云服务器

帮助中心 >  产品文档 >  云服务器 >  服务器教程 >  勒索病毒Bad Rabbit来袭,蓝队发布解决方案

事件概述


10月24日,欧洲地区爆发新型勒索病毒Bad Rabbit(坏兔子),感染范围包含俄罗斯、乌克兰、德国等多个东欧国家。Bad Rabbit(坏兔子)通过“水坑站点”进行传播,主要通过伪装成Adobe Flash的安装程序,诱使用户安装,从而感染用户主机。


病毒传播过程


Bad Rabbit(坏兔子)勒索病毒与5月份和6月份爆发的WannaCry和NotPetya攻击方式类似。比如,使用弱口令尝试登陆共享服务,通过内网共享和弱密码在局域网中扩散,最后加密系统文件,关机重启后提示通过支付比特币解密。


但是Bad Rabbit(坏兔子)勒索病毒并没有利用之前的微软操作系统“永恒之蓝”的漏洞,而主要通过水坑站点进行传播。


据分析,Bad Rabbit(坏兔子)勒索病毒目前针对的俄罗斯和其它东欧国家,主要通过在已被黑站点展示虚假的Adobe Flash更新通知。当用户点击这些通知消息时,它就会下载一个名为install_flash_player.exe的文件。一旦虚假的安装包被点击,其会生成infpub.dat和dispci.exe两个加密文件,这两个文件用于加密磁盘文件。“坏兔子”通过以上三步骤来完成其勒索流程,感染勒索界面如下图所示:

40400002513ceb947c10.jpg

一旦上述步骤完成,Bad Rabbit(坏兔子)勒索病毒将利用本机口令和弱口令在局域网中进行传播,感染其他主机,对企业用户危害极大。


目前已知的被加密文件后缀名有:


.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf .cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp .hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm .odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1 .pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs .vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip


加密文件后会在系统根目录下留一个Readme.txt的文件,里面就是勒索病毒提示支付赎金的信息。

以下是BadRabbit勒索病毒的勒索提示界面:

t010cd34cb87d2e18d1.png


解决方案


1、关闭WMI服务,避免恶意软件通过网络传播;


2、关闭Windows主机135/139/445等共享服务端口,禁用方法参考:


https://www.landui.com/article/d621e8da0abd192865913f1f.html


3、局域网共享PC使用复杂密码;


4、及时更新杀毒软件病毒库,以便能检测到该勒索病毒;


5、未使用安全防护软件还是裸机的客户可以安装必要的杀毒防护软件。例如深信服智安全出品的僵尸网络查杀工具SfabAntiBot 进行查杀(请保持联网并及时更新到最新版本)僵尸网络查杀工具的更新下载地址为:http://www.landui.com/tool/SfabAntiBot.zip;或者是360安全卫士勒索病毒救灾版:https://www.landui.com/setup_jiuzai.exe


目前该病毒样本已公开,且在国内并无大规模传播,蓝队网络会对最新发展事态密切关注,并会加强对云主机、服务器的安全监管。


提交成功!非常感谢您的反馈,我们会继续努力做到更好!

这条文档是否有帮助解决问题?

非常抱歉未能帮助到您。为了给您提供更好的服务,我们很需要您进一步的反馈信息:

在文档使用中是否遇到以下问题: