存儲域
數(shù)據(jù)庫加密 諾亞防勒索訪問域
數(shù)據(jù)庫防水壩 數(shù)據(jù)庫防火墻 數(shù)據(jù)庫安全審計 動態(tài)脫敏流動域
靜態(tài)脫敏 數(shù)據(jù)水印 API審計 API防控 醫(yī)療防統(tǒng)方運維服務
數(shù)據(jù)庫運維服務 中間件運維服務 國產(chǎn)信創(chuàng)改造服務 駐場運維服務 供數(shù)服務安全咨詢服務
數(shù)據(jù)出境安全治理服務 數(shù)據(jù)安全能力評估認證服務 數(shù)據(jù)安全風險評估服務 數(shù)據(jù)安全治理咨詢服務 數(shù)據(jù)分類分級咨詢服務 個人信息風險評估服務 數(shù)據(jù)安全檢查服務美創(chuàng)科技打造縣域醫(yī)療災備新標桿｜神木市醫(yī)院 HIS 系統(tǒng)數(shù)據(jù)庫分鐘級切換演練實錄
2025-07-02
百萬罰單警示！DCAS助力金融機構筑牢數(shù)據(jù)安全防線，實現(xiàn)監(jiān)管合規(guī)
2025-06-20
2025中國互聯(lián)網(wǎng)產(chǎn)業(yè)年會丨《中國互聯(lián)網(wǎng)產(chǎn)業(yè)綠色算力發(fā)展倡議》正式發(fā)布
2025-02-07
美創(chuàng)用戶專訪 | 精細化管理：醫(yī)療行業(yè)數(shù)據(jù)分類分級的策略與實踐
2025-01-10
容災演練雙月報｜美創(chuàng)助力某特大型通信基礎設施央企順利完成多個核心系統(tǒng)異地容災演練
2025-01-10
本月國內遭受勒索病毒攻擊的地區(qū)分布圖如下所示，江蘇、上海、浙江、廣東最為嚴重，其它地區(qū)也遭受到不同程度的攻擊。從整體區(qū)域分布上來看，攻擊者更傾向于經(jīng)濟發(fā)達地區(qū)和人口密集地區(qū)。原因可能為經(jīng)濟發(fā)達地區(qū)更具有贖金交付能力，而人口密集地區(qū)數(shù)據(jù)被破壞后可能造成更嚴重的社會負面影響。
從行業(yè)劃分來看，數(shù)據(jù)價值較高的教育、互聯(lián)網(wǎng)、醫(yī)療、制造業(yè)等行業(yè)延續(xù)了以往的高占比。
下圖是美創(chuàng)第59號實驗室對勒索病毒監(jiān)測后所計算出的7月份勒索病毒家族流行度占比分布圖，將近50%的勒索軟件攻擊是由三種最常見的勒索軟件變種（Phobos、Mallox、BeijngCrypt）進行的。
勒索病毒傳播方式
下圖為勒索病毒傳播的各種方式的占比情況。根據(jù)統(tǒng)計可以看出，勒索病毒的主要攻擊方式依然以遠程桌面入侵為主，其次利用網(wǎng)站掛馬和高危漏洞等方式傳播，整體攻擊方式呈現(xiàn)多元化的特征。
Phobos勒索軟件從2019年開始在全球流行，并一直保持著很高的活躍度，并常年占據(jù)勒索病毒榜單前三，其不斷推出新變種，并頻繁通過RDP暴破、釣魚郵件等方式對企業(yè)單位及個人用戶進行攻擊，使受害者遭受數(shù)據(jù)財產(chǎn)的嚴重損失，影響十分惡劣。
Mallox（又被稱作Target Company）最早出現(xiàn)于2021年7月中旬，并在2021年12月開始進入國內。其采用RaaS（勒索軟件即服務）模式運營，將企業(yè)作為其攻擊目標。Mallox病毒主要針對企業(yè)的Web應用發(fā)起攻擊，包括Spring Boot、Weblogic、通達OA等，在拿下目標設備權限后還會嘗試在內網(wǎng)中橫向移動，獲取更多設備的權限，危害性極大。
BeijngCrypt勒索家族最早出現(xiàn)于2020年7月初，主要通過暴力破解遠程桌面口令后手動投毒。該病毒早期傳播因修改文件后綴為“.beijing”而被命名為BeijngCrypt，之后出現(xiàn)的變種會將被加密文件后綴修改為“.520”和“.360”。攻擊者向受害者索要4500美元到5000美元不等的等價虛擬貨幣作為贖金。
在線點評：
1.Mallox勒索病毒運行后迅速加密數(shù)據(jù)庫文件，導致文件不可用，影響業(yè)務運行，同時還會嘗試在內網(wǎng)中橫向移動，獲取更多設備的權限并進一步擴散。
位于江蘇的某企業(yè)遭到BeijngCrypt勒索病毒攻擊，在攻擊期間，勒索軟件操控者設法獲得對內部服務器的控制權后下發(fā)勒索病毒文件，勒索病毒運行后迅速加密數(shù)據(jù)庫文件，并在文件名后添加“.halo”后綴，導致文件不可用，影響了部分業(yè)務的運行。
2.勒索病毒通常通過電子郵件、惡意軟件下載、漏洞利用和惡意廣告等方式傳播。
（一）隔離中招主機
（二）排查業(yè)務系統(tǒng)
在已經(jīng)隔離被感染主機后，應對局域網(wǎng)內的其他機器進行排查，檢查核心業(yè)務系統(tǒng)是否受到影響，生產(chǎn)線是否受到影響，并檢查備份系統(tǒng)是否被加密等，以確定感染的范圍。
（三）聯(lián)系專業(yè)人員
面對嚴峻的勒索病毒威脅態(tài)勢，美創(chuàng)第59號實驗室提醒廣大用戶，勒索病毒以防為主，注意日常防范措施，以盡可能免受勒索病毒感染：
① 及時給辦公終端和服務器打補丁，修復漏洞，包括操作系統(tǒng)以及第三方應用的補丁，防止攻擊者通過漏洞入侵系統(tǒng)。
② 盡量關閉不必要的端口，如139、445、3389等端口。如果不使用，可直接關閉高危端口，降低被漏洞攻擊的風險。
③ 不對外提供服務的設備不要暴露于公網(wǎng)之上，對外提供服務的系統(tǒng)，應保持較低權限。
④ 企業(yè)用戶應采用高強度且無規(guī)律的密碼來登錄辦公系統(tǒng)或服務器，要求包括數(shù)字、大小寫字母、符號，且長度至少為8位的密碼，并定期更換口令。
⑤ 數(shù)據(jù)備份保護，對關鍵數(shù)據(jù)和業(yè)務系統(tǒng)做備份，如離線備份，異地備份，云備份等， 避免因為數(shù)據(jù)丟失、被加密等造成業(yè)務停擺，甚至被迫向攻擊者妥協(xié)。
⑥ 敏感數(shù)據(jù)隔離，對敏感業(yè)務及其相關數(shù)據(jù)做好網(wǎng)絡隔離。避免雙重勒索病毒在入侵后輕易竊取到敏感數(shù)據(jù)，對公司業(yè)務和機密信息造成重大威脅。
⑦ 盡量關閉不必要的文件共享。
⑧ 提高安全運維人員職業(yè)素養(yǎng)，定期進行木馬病毒查殺。
⑨ 部署美創(chuàng)數(shù)據(jù)庫防火墻，可專門針對RushQL數(shù)據(jù)庫勒索病毒進行防護。
⑩ 安裝諾亞防勒索軟件，防御未知勒索病毒。
為了更好地應對已知或未知勒索病毒的威脅，美創(chuàng)通過對大量勒索病毒的分析，基于零信任、守白知黑原則，創(chuàng)造性地研究出針對勒索病毒的終端產(chǎn)品【諾亞防勒索系統(tǒng)】。諾亞防勒索在不關心漏洞傳播方式的情況下，可防護任何已知或未知的勒索病毒。以下為諾亞防勒索針對勒索病毒的防護效果。
美創(chuàng)諾亞防勒索可通過服務端統(tǒng)一下發(fā)策略并更新。默認策略可保護office文檔【如想保護數(shù)據(jù)庫文件可通過添加策略一鍵保護】。
無諾亞防勒索防護的情況下：
在test目錄下，添加以下文件，若服務器中了勒索病毒，該文件被加密，增加統(tǒng)一的異常后綴，并且無法正常打開。
開啟諾亞防勒索的情況下：
雙擊執(zhí)行病毒文件，當勒索病毒嘗試加密被保護文件，即test目錄下的文件時，諾亞防勒索提出警告并攔截該行為。
查看系統(tǒng)上被測試的文件，可被正常打開，成功防護惡意軟件對被保護文件的加密行為。
開啟堡壘模式的情況下：
為保護系統(tǒng)全部文件，可一鍵開啟諾亞防勒索的堡壘模式。堡壘模式主要針對亞終端，例如ATM機，ATM機的終端基本不太會更新，那么堡壘模式提供一種機制：任何開啟堡壘模式之后再進入終端的可執(zhí)行文件都將被阻止運行，從而實現(xiàn)諾亞防勒索的最強防護模式。
運行在堡壘模式下，執(zhí)行該病毒，立刻被移除到隔離區(qū)，因此可阻止任何已知或未知勒索病毒的執(zhí)行。
官方訂閱號
官方服務號
第59號
浙公網(wǎng)安備 33010502006954號 
