「病毒預警」植入「古希臘十二神」元素,Globelmposter勒索病毒新...

2020-12-27 亞信安全

病毒預警

近日，亞信安全截獲Globelmposter勒索病毒最新變種，該勒索病毒首次出現在2017年5月，到目前為止已經更新過多個版本。2018年亞信安全曾經多次發布該病毒預警，在過去的版本中，該病毒曾使用十二生肖英文名+數字的方式命名加密文件後綴（如：Rabbit666、Dragon666）。本次變種與之前不同之處在於加密文件後綴改用古希臘十二神的英文名+數字的方式進行命名（如：Ares666，Hermes666）：

古希臘十二神的英文名：

其傳播方式與以往版本類似，黑客通過入侵企業內網利用RDP/SMB暴力破解在內網擴散，投放此勒索病毒，在進入內網後通過多種方法獲取登錄憑證並在內網橫向滲透傳播。亞信安全將其命名為Ransom.Win32.FAKEGLOBE.MRY。

攻擊流程解析

病毒技術細節分析

病毒首先會提升運行權限。

修改註冊表，添加啟動項以及進行常規的本地持久化操作。

通過調用CMD命令，停止常見的資料庫服務。

避免加密如下文件以及帶有如下擴展名的文件。

遍歷系統上的磁碟，加密磁碟上的文件。

通過刪除註冊表和Windows日誌管理工具的方式進行刪除日誌，卷影和遠程桌面登錄等信息操作。

調用命令刪除自己。

加密完成後，其會生成勒索贖金文件。

亞信安全教你如何防範

不要點擊來源不明的郵件以及附件；及時升級系統，打全系統補丁；儘量關閉不必要的文件共享權限和不必要的埠；採用高強度的密碼，避免使用弱口令密碼，並定期更換密碼；請注意備份重要文檔。備份的最佳做法是採取3-2-1規則，即至少做三個副本，用兩種不同格式保存，並將副本放在異地存儲。

亞信安全產品解決方案

亞信安全病毒碼版本15.225.60 ，雲病毒碼版本15.225.71，全球碼版本15.225.00已經可以檢測，請用戶及時升級病毒碼版本；使用防毒牆網絡版(OfficeScan)開啟針對勒索軟體（Ransomware）的行為阻止策略，可以有效攔截勒索病毒對系統中的文件進行加密，設置如下圖：

IOCs

00c4528a7b949228f6996591e641e899

50d71f705cb590e286cbd910b143c665

1df344f59ef9ca93fa8591498af5f57d

相關焦點

  • Globelmposter勒索病毒預警:從「十二生肖」到「十二主神」,為何...
    I2E中文科技資訊　　病毒名稱:Globelmposter「十二主神」版本I2E中文科技資訊　　病毒性質:勒索病毒I2E中文科技資訊　　影響範圍:目前國內多家醫療機構感染I2E中文科技資訊以上四位均是奧林匹斯十二主神,也就是古希臘宗教中最受崇拜的十二位神。也就是目前已經出現了四個以奧林匹斯十二主神名字+666的加密後綴版本,深信服將此Globelmposter勒索病毒變種命名為Globelmposter「十二主神」版本,相信後續會不斷出現其他以希臘主神命名的新加密後綴。I2E中文科技資訊
  • GlobeImposter勒索病毒家族又爆全新變種,深信服安全專家支招
    奧林匹斯十二主神是古希臘中最受崇拜的十二位神，今年7月深信服率先披露了GlobeImposter勒索病毒的「十二主神」變種。勒索病毒「十二主神」2.0版本。 GlobeImposter勒索病毒危害多行業，醫療行業佔到47.4% 一直以來，國內各行業飽受Globelmposter勒索病毒的侵害,涉及行業有醫療、政府、能源、貿易等，其中，對醫療行業危害最大。
  • 加強版GlobeImposter勒索病毒來襲 這樣防範
    近日，亞信安全網絡監測實驗室監測到大量GlobeImposter勒索病毒在我國傳播，此次勒索病毒變種繁多，被加密後的文件擴展名也各不相同，包括.crypted!、.doc和.TRUE等。GlobeImposter勒索病毒主要是通過垃圾郵件進行傳播，與以往不同的是，此次變種會通過郵件來告知受害者付款方式，勒索贖金從1到10比特幣不等。
  • 「「淨網2019」友情提示」勒索軟體GlobeImposter3.0預警
    勒索軟體GlobeImposter3.0於近日再次爆發，國內多所醫院遭受感染，這已經不是該勒索軟體第一次感染醫院了，在2018年2月時，GlobeImposter2.0就已經在國內感染過多所醫院。勒索軟體GlobeImposter3.0嘗試感染系統中的文件。2 防護建議1. 及時備份重要文件，且文件備份應與主機隔離；2.
  • 瑞星提醒:勒索病毒GlobeImposter最新變種在國內大範圍傳播
    早在去年10月份，瑞星便發出GlobeImposter勒索病毒變種預警，呼籲用戶及時做好防禦措施。 近日，勒索病毒GlobeImposter最新變種在國內大範圍傳播，包括很多醫院在內的機構遭受了攻擊。早在去年10月份，瑞星便發出GlobeImposter勒索病毒變種預警，呼籲用戶及時做好防禦措施。
  • 緊急預警!國內多家大型企業遭遇GlobeImposter勒索病毒變種襲擊
    8月26日，騰訊智慧安全御見威脅情報中心監測，發現國內多省多家大型企業遭遇GlobeImposter勒索病毒攻擊。不法黑客入侵企業內網，利用RDP/SMB暴力破解在內網擴散，投放GlobeImposter勒索病毒，導致系統破壞，影響正常工作秩序。
  • 2019:勒索病毒事件大盤點
    網絡攻擊千千萬，勒索病毒佔一半。今天我們就來盤一盤，2019年那些令人窒息的勒索病毒攻擊。GlobeImposter勒索病毒談起2019的勒索病毒，就必須要提到GlobeImposter。該勒索病毒又稱「十二生肖」病毒，因為它攻入計算機內部後，會以「十二生肖英文名+4444」的文件後綴，對文件進行加密。
  • 避免病毒帶來的「情緒勒索」我們需要知道5件事!
    （圖／shutterstock）這場疫情似乎已快磨光人性，世界媒體成天疲勞轟炸、醫護人員體力不堪負荷、各地工廠紛紛關門…，我們需要打起十二萬分的精神對抗病毒，也要抵禦「它」帶來的情緒勒索。面對病毒侵襲，我們需要更有智慧地打這場長期抗戰。她分享5個解決因病毒帶來的負面情緒的方式。我們需要知道5件事，就可以避免陷入病毒帶來的情緒勒索中：1. 立刻定睛仰望耶穌阿曼達分享，對抗「肉眼看不見的病毒」，最有效的方法就是禁食禱告。
  • 「網警提醒」請注意防範GlobeImposter勒索病毒!
    近年來，勒索病毒肆意在全球範圍內造成了巨大損失給網絡安全帶來嚴重威脅近期國家網絡與信息安全信息通報中心監測發現新型變種勒索病毒GlobeImposter攻擊我國政府部門和醫院等公立機構導致受感染系統無法正常運行
  • 「我被勒索了」——Buran病毒
    Buran病毒植入警告（圖片來自網絡） 小白：這個道理我也會呀！ 電腦植入勒索病毒（圖片來自網絡） 小白：有這麼誇張的嘛？
  • 360安全中心:勒索病毒GlobeImposter恐全面爆發
    中新網8月23日電 360網際網路安全中心發布緊急高危預警：自2018年8月21日起，多地發生GlobeImposter勒索病毒事件，此次攻擊目標主要是開始遠程桌面服務的伺服器，攻擊者通過暴力破解伺服器密碼，對內網伺服器發起掃描並人工投放勒索病毒，導致文件被加密。
  • 國內首個比特幣勒索病毒製作者落網 涉案數百起
    近日，據江蘇省南通市當地警方通報，在「淨網 2020」行動中，成功偵破一起由公安部督辦的特大製作、使用勒索病毒破壞計算機信息系統從而實施網絡敲詐勒索的案件。 這是全國公安機關抓獲的首名比特幣勒索病毒的製作者。
  • GlobeImposter勒索病毒偷襲兒童醫院 安全專家支招防禦
    據悉，該院多臺伺服器感染GlobeImposter勒索病毒，資料庫文件被病毒加密，只有支付比特幣贖金才能恢復文件。醫院信息系統因此而無法正常使用，取號、辦卡、掛號、收費等業務受到影響。儘管醫院快速啟動應急預案恢復了接診，但系統仍未完全恢復。
  • WannaCry爆發兩周年,會有下一個「網紅級勒索病毒」出現嗎?
    WannaCry之後，勒索病毒開始全面進入大眾的視野。之後，安全軟體與勒索病毒的技術對抗不斷升級，勒索病毒的攻擊也日益呈現出技術手段更成熟，攻擊目標更精準，產業分工更具體的特性。回顧勒索病毒的發展史，分析2018年至今的勒索病毒感染數據，了解勒索病毒的攻擊特點和發展趨勢，有助於政企單位加強對勒索病毒的認知和防禦，將其危害控制到最低。
  • 2018勒索病毒全面分析報告
    圖：BadRabbit勒索病毒3、GlobeImposter家族：變種眾多持續更新GlobeImposter勒索病毒是一種比較活躍的勒索病毒，病毒會加密本地磁碟與共享文件夾的所有文件，導致系統、資料庫文件被加密破壞，由於Globelmposter採用RSA算法加密，因此想要解密文件需要作者的RSA私鑰，文件加密後幾乎無法解密
  • GlobeImposter勒索病毒偷襲醫院 360推出「遠程登錄保護」功能
    ，2月23日，湖北某醫院系統被植入勒索病毒，醫院系統癱瘓，黑客要求支付價值約30萬元人民幣的比特幣才能恢復正常。勒索病毒興風作浪 重點攻擊企業伺服器據了解，湖南某醫院多臺伺服器所感染的病毒名為GlobeImposter勒索病毒，感染該病毒後，導致資料庫文件被加密，醫院信息系統無法正常使用，取號、辦卡、掛號、收費等業務受到病毒影響，只有支付比特幣贖金才能恢復數據文件。
  • 「預警」勒索病毒Ouroboros開學來襲,持續更新惹人關注
    隨著深入的分析,安全專家發現了黑客使用的FTP伺服器,伺服器上還存有Ouroboros勒索病毒變種文件,安全專家推測該勒索病毒目前正處在持續更新中,亞信安全將會持續關注該勒索病毒的動態。勒索病毒Ouroboros詳細分析安全專家分析發現,該勒索病毒源文件並未加殼:使用IDA打開此文件,加載符號文件時發現病毒作者編譯程序留下的符號文件位置,以此確定此勒索病毒為Ouroboros:初步分析,該勒索病毒中有大量的反調試函數
  • 騰訊安全發布《2020上半年勒索病毒報告》 政企機構仍是勒索「頭號...
    《報告》顯示，上半年全球大型企業遭受勒索病毒打擊的事件依然高頻發生。其中，最活躍的勒索病毒家族發起針對性極強的大型「狩獵」活動，對企業開出天價解密贖金；新型勒索病毒層出不窮，技術上不斷進化。而勒索手段也從單純的贖金換密鑰，升級到不給贖金就公開機密數據。騰訊安全也提供從威脅情報到安全產品的整體防護解決方案，協助企業抵禦勒索病毒攻擊。
  • 安全預警!假冒GlobeImposter勒索病毒攜WinRAR突襲 偽裝背後暗藏...
    近日，騰訊安全御見威脅情報中心監測發現了一款利用WinRAR加密壓縮用戶文件假冒GlobeImposter的勒索病毒。該「勒索病毒」疑似通過SQL Server爆破攻擊，之後通過網絡下載攻擊代碼（含WinRAR加密模塊），將用戶數據文件使用WinRAR加密壓縮；隨後，攻擊者將再盜用GlobeImposter勒索病毒的勒索消息內容，冒充GlobeImposter勒索病毒恐嚇用戶，索取酬金。
  • 2020上半年勒索病毒報告:勒索手段升級 不交贖金就公開數據
    近日，騰訊安全正式對外發布《2020上半年勒索病毒報告》（以下簡稱「報告」）。《報告》顯示，上半年全球大型企業遭受勒索病毒打擊的事件依然高頻發生。其中，最活躍的勒索病毒家族發起針對性極強的大型「狩獵」活動，對企業開出天價解密贖金；新型勒索病毒層出不窮，技術上不斷進化。