一、認(rèn)清事實(shí) · 勿抱幻想
說起勒索病毒,近年來最為人所熟知的要數(shù)2017年爆發(fā)的WannaCry,其以一己之力引發(fā)了席卷全球的大騷亂——波及150多個國家,超30萬名用戶中招,累計(jì)損失逾80億美金,并在醫(yī)療、金融、能源等關(guān)系國計(jì)民生的重要行業(yè)制造了一系列嚴(yán)重危機(jī)事件……
今天,距離大魔王WannaCry風(fēng)波平息已過去兩年多的時間,但安全仍未占據(jù)主動!如果你已經(jīng)開始忘記勒索病毒曾經(jīng)秀過的肌肉,安華金和在此給予友情提醒:相關(guān)數(shù)據(jù)顯示,我國2018全年共監(jiān)測到超430萬臺計(jì)算機(jī)遭受勒索病毒攻擊,平均每天約1.2萬臺。其中,企業(yè)成為勒索病毒最為熱衷的攻擊對象——在全球十大流行勒索病毒家族中,有九個都涉及企業(yè)攻擊。
僅2019年上半年,GlobeImposter、Scaletto、GrandCrab、Gorgon、Satan等一系列新面孔和升級、變種后的老對手先后登場,不斷運(yùn)用各種“加密數(shù)據(jù)”的方式刷新存在感,背后目的則大多只有一個——贖金。勒索病毒攻擊能夠?qū)覍业檬?,究其根源是利用了受害用戶對“丟失數(shù)據(jù)”的深深恐懼而寄希望于通過支付贖金“恢復(fù)數(shù)據(jù)”的想法。
然而,過往的經(jīng)驗(yàn)以及殘酷的事實(shí)不斷證明著,即便交了贖金也很可能拿不回?cái)?shù)據(jù)——因?yàn)榇蠖鄶?shù)攻擊者為了減少攻擊時間,從一開始便會直接將原始數(shù)據(jù)刪除;即便原始數(shù)據(jù)未被刪除,也可能受攻擊者“低質(zhì)量”的加密程序影響,使得數(shù)據(jù)在解密后也無法復(fù)原和使用。唯一能夠肯定的是,交贖金會助長不法分子的囂張氣焰,以致勒索病毒攻擊變本加厲、愈演愈烈。
二、專業(yè)團(tuán)隊(duì) · 技高一籌
不久前,安華金和接到客戶急電,對方表示公司OA系統(tǒng)突發(fā)故障、無法正常運(yùn)行,數(shù)據(jù)庫也無法打開,疑似感染勒索病毒;同時,希望安華金和能夠提供人員、技術(shù)支持,盡快解決問題,以降低此次安全事件對其業(yè)務(wù)系統(tǒng)的影響,避免造成進(jìn)一步損失。
安華金和在接到客戶需求后的第一時間,安排數(shù)據(jù)安全專家在經(jīng)過授權(quán)許可后遠(yuǎn)程接入客戶網(wǎng)絡(luò)。經(jīng)過問題排查,安華金和發(fā)現(xiàn)在用戶使用的SQL Server2008R2數(shù)據(jù)庫服務(wù)器上含有如下圖中的提示信息,大意為:你的工作和私人文件已被加密,不要嘗試自己恢復(fù)數(shù)據(jù),那會讓你的數(shù)據(jù)被毀掉!只有(向我們)購買特殊的密鑰才能夠解密...
檢查數(shù)據(jù)庫文件后發(fā)現(xiàn)確如“警告”所言——文件后綴已被修改為“.YOUR_LAST_CHANCE”(你最后的機(jī)會)。
根據(jù)病毒特征,安華金和判定用戶感染了文件型勒索病毒firex3m的變種,屬于操作系統(tǒng)層勒索病毒,其最大特征就是受感染文件在被惡意加密后,文件后綴會變?yōu)椤?YOUR_LAST_CHANCE”。通常情況下,該病毒會在操作系統(tǒng)層對主機(jī)中的各類數(shù)據(jù)文件進(jìn)行加密,使用戶無法正常訪問數(shù)據(jù),繼而實(shí)施敲詐勒索。
確認(rèn)敵情后,安華金和憑借豐富的數(shù)據(jù)安全經(jīng)驗(yàn)以及對勒索病毒的深入研究,結(jié)合客戶實(shí)際情況,迅速制定了應(yīng)對策略:
1、對受攻擊主機(jī)做物理隔離,防止勒索病毒擴(kuò)散;
2、對其它業(yè)務(wù)機(jī)器殺毒,防止勒索病毒隱匿其中;
3、征得同意后提取小部分樣本數(shù)據(jù)用于病毒分析;
4、分析勒索病毒的攻擊方式和加密方法;
5、根據(jù)分析結(jié)果制定解密程序;
6、在實(shí)驗(yàn)環(huán)境下驗(yàn)證解密效果;
7、客戶認(rèn)可解密效果后,開始正式解密數(shù)據(jù)。
通過上述方法,安華金和成功幫助用戶完全恢復(fù)了被勒索病毒加密的數(shù)據(jù),使其業(yè)務(wù)系統(tǒng)再次正常運(yùn)行,從而粉碎了不法分子利用勒索病毒攻擊謀取不義之財(cái)?shù)谋氨善髨D,也用實(shí)力和結(jié)果證明——面對勒索病毒攻擊,用戶還有其他選擇和機(jī)會!
(解密后數(shù)據(jù)已做遮蔽處理)
三、實(shí)用建議 · 防微杜漸
想要有效防范勒索病毒攻擊,應(yīng)加強(qiáng)對業(yè)務(wù)系統(tǒng)的日常安全防護(hù)工作,不斷提高自身抵御風(fēng)險的能力,基本流程與建議如下:
1、及時更新軟件補(bǔ)丁
無論是操作系統(tǒng)、數(shù)據(jù)庫還是前端應(yīng)用,軟件廠商都會定期發(fā)布更新補(bǔ)丁,從而修復(fù)已知的軟件漏洞。因此,及時進(jìn)行軟件升級是保證數(shù)據(jù)安全的基本手段。
2、避免使用破解軟件
破解軟件、綠色軟件雖然“方便好用”,卻也可能攜帶安全風(fēng)險——部分勒索病毒就是通過破解軟件進(jìn)行傳播的。為了保證數(shù)據(jù)安全,應(yīng)盡量避免使用此類軟件。
3、請勿點(diǎn)擊陌生郵件
勒索病毒常見的傳播途徑包括利用電子郵件、網(wǎng)頁掛馬等方式。因此,面對陌生郵件、陌生網(wǎng)址時,如果不能確定其安全性,請勿隨意點(diǎn)擊。
4、建議關(guān)閉無用端口
諸如135、137、138、139、445等端口常被勒索病毒利用,以發(fā)起對業(yè)務(wù)系統(tǒng)的攻擊;酌情將此類端口關(guān)閉,可減少業(yè)務(wù)系統(tǒng)潛在的安全隱患。
5、制定安全應(yīng)急預(yù)案
事先制定詳細(xì)、具體的應(yīng)急安全預(yù)案,作為處理數(shù)據(jù)安全問題的操作指南,用以在勒索病毒攻擊發(fā)生時迅速采取應(yīng)對措施。
6、定期數(shù)據(jù)安全演練
制定應(yīng)急安全預(yù)案后,還需定期進(jìn)行演練,持續(xù)加強(qiáng)相關(guān)人員的數(shù)據(jù)安全意識并提升應(yīng)對能力,從而更好的保障業(yè)務(wù)系統(tǒng)安全。
7、聯(lián)系數(shù)據(jù)安全專家
發(fā)現(xiàn)勒索病毒攻擊后切勿慌亂,請及時聯(lián)系安華金和,我們將提供數(shù)據(jù)安全專業(yè)服務(wù),協(xié)助客戶解密數(shù)據(jù)庫文件,共同解決相關(guān)安全問題。
向勒索病毒攻擊低頭絕不是最后的機(jī)會,請做正確選擇!成立十年來,安華金和始終專注數(shù)據(jù)安全領(lǐng)域,致力為廣大用戶提供專業(yè)、高效、可靠的數(shù)據(jù)安全產(chǎn)品和服務(wù)。隨著勒索病毒攻擊日益猖獗,安華金和將全力協(xié)助客戶構(gòu)建多層次、立體化的數(shù)據(jù)安全防護(hù)體系,避免用戶遭受數(shù)據(jù)資產(chǎn)及相關(guān)經(jīng)濟(jì)損失,讓數(shù)據(jù)使用更安全。
電力數(shù)據(jù)安全的暴露面與針對性防護(hù)思路
CHIMA 2021 | 安華金和解讀醫(yī)療數(shù)據(jù)安全
直播|科學(xué)城·云推介:新技術(shù)+新產(chǎn)品+新服務(wù)
ISC 2021:安華金和深度參與,共建合作生態(tài)、共謀行業(yè)發(fā)展!
視頻回放 | 安華金和攜手愛數(shù)重磅發(fā)布副本數(shù)據(jù)脫敏方案
安華金和數(shù)據(jù)庫安全實(shí)驗(yàn)室再次發(fā)現(xiàn)Oracle數(shù)據(jù)庫重大漏洞