近期,GandCrab勒索家族在國內(nèi)呈現(xiàn)爆發(fā)趨勢,其GandCrab5.0.4最新變種已造成國內(nèi)部分醫(yī)療行業(yè)出現(xiàn)業(yè)務(wù)癱瘓,影響醫(yī)院正常的工作秩序,給大量患者的診治制造了困擾。安全狗攻防實(shí)驗(yàn)室第一時間關(guān)注了事件進(jìn)展。根據(jù)最新的研究分析,我們總結(jié)出了一些防護(hù)建議,敬請用戶知曉。

勒索病毒簡介

今年以來,GandCrab勒索家族持續(xù)活躍,安全狗在病毒事件曝光后即進(jìn)行了跟蹤研究,并整理了針對性的解決方案,用戶可關(guān)注安全狗微信公眾號獲取。

GandCrab勒索家族包含有GandCrab4.0、GandCrab5.0、GandCrab5.0.3等變種,福建、浙江、山西、吉林、貴州、天津多省份均有感染案例。近期,新的跡象表明GandCrab5.0.3已經(jīng)升級到版本GandCrab5.0.4,并有多家醫(yī)療機(jī)構(gòu)因最新變種導(dǎo)致業(yè)務(wù)癱瘓。該變種同樣采用RSA+AES加密算法,將系統(tǒng)中的大部分文檔文件加密為隨機(jī)后綴名的文件,然后對用戶進(jìn)行勒索。

最新變種仍然主要通過RDP爆破、郵件、漏洞、垃圾網(wǎng)站掛馬等方式進(jìn)行傳播,其自身不具備感染傳播能力,不會主動對局域網(wǎng)的其他設(shè)備發(fā)起攻擊,但會加密局域網(wǎng)共享目錄文件夾下的文件。

處置建議

針對該家族的勒索病毒,可以通過以下手段盡可能地預(yù)防

1、及時給電腦打補(bǔ)丁,修復(fù)漏洞。

2、對重要的數(shù)據(jù)文件定期進(jìn)行非本地備份。

3、不要點(diǎn)擊來源不明的郵件附件,不從不明網(wǎng)站下載軟件。

4、盡量關(guān)閉不必要的文件共享權(quán)限。

5、更改賬戶密碼,設(shè)置強(qiáng)密碼,避免使用統(tǒng)一的密碼,因?yàn)榻y(tǒng)一的密碼會導(dǎo)致一臺被攻破,多臺遭殃。

與此同時,結(jié)合安全狗的相關(guān)安全產(chǎn)品和技術(shù),我們推出了更有針對性的,從事前、事中和事后三個階段來處理和應(yīng)對的專項(xiàng)解決方案。

事前加固

1、檢測并修復(fù)弱口令

2、制定嚴(yán)格的端口管理策略

3、設(shè)置防爆破策略

4、一鍵更新漏洞補(bǔ)丁

5、病毒木馬檢測

事中防御

1、通過對網(wǎng)絡(luò)內(nèi)部主機(jī)的進(jìn)程、會話、資源等指標(biāo)參數(shù)進(jìn)行監(jiān)測以發(fā)現(xiàn)異常的可疑行為。

2、結(jié)合威脅情報提供的遠(yuǎn)控或高危黑IP,感知可能正在發(fā)生的攻擊事件

事后處置

1、隔離感染主機(jī):已中毒計(jì)算機(jī)盡快隔離,關(guān)閉所有網(wǎng)絡(luò)連接,禁用網(wǎng)卡。

2、切斷傳播途徑:關(guān)閉潛在終端的SMB 445等網(wǎng)絡(luò)共享端口,關(guān)閉異常的外聯(lián)訪問?？砷_啟IPS和僵尸網(wǎng)絡(luò)功能進(jìn)行封堵。

3、查找攻擊源:手工抓包分析或借助安全狗嘯天態(tài)勢感知平臺快速查找攻擊源,避免更多主機(jī)持續(xù)感染。

4、查殺病毒:推薦使用安全狗進(jìn)行病毒查殺,快速分析流行事件,實(shí)現(xiàn)終端威脅閉環(huán)處置響應(yīng)。