Oracle PL/SQL developer勒索病毒再次出現

最近，國內再次發生多起對Oracle資料庫的勒索病毒，該病毒是2016年底發生的比特幣勒索事件，該病毒通過網絡上下載的破解版PL/SQL developer工具，被黑客利用注入修改了安裝目錄下的fterconnet.sql文件，當使用帶有病毒工具連接資料庫時，假如該連接用戶具有DBA權限，改病毒就會在資料庫上執行創建幾個觸發器和存儲過程。該病毒會對資料庫創建時間大於1200天的資料庫進行比特幣勒索，不交則進行資料庫數據刪除。

創建的觸發器和過程對象如下：

觸發器：

DBMS_SUPPORT_INTERNAL

DBMS_SYSTEM_INTERNAL

DBMS_CORE_INTERNAL

過程：

DBMS_SUPPORT_INTERNAL

DBMS_SYSTEM_INTERNAL

DBMS_CORE_INTERNAL

DBMS_STANDARD_FUN9

查詢腳本如下：

select *from all_triggers t where t.TRIGGER_NAME in ('DBMS_SUPPORT_INTERNAL', 'DBMS_SYSTEM_INTERNAL', 'DBMS_CORE_INTERNAL');select * from all_procedures t where t.PROCEDURE_NAME in ('DBMS_SUPPORT_INTERNAL', 'DBMS_SYSTEM_INTERNAL', 'DBMS_CORE_INTERNAL', 'DBMS_STANDARD_FUN9');

處理方式：

直接刪除這些觸發器和過程，然後替換掉破解版的PL/SQL developer工具，選擇正版軟體。