当前位置: 3522葡京集团 >> 安全专栏 >> 正文
安全专栏
关于防范GlobeImposter3.0勒索病毒攻击的紧急预警通报
来源: 时间:2019年03月12日 10:53 点击数:

接上级单位通报,近日国内多家单位遭受GlobeImposter3.0勒索病毒攻击,导致相关业务文件被加密,对业务的连续性造成严重影响。通过对本次勒索攻击事件的分析,发现病毒程序通过破解服务器远程桌面端口服务口令后进行渗透,并释放勒索恶意代码,具有极强的破坏性及针对性。

一、漏洞情况分析

Globelmposter3.0勒索病毒程序用自带的密码本破解服务器远程桌面3389端口服务的口令,破解后实现自动登录并把病毒体拷贝到服务器上运行,运行后先将本地文档加密勒索,后把本机作为跳板,扫描内网开放的3389服务,继续感染内网服务器。

二、漏洞危害

Globelmposter 3.0采用RSA2048算法加密,目前该勒索样本加密的文件暂无解密工具,文件被加密后会被加上*4444系列后缀。在被加密的目录下会生成一个名为”HOW_TO_BACK_FILES”的txt文件,显示受害者的个人ID序列号以及黑客的联系方式等,被不法分子用于勒索活动。

三、应对措施

(一)隔离感染主机

迅速隔离中毒主机,关闭所有网络连接并禁用网卡,紧急情况下可直接拔网线断网。

(二)切断传播途径

1.Globelmposter勒索病毒之前的变种会利用远程桌面协议,如果业务上无需使用远程桌面协议,建议将其关闭。当出现此类事件时,使用防火墙等安全保护技术措施对3389等端口进行封堵,防止病毒扩散。

2.网信办已在学校网络边界位置通过防火墙等建立访问控制策略,封堵入站的3389、445等端口,防止来自其他单位的攻击。

(三)开展安全加固

1.服务器、终端防护,所有服务器、终端应强行实施复杂密码策略,杜绝弱口令;禁用通用密码管理所有设备;安装杀毒App、终端安全管理App并及时更新病毒库;及时安装漏洞补丁;服务器开启关键日志收集功能,为安全事件的追踪溯源提供基础。

2.对应用系统进行安全渗透测试与加固,保障应用系统自身安全可控;对业务系统及数据及时进行备份,并验证备份系统及备份数据的可用性;建立安全灾备预案,一但核心系统遭受攻击,需要确保备份业务系统可以马上启用,同时,做好备份系统与主系统的安全隔离工作,避免主系统和备份系统同时被攻击,影响业务连续性。

网信办

2019年3月11日

Copyright?2016  3522葡京集团3522葡京集团
 版权所有

电脑版
XML 地图 | Sitemap 地图