近期火絨工程師發(fā)現(xiàn)受到勒索攻擊的用戶數(shù)量顯著上升，勒索攻擊一般指黑客通過(guò)運(yùn)行勒索病毒加密受害者的文件，要求后者支付贖金來(lái)恢復(fù)文件訪問(wèn)權(quán)，此類攻擊會(huì)對(duì)用戶的財(cái)務(wù)和運(yùn)營(yíng)造成重大的影響。
經(jīng)過(guò)觀察，活躍的勒索家族包括Makop、Mallox、Phobos、TellYouThePass等。勒索攻擊多發(fā)生在凌晨時(shí)段，且首次入侵機(jī)器多為服務(wù)器。為避免勒索病毒影響您的設(shè)備及業(yè)務(wù)，火絨工程師提醒您及時(shí)安裝火絨安全終端并參考本文的勒索防護(hù)建議做好防范措施。
勒索病毒主要入侵方式
RDP遠(yuǎn)程桌面暴破獲取賬戶密碼；
對(duì)暴露于網(wǎng)絡(luò)上的數(shù)據(jù)庫(kù)進(jìn)行暴破；
對(duì)業(yè)務(wù)系統(tǒng)存在的高危漏洞進(jìn)行利用。
風(fēng)險(xiǎn)簡(jiǎn)述
數(shù)據(jù)不可用：重要文件被加密，無(wú)法訪問(wèn)可能導(dǎo)致關(guān)鍵業(yè)務(wù)運(yùn)作中斷；
財(cái)務(wù)損失：支付贖金給攻擊者可能導(dǎo)致直接的財(cái)務(wù)損失；
信譽(yù)傷害：數(shù)據(jù)泄露和業(yè)務(wù)中斷可能損害公司的聲譽(yù)；
合規(guī)性風(fēng)險(xiǎn)：可能違反數(shù)據(jù)保護(hù)法規(guī)，導(dǎo)致法律后果和罰款。
勒索防護(hù)建議
策略加固
業(yè)務(wù)或系統(tǒng)登錄使用強(qiáng)密碼，確保密碼符合長(zhǎng)度、多樣性、隨機(jī)性 ；
避免密碼復(fù)用，系統(tǒng)賬戶，業(yè)務(wù)數(shù)據(jù)庫(kù)等賬戶使用的密碼不一致；
定期更換密碼，建議三個(gè)月至少更換一次；
禁用不必要的端口，例如：3389，445，3306，1433等。
容災(zāi)方案
定期進(jìn)行重要數(shù)據(jù)的備份；
備份保存在非本地。
火絨安全軟件策略
結(jié)合客戶溯源環(huán)境，建議在官網(wǎng)的加固建議基礎(chǔ)上，進(jìn)行以下加固：
開啟勒索誘捕 ；
勾選禁止終端操作信任區(qū) ；
開啟遠(yuǎn)程登錄防護(hù) ；
開啟終端動(dòng)態(tài)認(rèn)證 ；
開啟程序執(zhí)行控制--遠(yuǎn)程控制工具、風(fēng)險(xiǎn)工具項(xiàng)；
設(shè)置定時(shí)查殺計(jì)劃任務(wù)，并關(guān)注查殺結(jié)果，建議一周至少執(zhí)行一次；
設(shè)置密碼保護(hù)，防止終端被惡意退出、卸載 。
更新策略
業(yè)務(wù)系統(tǒng)定期確認(rèn)是否存在漏洞，及時(shí)更新到最新版本；
定期執(zhí)行漏洞修復(fù)功能，修復(fù)系統(tǒng)高危漏洞；
及時(shí)升級(jí)安全軟件病毒庫(kù)。
管理員巡檢
定期查看系統(tǒng)和業(yè)務(wù)日志；
定期查看系統(tǒng)環(huán)境是否有新增可疑賬戶；
定期查看火絨日志，如有異?？杉皶r(shí)聯(lián)系火絨客服反饋。
注：建議在一周到三個(gè)月內(nèi)至少執(zhí)行一次。
規(guī)范遠(yuǎn)程
若非并要建議關(guān)閉系統(tǒng)的遠(yuǎn)程桌面功能；
如需使用遠(yuǎn)程桌面可根據(jù)需求，在系統(tǒng)防火墻或火絨策略中設(shè)置白名單。
提高員工安全意識(shí)
不從非官網(wǎng)下載軟件；
收到的文件先進(jìn)行查殺再打開；
移動(dòng)設(shè)備使用時(shí)遵循先查殺再使用的原則；
離開工位及時(shí)鎖屏。
應(yīng)對(duì)措施
立即隔離：如果發(fā)現(xiàn)勒索軟件，立即將受感染的系統(tǒng)從網(wǎng)絡(luò)中隔離；
不要支付贖金：支付贖金可能會(huì)鼓勵(lì)攻擊者繼續(xù)此類攻擊，并且不保證數(shù)據(jù)恢復(fù)；
報(bào)告事件：向內(nèi)部安全團(tuán)隊(duì)報(bào)告，并考慮報(bào)告給相應(yīng)的執(zhí)法部門；
恢復(fù)備份：在徹底清理系統(tǒng)后，從備份中恢復(fù)數(shù)據(jù)。
附：常見勒索家族介紹
Makop勒索家族
該勒索家族目前觀察到的主要入侵手段為通過(guò)惡意電子郵件附件、下載到被感染的安裝程序或漏洞利用。
Mallox勒索家族
該勒索家族目前觀察到的主要入侵手段為利用易受攻擊和公開暴露的服務(wù)獲取權(quán)限，特別關(guān)注MSSQL數(shù)據(jù)庫(kù)，以及RDP暴破。
Phobos勒索家族
該勒索家族目前觀察到的主要入侵手段為RDP暴破。
TellYouThePass勒索家族
該勒索家族目前觀察到的入侵手段為多為對(duì)OA等業(yè)務(wù)系統(tǒng)高危漏洞的利用，常對(duì)暴露于網(wǎng)絡(luò)上，并存在有漏洞的機(jī)器發(fā)起攻擊。
