騰訊安全:永恆之藍下載器木馬「藍茶」借疫情設圈套,多家企業已中招

2021-01-07 IT168

　　日前，騰訊安全威脅情報中心檢測發現，永恆之藍下載器木馬再度升級，新增郵件蠕蟲傳播能力，木馬在中招用戶機器上運行後，會自動向其通訊錄聯繫人發起二次攻擊，危害極大，目前已有大量知名企業被感染。騰訊安全提醒企業注意防範，及時安裝相關補丁，並啟用安全軟體防禦攻擊，避免重大安全事故發生。

　　據騰訊安全專家介紹，此次檢測到的永恆之藍下載器木馬在執行後會自動查找當前用戶的郵箱通訊錄，並發送以新冠肺炎為主題(「The Truth of COVID-19」)的郵件進行二次傳播，郵件附件文檔名為urgent.doc，其附帶Office高危漏洞CVE-2017-8570的攻擊代碼，一旦用戶不慎打開文檔就會中招，淪為門羅幣挖礦工具，甚至被遠程控制，造成數據洩露。由於該木馬在執行過程中會安裝包含bluetea在內的多個計劃任務，因此被命名為「藍茶」。

　　員工遭遇企業同事郵件蠕蟲攻擊

　　永恆之藍」下載器木馬自出現之後從未停止更新，從最初的PE樣本攻擊，到後來以Powershell無文件攻擊方式躲避查殺，通過安裝多個類型的計劃任務進行持久化；從通過供應鏈攻擊感染機器，到利用」永恆之藍」漏洞、MSSql爆破、$IPC爆破、RDP爆破等方法擴散傳播，其攻擊和傳播方式不斷迭代升級。此次，永恆之藍下載器木馬新增郵件傳播能力，極易造成病毒在同一企業、合作夥伴、供應商之間快速傳播擴散，4月9日，某汽車電子公司遭受企業同事的郵件蠕蟲攻擊。

　　騰訊安全威脅情報中心數據顯示，「藍茶」首次攻擊出現在3月30日，此後攻擊趨勢略有下降，但其攻擊量在4月9日驟然增長。專家分析，郵件蠕蟲傳播能力進一步加大了其傳播擴散風險。目前已有多家企業中招被感染，波及製造業、科技、酒店、物流、金融等10多個行業，其中，以製造業、科技、酒店等行業最嚴重。

　　Bluetea（藍茶）攻擊行業分布

　　騰訊安全專家指出，由於「藍茶」發送的釣魚郵件以當前社會關注度極高的新冠肺炎為主題，導致用戶打開誘餌文檔的可能性較高，一旦中招極易造成企業內的二次傳播。為此，專家提醒企業和個人高度重視、加強防範。個人用戶對不明來源的郵件附件切勿輕易打開，對附件中的文件要格外謹慎運行，如發現有腳本或其他可執行文件可先使用殺毒軟體進行掃描。對於企業服務IT人員，可將公司接收到郵件主題為「The Truth of COVID-19」，附件名為urgent.doc的郵件加入惡意郵件列表進行攔截，防止企業員工因防範疏忽打開惡意附件而中毒。

　　與此同時，對伺服器使用安全的密碼策略，尤其是IPC$、MSSQL、RDP帳號密碼切勿使用弱口令；及時更新Windows系統修復CVE-2017-8570漏洞，也可使用騰訊安全終端安全管理系統或騰訊電腦管家進行漏洞掃描和修復。此外，基於騰訊安全能力、依託騰訊在雲和端的海量數據研發出的獨特威脅情報和惡意檢測模型系統——騰訊安全高級威脅檢測系統，可有效檢測黑客對企業網絡的各種入侵滲透攻擊風險，企業可予以部署，及時發現風險，防患未然。

　　騰訊御點掃描修復漏洞

相關焦點

  • 永恆之藍下載器木馬再度升級,新增「疫情」釣魚郵件傳播能力
    日前，騰訊安全威脅情報中心檢測發現，永恆之藍下載器木馬再度升級，新增郵件蠕蟲傳播能力，木馬在中招用戶機器上運行後，會自動向其通訊錄聯繫人發起二次攻擊，危害極大，目前已有大量知名企業被感染。騰訊安全提醒企業注意防範，及時安裝相關補丁，並啟用安全軟體防禦攻擊，避免重大安全事故發生。
  • 騰訊安全:永恆之藍下載器木馬再添BlueKeep漏洞攻擊,多系統版本均...
    據騰訊安全技術專家介紹,更新後的永恆之藍下載器木馬保留了MS17-010永恆之藍漏洞攻擊、SMB爆破攻擊、sql爆破攻擊等功能,並在攻擊成功的目標機器上植入舊的攻擊模塊ipc.jsp,同時安裝計劃任務執行多個Powershell後門,下載執行新的攻擊模塊if.bin,為後續隨時發動攻擊做足準備。
  • 「永恆之藍」死灰復燃:1.5萬臺伺服器變礦機
    2017年5月，「永恆之藍」席捲全球，有90個國家遭到攻擊，國內教育網是遭到攻擊的重災區，大量校園網用戶成為攻擊目標，致使許多實驗數據及畢業設計被鎖。近日，騰訊安全威脅情報中心檢測到永恆之藍下載器木馬再次出現新變種，此次變種利用Python打包EXE可執行文件進行攻擊，該組織曾在2018年底使用過類似手法。騰訊安全大數據監測數據顯示，永恆之藍下載器最新變種出現之後便迅速傳播，目前已感染約1.5萬臺伺服器，中毒系統最終用於下載運行門羅幣挖礦木馬。
  • 驅動人生系列木馬狼煙再起!以新冠疫情釣魚郵件為掩護大肆傳播
    驅動人生系列木馬狼煙再起！以新冠疫情釣魚郵件為掩護大肆傳播就在全球各國深陷新冠疫情（COVID-19）荼毒之際，不少網絡攻擊者緊跟疫情熱點，或冒充衛生醫療機構，或捏造抗疫要聞，假借釣魚郵件煽風點火，大行網絡攻擊之事。
  • 騰訊安全團隊公布「驅動人生木馬事件」始末:系定向攻擊,已率先查殺
    12月14日下午,騰訊安全御見威脅情報中心監測到一款通過「驅動人生」系列軟體升級通道傳播的木馬突然爆發,僅2個小時受攻擊用戶便高達10萬。騰訊安全團隊第一時間將該病毒疫情對外通報、發布安全預警,並連夜發布詳細的技術分析報告。
  • 「WannaRen」勒索病毒攻擊源曝光,360安全大腦獨家揭秘幕後「匿影」
    在檢測異常的第一時間，360安全大腦率先出擊，首家發現「WannaRen」勒索病毒來源並且關聯到幕後黑客團夥，並首家分析出真正的勒索攻擊代碼。經360安全大腦分析確認，「WannaRen」勒索病毒的作者正是此前借「永恆之藍」漏洞禍亂網絡的「匿影」組織。此次「匿影」組織一改借挖礦木馬牟利的方式，變換思路通過全網投遞「WannaRen」勒索病毒，索要贖金獲利。
  • 騰訊電腦管家推勒索免疫工具應對「永恆之藍」勒索病毒
    騰訊電腦管家推勒索免疫工具應對「永恆之藍」勒索病毒 5 月 12 日，英國、義大利、俄羅斯等全球多個國家爆發勒索病毒攻擊，中國的校園網也未能倖免，部分高校電腦被感染，有學生畢業論文被病毒加密
  • 「驅動人生」木馬2小時感染10萬電腦 騰訊電腦管家已精準查殺
    中新經緯客戶端12月15日電 12月14日下午，騰訊電腦管家監測發現，一款通過「驅動人生」升級通道，並同時利用「永恆之藍」高危漏洞傳播的木馬突然爆發，僅2個小時受攻擊用戶就高達10萬。騰訊電腦管家可精準攔截該病毒攻擊，管家團隊也將持續跟蹤該款病毒並同步相關信息。
  • Win10新漏洞被稱「永恆之黑」 危害不亞於「永恆之藍」
    騰訊安全專家介紹，SMB遠程代碼執行漏洞與「永恆之藍」系列漏洞極為相似，都是利用Windows SMB漏洞遠程攻擊獲取系統最高權限，黑客一旦潛入，可利用針對性的漏洞攻擊工具在內網擴散，綜合風險不亞於永恆之藍，政企用戶應高度重視、謹慎防護。
  • Satan蠕蟲放棄勒索化身「礦工」 騰訊智慧安全提醒用戶謹防中招
    攜帶「永恆之藍」漏洞攻擊工具包、善於Boss反序列化漏洞、JBoss默認配置漏洞等漏洞攻擊，精通中英韓三國語言……作為當前最為活躍的勒索病毒，撒旦整個2018年一次又一次地完成升級改造，廣大網民深受其害。
  • 騰訊手機管家詳解勒索新手段
    目前，國內已有企業受到Petya病毒影響。騰訊電腦管家率先響應，確認病毒樣本通過「永恆之藍」漏洞傳播，並實現對病毒的攔截和查殺。與此同時，騰訊手機管家於近日攔截一款包含勒索病毒的「播放器插件」軟體，偽裝成色情視頻播放軟體，通過群共享連結進行傳播擴散，誘導用戶下載安裝，不僅會彈出勒索界面影響手機的正常使用，還會自動上傳手機中的數據，並向用戶索要贖金。
  • 騰訊安全:勒索和挖礦雙開花!Satan勒索病毒變種來襲
    近日，騰訊安全御見威脅情報中心監測發現Satan勒索病毒變種樣本。據了解，該病毒變種主要針對Windows、Linux系統用戶進行無差別攻擊，然後在中招電腦中植入勒索病毒勒索比特幣和植入挖礦木馬挖礦門羅幣，嚴重威脅用戶個人信息及財產安全。
  • 騰訊電腦管家:病毒團夥借搜尋引擎廣告推裝惡意軟體 數十萬用戶中招
    近日，騰訊安全御見威脅情報中心監測發現，一病毒團夥偽裝成多款知名軟體的官方下載站，藉機傳播病毒下載器。該團夥主要通過購買搜尋引擎廣告來獲取流量，搜索關鍵詞涉及谷歌瀏覽器、flash player等知名軟體。
  • 下載記事本APP中招網貸詐騙?360借條安全專家預警「變臉」木馬
    360借條安全專家：手機裡莫名多了個借貸APP？ 警惕「變臉」木馬在作怪　　近日，市民小吳遇到一件「怪事」，手機下載的記事本應用莫名其妙變成網貸APP。
  • 手機木馬借《刺殺金正恩》肆虐 專偷韓國銀行卡密碼
    近期大火的電影《刺殺金正恩》在線播放及下載已超200萬次，但是總有人沒看成電影還意外踩雷。網友「鼻涕蟲」在手機上安裝了一個電影《刺殺金正恩》的下載器，由於採用電影海報以及韓語名稱，「鼻涕蟲」毫無懷疑地點擊進入APP下載電影，看到手機界面出現一個DIVX文件的下載進度條，便坐等電影下載完畢。「鼻涕蟲」不知道的是，他下載的並不是電影《刺殺金正恩》，而是一個能竊取簡訊、銀行卡號以及密碼的手機木馬。
  • 騰訊電腦管家曝光「外掛幽靈」團夥:借輔助網站傳播「雙槍」、「紫...
    可是，不法黑客從中暗藏「無形殺手」，一旦玩家中招，就落入了不法分子的圈套之中。近日，騰訊智慧安全御見威脅情報中心監測發現，「外掛幽靈」團夥持續活躍，利用七哥輔助網、我愛輔助網等多個遊戲輔助網站傳播「雙槍」、「紫狐」等木馬病毒。
  • 撒旦(Satan)勒索病毒再升級 僅修復「永恆之藍」漏洞已不能防禦
    2個月前，騰訊企業安全曾預警撒旦（Satan）勒索病毒利用「永恆之藍」漏洞襲擊企業伺服器資料庫。在被安全軟體封殺後，撒旦（Satan）勒索病毒賊心不改再次升級，新增4種以上新漏洞攻擊模塊，感染擴散能力更強，對企業資料庫文件安全造成嚴重威脅。
  • 騰訊電腦管家提醒你當心挖礦木馬M...
    這種現象需要當心，你的設備可能被木馬劫持，充當了挖礦「苦力」。近日，騰訊智慧安全御見威脅情報中心發現，一款擁有Windows和安卓雙版本的挖礦木馬MServicesX悄然流行，中毒電腦和手機會運行門羅幣挖礦程序，造成異常發熱乃至設備受損的現象。目前，騰訊電腦管家已可對該病毒進行全面查殺，同時提醒廣大用戶，切勿下載安裝來歷不明的應用程式，手機用戶可開啟騰訊手機管家進行實時安全防護。
  • NSA 「永恆之藍」 勒索蠕蟲全球爆發,已波及 99 個國家 |...
    警告！NSA 「永恆之藍」 勒索蠕蟲全球爆發，已波及 99 個國家據 BBC 等媒體報導，全球多國爆發電腦勒索病毒，受害者電腦會被黑客鎖定，提示支付價值相當於 300 美元（約合人民幣 2069 元）的比特幣才可解鎖。目前已經波及 99 個國家。
  • NSA「永恆之藍」勒索蟎蟲爆發,這裡或許可以幫到你!
    這次的「永恆之藍」勒索蠕蟲，是 NSA 網絡軍火民用化的全球第一例。一個月前，第四批 NSA 相關網絡攻擊工具及文檔被 Shadow Brokers 組織公布，包含了涉及多個 Windows 系統服務（SMB、RDP、IIS）的遠程命令執行工具，其中就包括「永恆之藍」攻擊程序。