勒索病毒发展至今 ，其勒索产业链已极其完善 ，勒索病毒传播快、范围广 ，已然成为了全球网络安全最大的威胁。本月 ，盛世集团第59号实验室威胁平台监测到多起勒索病毒攻击事件 ，勒索攻击形势严峻。
从受害者所在地域分布来看 ，经济发达地区仍是被攻击的主要对象 ，与前几个月采集到的数据相比 ，总体无较大波动。
从行业划分来看 ，数据价值较高的传统行业、医疗、教育、政府机构等行业仍是感染勒索病毒的重灾区。
下图是盛世集团第59号实验室对勒索病毒监测后所计算出的4月份勒索病毒家族流行度占比分布图。Phobos家族占比22%居首位 ，Mallox家族占比19%位居第二 ，Makop家族以14%位居第三 ，均为过往的流行家族。
下图为勒索病毒传播的各种方式的占比情况。根据统计可以看出 ，勒索病毒的主要攻击方式依然以远程桌面入侵为主 ，其次利用网站挂马和高危漏洞等方式传播 ，整体攻击方式呈现多元化的特征。
Phobos勒索软件从2019年开始在全球流行 ，并一直保持着很高的活跃度 ，并常年占据勒索病毒榜单前三 ，其不断推出新变种 ，并频繁通过RDP暴破、钓鱼邮件等方式对企业单位及个人用户进行攻击 ，使受害者遭受数据财产的严重损失 ，影响十分恶劣。
Mallox（又被称作Target Company）最早出现于2021年7月中旬 ，并在2021年12月开始进入国内。其采用RaaS（勒索软件即服务）模式运营 ，将企业作为其攻击目标。Mallox病毒主要针对企业的Web应用发起攻击 ，包括Spring Boot、Weblogic、通达OA等 ，在拿下目标设备权限后还会尝试在内网中横向移动 ，获取更多设备的权限 ，危害性极大。
Makop勒索病毒出现于2020年1月下旬 ，目前已知主要通过恶意邮件渠道传播。Makop病毒加密的方式 ，是通过本地生成一个随机的AES BLOB ，使用RSA公钥对其进行加密后放到被加密文件尾部 ，同时用上述随机AES密码对文件内容进行加密 ，全盘加密完成后对内存中使用到的随机AES BLOB进行了清理。
安徽某企业反馈其内部服务器上的所有文件都被加密 ，且添加了“.[torres@proxy.tg].mkp”后缀 ，这也导致了部分业务的瘫痪。通过对被加密样本的分析检测 ，可判断此次攻击的病毒为Makop勒索家族旗下的病毒变种。该企业在发现攻击后 ，立即采取措施加以遏制。
在线点评：
1.Makop勒索病毒会加密图片 ，文档 ，数据库 ，视频和其他文件 ，仅保留系统数据。2.Makop勒索病毒使用RSA+AES的方式加密文件。加密时会尝试结束后台应用的进程 ，以独占文件完成加密 ；排除部分加密白名单文件不加密 ；病毒会尝试加密有写权限的网络共享文件 ；加密结束后 ，会删除系统卷影信息 ，以防止用户通过文件恢复功能找回文件。
4月中旬 ，位于上海的某企业遭到勒索病毒攻击 ，在攻击期间 ，勒索软件操控者设法获得对内部服务器的控制权后 ，在服务器上安装了Phobos勒索软件 ，并添加了“.[hpsupport@privatemail.com].Elbie”扩展名。为了防止攻击进一步蔓延 ，该企业关闭了部分系统。
在线点评：
1.Phobos作为国内老牌勒索家族 ，流行热度一直比较高 ，主要通过爆破远程桌面传播。2.企业需要加强自身的信息安全管理能力——尤其是弱口令、漏洞、文件共享和远程桌面的管理 ，以应对勒索病毒的威胁。
湖南某企业遭遇BeijngCrypt勒索病毒家族攻击4月末 ，湖南某企业遭受BeijingCrypt勒索病毒攻击 ，此次攻击事件导致多台服务器遭到了破坏 ，多个服务受到影响。据悉 ，该企业服务器上的文件被加密锁定 ，文件名也被篡改为“.360”后缀 ，并且已无法正常打开 ，通过后缀可确定该病毒为BeijingCrypt勒索病毒。
在线点评：
1.BeijingCrypt勒索病毒的攻击目标依然是Windows服务器。当BeijingCrypt勒索病毒成功入侵服务器之后 ，会将服务器作为僵尸机 ，然后对网络中存在漏洞的其它计算机进行扫描并尝试入侵。2.主机在感染勒索病毒后 ，除了自身会被加密 ，勒索病毒往往还会利用这台主机去攻击同一局域网内的其他主机 ，所以当发现一台主机已被感染 ，应尽快采取响应措施 ，以尽可能减少损失。
勒索软件具有强破坏性。一旦运行起来 ，用户很快就会发现其特征 ，如部分进程突然结束、文件不能打开、文件后缀被篡改、屏保壁纸被更换等。当我们已经确认感染勒索病毒后 ，应当及时采取必要的自救措施。之所以要进行自救 ，主要是因为：等待专业人员的救助往往需要一定的时间 ，采取必要的自救措施 ，可以减少等待过程中 ，损失的进一步扩大。
（一）隔离中招主机
当确认服务器已经被感染勒索病毒后 ，应立即隔离被感染主机 ，防止病毒继续感染其他服务器 ，造成无法估计的损失。隔离主要包括物理隔离和访问控制两种手段 ，物理隔离主要为断网或断电 ；访问控制主要是指对访问网络资源的权限进行严格的认证和控制。物理隔离常用的操作方法是断网和关机。断网主要操作步骤包括：拔掉网线、禁用网卡 ，如果是笔记本电脑还需关闭无线网络。加策略防止其他主机接入 ，关闭感染主机开放端口如 445、135、139、3389 等。修改感染主机及同局域网下所有主机密码 ，密码采用大小写字母、数字、特殊符号混合的长密码。
（二）排查业务系统
在已经隔离被感染主机后 ，应对局域网内的其他机器进行排查 ，检查核心业务系统是否受到影响 ，生产线是否受到影响 ，并检查备份系统是否被加密等 ，以确定感染的范围。
（三）联系专业人员
在应急自救处置后 ，建议第一时间联系专业的技术人士或安全从业者 ，对事件的感染时间、传播方式、感染家族等问题进行排查。
面对严峻的勒索病毒威胁态势 ，盛世集团第59号实验室提醒广大用户 ，勒索病毒以防为主 ，注意日常防范措施 ，以尽可能免受勒索病毒感染：
① 及时给办公终端和服务器打补丁 ，修复漏洞 ，包括操作系统以及第三方应用的补丁 ，防止攻击者通过漏洞入侵系统。
② 尽量关闭不必要的端口 ，如139、445、3389等端口。如果不使用 ，可直接关闭高危端口 ，降低被漏洞攻击的风险。
③ 不对外提供服务的设备不要暴露于公网之上 ，对外提供服务的系统 ，应保持较低权限。
④ 企业用户应采用高强度且无规律的密码来登录办公系统或服务器 ，要求包括数字、大小写字母、符号 ，且长度至少为8位的密码 ，并定期更换口令。
⑤ 数据备份 ； ，对关键数据和业务系统做备份 ，如离线备份 ，异地备份 ，云备份等 ， 避免因为数据丢失、被加密等造成业务停摆 ，甚至被迫向攻击者妥协。
⑥ 敏感数据隔离 ，对敏感业务及其相关数据做好网络隔离。避免双重勒索病毒在入侵后轻易窃取到敏感数据 ，对公司业务和机密信息造成重大威胁。
⑦ 尽量关闭不必要的文件共享。
⑧ 提高安全运维人员职业素养 ，定期进行木马病毒查杀。
⑨ 部署盛世集团数据库防火墙 ，可专门针对RushQL数据库勒索病毒进行防护。
⑩ 安装诺亚防勒索软件 ，防御未知勒索病毒。
为了更好地应对已知或未知勒索病毒的威胁 ，盛世集团通过对大量勒索病毒的分析 ，基于零信任、守白知黑原则 ，创造性地研究出针对勒索病毒的终端产品【诺亚防勒索系统】。诺亚防勒索在不关心漏洞传播方式的情况下 ，可防护任何已知或未知的勒索病毒。以下为诺亚防勒索针对勒索病毒的防护效果。
盛世集团诺亚防勒索可通过服务端统一下发策略并更新。默认策略可 ；ffice文档【如想 ；な菘馕募可通过添加策略一键 ；ぁ。
无诺亚防勒索防护的情况下：
在test目录下 ，添加以下文件 ，若服务器中了勒索病毒 ，该文件被加密 ，增加统一的异常后缀 ，并且无法正常打开。
开启诺亚防勒索的情况下：
双击执行病毒文件 ，当勒索病毒尝试加密被 ；の募 ，即test目录下的文件时 ，诺亚防勒索提出警告并拦截该行为。
查看系统上被测试的文件 ，可被正常打开 ，成功防护恶意软件对被 ；の募的加密行为。
开启堡垒模式的情况下：
为 ；は低橙课募 ，可一键开启诺亚防勒索的堡垒模式。堡垒模式主要针对亚终端 ，例如ATM机 ，ATM机的终端基本不太会更新 ，那么堡垒模式提供一种机制：任何开启堡垒模式之后再进入终端的可执行文件都将被阻止运行 ，从而实现诺亚防勒索的最强防护模式。
运行在堡垒模式下 ，执行该病毒 ，立刻被移除到隔离区 ，因此可阻止任何已知或未知勒索病毒的执行。
浙公网安备 33010502006954号
浙ICP备12021012号-1
