一、認清事實 · 勿抱幻想
說起勒索病毒,近年來最為人所熟知的要數(shù)2017年爆發(fā)的WannaCry,其以一己之力引發(fā)了席卷全球的大騷亂——波及150多個國家,超30萬名用戶中招,累計損失逾80億美金,并在醫(yī)療、金融、能源等關(guān)系國計民生的重要行業(yè)制造了一系列嚴重危機事件……
今天,距離大魔王WannaCry風波平息已過去兩年多的時間,但安全仍未占據(jù)主動!如果你已經(jīng)開始忘記勒索病毒曾經(jīng)秀過的肌肉,安華金和在此給予友情提醒:相關(guān)數(shù)據(jù)顯示,我國2018全年共監(jiān)測到超430萬臺計算機遭受勒索病毒攻擊,平均每天約1.2萬臺。其中,企業(yè)成為勒索病毒最為熱衷的攻擊對象——在全球十大流行勒索病毒家族中,有九個都涉及企業(yè)攻擊。
僅2019年上半年,GlobeImposter、Scaletto、GrandCrab、Gorgon、Satan等一系列新面孔和升級、變種后的老對手先后登場,不斷運用各種“加密數(shù)據(jù)”的方式刷新存在感,背后目的則大多只有一個——贖金。勒索病毒攻擊能夠?qū)覍业檬郑科涓词抢昧耸芎τ脩魧Α皝G失數(shù)據(jù)”的深深恐懼而寄希望于通過支付贖金“恢復數(shù)據(jù)”的想法。
然而,過往的經(jīng)驗以及殘酷的事實不斷證明著,即便交了贖金也很可能拿不回數(shù)據(jù)——因為大多數(shù)攻擊者為了減少攻擊時間,從一開始便會直接將原始數(shù)據(jù)刪除;即便原始數(shù)據(jù)未被刪除,也可能受攻擊者“低質(zhì)量”的加密程序影響,使得數(shù)據(jù)在解密后也無法復原和使用。唯一能夠肯定的是,交贖金會助長不法分子的囂張氣焰,以致勒索病毒攻擊變本加厲、愈演愈烈。
二、專業(yè)團隊 · 技高一籌
不久前,安華金和接到客戶急電,對方表示公司OA系統(tǒng)突發(fā)故障、無法正常運行,數(shù)據(jù)庫也無法打開,疑似感染勒索病毒;同時,希望安華金和能夠提供人員、技術(shù)支持,盡快解決問題,以降低此次安全事件對其業(yè)務系統(tǒng)的影響,避免造成進一步損失。
安華金和在接到客戶需求后的第一時間,安排數(shù)據(jù)安全專家在經(jīng)過授權(quán)許可后遠程接入客戶網(wǎng)絡。經(jīng)過問題排查,安華金和發(fā)現(xiàn)在用戶使用的SQL Server2008R2數(shù)據(jù)庫服務器上含有如下圖中的提示信息,大意為:你的工作和私人文件已被加密,不要嘗試自己恢復數(shù)據(jù),那會讓你的數(shù)據(jù)被毀掉!只有(向我們)購買特殊的密鑰才能夠解密...
檢查數(shù)據(jù)庫文件后發(fā)現(xiàn)確如“警告”所言——文件后綴已被修改為“.YOUR_LAST_CHANCE”(你最后的機會)。
根據(jù)病毒特征,安華金和判定用戶感染了文件型勒索病毒firex3m的變種,屬于操作系統(tǒng)層勒索病毒,其最大特征就是受感染文件在被惡意加密后,文件后綴會變?yōu)椤?YOUR_LAST_CHANCE”。通常情況下,該病毒會在操作系統(tǒng)層對主機中的各類數(shù)據(jù)文件進行加密,使用戶無法正常訪問數(shù)據(jù),繼而實施敲詐勒索。
確認敵情后,安華金和憑借豐富的數(shù)據(jù)安全經(jīng)驗以及對勒索病毒的深入研究,結(jié)合客戶實際情況,迅速制定了應對策略:
1、對受攻擊主機做物理隔離,防止勒索病毒擴散;
2、對其它業(yè)務機器殺毒,防止勒索病毒隱匿其中;
3、征得同意后提取小部分樣本數(shù)據(jù)用于病毒分析;
4、分析勒索病毒的攻擊方式和加密方法;
5、根據(jù)分析結(jié)果制定解密程序;
6、在實驗環(huán)境下驗證解密效果;
7、客戶認可解密效果后,開始正式解密數(shù)據(jù)。
通過上述方法,安華金和成功幫助用戶完全恢復了被勒索病毒加密的數(shù)據(jù),使其業(yè)務系統(tǒng)再次正常運行,從而粉碎了不法分子利用勒索病毒攻擊謀取不義之財?shù)谋氨善髨D,也用實力和結(jié)果證明——面對勒索病毒攻擊,用戶還有其他選擇和機會!
(解密后數(shù)據(jù)已做遮蔽處理)
三、實用建議 · 防微杜漸
想要有效防范勒索病毒攻擊,應加強對業(yè)務系統(tǒng)的日常安全防護工作,不斷提高自身抵御風險的能力,基本流程與建議如下:
1、及時更新軟件補丁
無論是操作系統(tǒng)、數(shù)據(jù)庫還是前端應用,軟件廠商都會定期發(fā)布更新補丁,從而修復已知的軟件漏洞。因此,及時進行軟件升級是保證數(shù)據(jù)安全的基本手段。
2、避免使用破解軟件
破解軟件、綠色軟件雖然“方便好用”,卻也可能攜帶安全風險——部分勒索病毒就是通過破解軟件進行傳播的。為了保證數(shù)據(jù)安全,應盡量避免使用此類軟件。
3、請勿點擊陌生郵件
勒索病毒常見的傳播途徑包括利用電子郵件、網(wǎng)頁掛馬等方式。因此,面對陌生郵件、陌生網(wǎng)址時,如果不能確定其安全性,請勿隨意點擊。
4、建議關(guān)閉無用端口
諸如135、137、138、139、445等端口常被勒索病毒利用,以發(fā)起對業(yè)務系統(tǒng)的攻擊;酌情將此類端口關(guān)閉,可減少業(yè)務系統(tǒng)潛在的安全隱患。
5、制定安全應急預案
事先制定詳細、具體的應急安全預案,作為處理數(shù)據(jù)安全問題的操作指南,用以在勒索病毒攻擊發(fā)生時迅速采取應對措施。
6、定期數(shù)據(jù)安全演練
制定應急安全預案后,還需定期進行演練,持續(xù)加強相關(guān)人員的數(shù)據(jù)安全意識并提升應對能力,從而更好的保障業(yè)務系統(tǒng)安全。
7、聯(lián)系數(shù)據(jù)安全專家
發(fā)現(xiàn)勒索病毒攻擊后切勿慌亂,請及時聯(lián)系安華金和,我們將提供數(shù)據(jù)安全專業(yè)服務,協(xié)助客戶解密數(shù)據(jù)庫文件,共同解決相關(guān)安全問題。
向勒索病毒攻擊低頭絕不是最后的機會,請做正確選擇!成立十年來,安華金和始終專注數(shù)據(jù)安全領域,致力為廣大用戶提供專業(yè)、高效、可靠的數(shù)據(jù)安全產(chǎn)品和服務。隨著勒索病毒攻擊日益猖獗,安華金和將全力協(xié)助客戶構(gòu)建多層次、立體化的數(shù)據(jù)安全防護體系,避免用戶遭受數(shù)據(jù)資產(chǎn)及相關(guān)經(jīng)濟損失,讓數(shù)據(jù)使用更安全。