HRM勒索病毒新變種來襲 騰訊智慧安全支招“解密”

隨著網(wǎng)絡(luò)安全教育的不斷普及，大眾的防護意識也在逐步加強。但勒索病毒的攻擊技術(shù)也在頻繁迭代，偽裝及隱藏方式也變得更加多樣化且越發(fā)隱蔽，讓人難以輕易地察覺。近日，騰訊智慧安全御見威脅情報中心收到多起勒索病毒求助，通過觀察受害者機器感染現(xiàn)場，發(fā)現(xiàn)均為HRM勒索病毒家族所為。該家族擅長使用釣魚郵件，RDP(遠程桌面管理)爆破等方式進行傳播，使用RSA+AES的加密方式，在沒有拿到病毒作者手中私鑰的情況下，用戶文件將無法解密，由此帶來的損失可想而知。

　　(圖：HRM勒索病毒母體偽裝PDF文檔)

其實，HRM勒索病毒在2017年11月首次出現(xiàn)，因?qū)用芪募瓿珊笤谖募筇砑?HRM擴展后綴，并且會收到來自敲詐者的提示信息，因而將其命名為HRM勒索病毒。值得一提的是，該家族能避開dll、lnk、hrmlog、ini、exe等擴展名不做加密，剩余的文件皆會被加密。

據(jù)安全專家介紹，該病毒家族采用的傳播方式隱蔽性極強，病毒母體會偽裝成PDF文檔，加殼壓縮且脫殼后有大量代碼混淆，以此達到隱藏自身的目的。在此次攻擊中，HRM勒索病毒還具備以下幾個顯著特征：首先排除Windows、AhnLab、Chrome、Mozilla、$Recycle.bin等目錄;其次檢查文件是否已經(jīng)被加密，避免重復(fù)加密文件;然后會加密網(wǎng)絡(luò)共享目錄下的文件;以及刪除卷影信息，刪除備份相關(guān)文件;最后在桌面打開勒索HTML文檔，展示勒索信息。有趣的是，該病毒內(nèi)還通過查詢注冊表避開俄羅斯、烏克蘭、比利時等國家。

由于該病毒變種采用RDP(遠程桌面管理)攻擊方式，在攻擊者入侵了一個企業(yè)網(wǎng)絡(luò)的遠程桌面協(xié)議(RDP)端口后，可以利用暴力破解攻擊輕而易舉地滲透進目標網(wǎng)絡(luò)，并向特定位置上傳勒索軟件。目前，各類勒索病毒通過入侵RDP來實現(xiàn)勒索軟件攻擊的比例越來越大，因此用戶需要意識到該漏洞的重要性。

為避免此類攻擊事件再次發(fā)生，騰訊安全反病毒實驗室負責人、騰訊電腦管家安全專家馬勁松提醒廣大企業(yè)網(wǎng)管，建議修改管理后臺默認頁面路徑，設(shè)置白名單限制登錄，修改弱口令密碼，避免服務(wù)運行高權(quán)限;盡量關(guān)閉445、135，139等不必要的端口，對3389，5900端口可進行白名單配置;采用高強度的密碼，避免使用弱口令密碼，并定期更換密碼。建議服務(wù)器密碼使用高強度且無規(guī)律密碼，并且強制要求每個服務(wù)器使用不同密碼管理。

　　(圖：騰訊企業(yè)級安全產(chǎn)品御點終端安全管理系統(tǒng))

同時，馬勁松建議終端以及服務(wù)器部署專業(yè)安全防護軟件，例如在Web服務(wù)器部署騰訊云等具備專業(yè)安全防護能力的云服務(wù)，全面增強企業(yè)網(wǎng)絡(luò)抵御攻擊威脅的能力，以及在全網(wǎng)安裝御點終端安全管理系統(tǒng)。御點終端安全管理系統(tǒng)具備終端殺毒統(tǒng)一管控、修復(fù)漏洞統(tǒng)一管控，以及策略管控等全方位的安全管理功能，可幫助企業(yè)管理者全面了解、管理企業(yè)內(nèi)網(wǎng)安全狀況、保護企業(yè)安全。

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。