛财路线,解密赎金需要980美元,并且72小时联系软件作者还可享五折优惠。

该病毒主要利用木马站点,通过伪装成软件破解工具或捆绑在激活软件进行传播,用户中招率奇高。

Stop_副本.jpg


5 Phobos勒索病毒

Phobos是一款非常棘手的勒索病毒,它采用RDP暴力破解+人工投放双重方式传播,并且可以轻松加密受害者PC上的每个文件,把它们全部变成无法打开的.phobos。

Phobos病毒可能与Dharma病毒(又名CrySis)属于同一组织,并且该病毒在运行过程中会进行自复制,和在注册表添加自启动项,如果没有把系统残留的病毒体清理干净,很可能会遭遇二次加密。

Phobos勒索病毒_副本.jpg



预防勒索病毒措施


1、登录口令尽量采用大小写字母、数字、特殊符号混用的组合方式,并且保持口令由足够的长度,同时添加限制登录失败次数的安全策略并定期更换登录口令。


2、多台机器不要使用相同或类似的登录口令,以免出现"一台沦陷,全网瘫痪"的惨状。


3、及时修补系统漏洞,同时不要忽略各种常用服务的安全补丁。


4、关闭非必要的服务和端口如135、139、445、3389等高危端口。


5、严格控制共享文件夹权限,在需要共享数据的部分,尽可能的多采取云协作的方式。


6、提高安全意识,不随意点击陌生链接、来源不明的邮件附件、陌生人通过即时通讯软件发送的文件,在点击或运行前进行安全扫描,尽量从安全可信的渠道下载和安装软件。


7、安装专业的安全防护软件并确保安全监控正常开启并运行,及时对安全软件进行更新。


8、业务数据一定要定期备份。对于重要、机密的文件数据甚至需要做容灾备份处理,到达异地数据实时备份与恢复标准。


通过观察勒索病毒攻击趋势,它已经从广泛而浅层的普通用户,明显转向了中大型政企机构、行业组织。有安全报告表明,自2018年6月以来,全球针对To B的勒索攻击增加了363%。


同时,勒索病毒变种极快,传播途径增多,解密赎金也在疯涨,这些特点导致杀毒软件升级速度无法及时跟上病毒变种速度,解密工具无法有效应对被勒索后的数据解密,对企业、政府、单位来说,一旦感染勒索病毒,带来的影响不可估量。


针对各种预防勒索病毒措施,不难总结出,数据备份才是应对勒索病毒的最终有效手段,在发生勒索事件前定期或者实时备份重要的业务数据,在发生勒索事件后,快速恢复备份数据,拉起业务运行,无需放弃被加密数据,也无需支付勒索赎金。



云祺针对勒索病毒的的应对措施


1 有效监测勒索病毒,源头预防事件发生

自动检查文件的合法性,当文件类型被修改或文件被加密时能够及时发现,不会同步变化数据到备份服务器,从而有效防止勒索病毒再入侵。


1_副本.jpg


2 按需灵活备份业务数据

云祺虚拟机备份与恢复系统(Vinchin Backup & Recovery)提供灵活的备份模式和时间备份策略,在勒索病毒来临前,按需设置备份任务,即可拥有有效备份数据。

2_副本.jpg


3 验证备份数据可用性,保证随时可用

能在虚拟机感染勒索病毒后,将云环境中数据及应用快速恢复至可用状态,并可根据需求将备份数据快速恢复到之前的任意时间点。

3_副本.jpg


4 实时备份实现RPO=0

云祺容灾备份系统(VINCHIN DR)支持实时备份,实时监控每一次 IO 变化,并通过增量方式记录变化数据,无备份时间窗口,真正实现数据零丢失,备份恢复至被勒索病毒感染的前一刻,最小备份恢复力度可达毫秒级。


4_副本.jpg

5 构建异地容灾备份系统,本地异地双重保护

云祺数据解决方案可帮助用户建设异地容灾系统,异地备份系统与生产环境相互隔离,副本任务独立,且不会对主备份产成影响。即使本地业务系统因勒索病毒导致业务暂时中断,也可在异地拉起业务,实现业务接管。

5_副本.jpg


在网络安全威胁事件递增、扩散、高发的现当下,不论选择怎样的方式进行预防、解决,提高网络完全意识是第一步。没有绝对安全的互联网环境,但可以选择尽量避免意外的发生、减少意外带来的损失,相对的安全也变得越发可贵。


  • 标签:
  • 技术分享

您可能感兴趣的新闻 换一批

现在下载,可享30天免费试用

立即下载