GlobeImposter3.0變種勒索病毒再次肆虐全國各醫(yī)院

-3-GlobeImposter3.0變種勒索病毒再次肆虐全國各醫(yī)院GlobeImposter3.0勒索軟件是GlobeImposter的一個新的變種，該病毒雖然對詳細(xì)行業(yè)并沒有針對性，但發(fā)覺患病攻擊的是醫(yī)院用戶。病毒分析

GlobeImposter3.0勒索軟件是GlobeImposter的一個新的變種，該病毒雖然對詳細(xì)行業(yè)并沒有針對性，但發(fā)覺患病攻擊的是醫(yī)院用戶。該勒索軟件利用暴力破解植入，主要針對開啟Windows遠(yuǎn)程桌面的服務(wù)器。勒索軟件運(yùn)行后，會加密磁盤空間中除Windows名目下和.****4444后綴外的全部可執(zhí)行文件、文本文件、圖片文件、文檔文件、數(shù)據(jù)庫文件、Windows快捷方式等，導(dǎo)致關(guān)鍵數(shù)據(jù)或程序無法訪問，從而導(dǎo)致業(yè)務(wù)系統(tǒng)癱瘓。

不良影響

該勒索軟件執(zhí)行后會對帶有如下類型文件進(jìn)行加密，包含：音頻、視頻、數(shù)據(jù)庫、文本加密后的文件名在原文件名稱上增加.****4444后綴，如Rat4444、Tiger4444、Snake4444、Monkey4444、Dog4444等，因此也被稱為"生肖'勒索軟件。

由于GlobeImposter使用RSA2048算法加密，當(dāng)前尚無有效的方案還原加密后的數(shù)據(jù)。

解決方案

對于感染主機(jī)直接拔除網(wǎng)線，斷開網(wǎng)絡(luò)連接

由于采納非對稱的加密算法，用戶患病攻擊后，一般狀況下，很難恢復(fù)數(shù)據(jù)，但部分勒索軟件因軟件實(shí)現(xiàn)規(guī)律問題，有肯定還原機(jī)率。為了對抗勒索軟件，眾多殺軟公司聯(lián)合推出的解密工具：http://./，可以破解部分勒索軟件病毒家族，用戶可以進(jìn)行嘗試還原。

對于尚未患病攻擊的用戶，請使用如下建議進(jìn)行操作

勒索軟件采納弱口令爆破，利用3389端口遠(yuǎn)程登錄，植入病毒。

建議關(guān)閉主機(jī)RDP協(xié)議（會影響遠(yuǎn)程桌面功能）并在防火墻及交換機(jī)對445、3389、135、139等端口進(jìn)行封堵，防止集中。

不點(diǎn)擊來源不明的郵件以及附件,尤其是如下擴(kuò)展名的附件:.js，.vbs，.exe，.scr，.bat等，附件中可能包含密碼抓取工具或病毒。

平安加固防護(hù)

更改默認(rèn)Administrator管理帳戶密碼，禁用GUEST來賓帳戶；

更改為簡單密碼，由字母大小寫，數(shù)字及特別符號組合的密碼，不低于10位字符；不要使用電話號碼，工號等純數(shù)字作為賬號密碼。

設(shè)置帳戶鎖定策略，在輸入5次密碼錯誤后禁止登錄；

準(zhǔn)時更新Windows補(bǔ)丁，安裝殺毒軟件，設(shè)置退出或更改需要密碼，防止進(jìn)入關(guān)閉殺毒軟件；

定期進(jìn)行數(shù)據(jù)備份，假如是云服務(wù)器，肯定要做好快照。

華為平安設(shè)備防護(hù)建議

對于已購買USG系列下一代防火墻、FireHunter6000系列沙箱、IPS的用戶，將檢測引擎和病毒庫更新至最新版本。部署華為USG防火墻及沙箱FireHunter6000組合可對勒索病毒進(jìn)行有效防護(hù)：

部署防火墻，阻斷勒索病毒投遞前的偵測行為，如：爆破、漏洞利用；

部署支持"誘捕'特性的交換機(jī)和防火墻，誘導(dǎo)勒索病毒入侵仿真業(yè)務(wù)并捕獲其入侵行為，降低真實(shí)系統(tǒng)被攻擊的概率，最大限度削減損失；

部署沙箱設(shè)備，檢測郵件中的文件，防火墻可將流量還