病毒警告 – 提防勒索軟件Crysis 變種 破解密碼 透過遠端桌面功能入侵公司網絡

最近我們收到數個報告及求助電話,未使用卡巴斯基產品的公司,系統受到Crysis勒索軟件入侵,檔案被惡意加密要求支付贖金,似乎Crysis最新變種正活躍攻擊,企業應提高警覺!

卡巴斯基實驗室產品已能偵測及移除

雖然求助的企業非使用卡巴斯基產品,而且卡巴斯基除已能透過資料庫偵測及移除Crysis新變種外,也能使用System Watcher作嚴密有效的防護,不過我們亦建議客戶在遠端桌面功能(RDP)方面作出更多加強安全性的措施

感染手法靠硬撞RDP密碼入侵系統

此次報告的新變種,特點是以.java為加密檔案的結尾,而且和Crysis勒索軟件家族一樣,先透過暴力破解(brute-force)方法硬撞遠端桌面控制埠3389的密碼,由此進入企業網絡,再於網絡內潛伏一段時間,安裝keylogger之類的軟件收集更多網絡內用戶的帳戶及密碼。

黑客潛伏於受害公司的網絡內可展達數個月,期間收集更多資料,一方面尋找延伸攻擊的可能性,亦評估該企業的規模及經濟能力,以此定出「贖金」,更有受害者電腦被放入「挖礦程式」用以規黑客收集Bitcoin等加密貨幣。當黑客認為資料收集足夠後,Crysis會自我執行,加密系統內所有檔案並顯示勒索訊息。

舊的Crysis已有解密工具,不過新的變種則暫時未有不付贖金解密檔案的方法。

由於不少企業有開放RDP Port 3389,Crysis以暴力攻擊的手法撞破密碼而取得系統控制權,企業可能不易察覺,而且黑客取得登入帳戶,在網絡內放置惡意程式亦容易避開一般防毒軟件監察,這種勒索軟件攻擊每個案件涉及一定人力參與,變得精密難於偵測,有一定的危險性。

卡巴斯基企業安全產品用戶可作出以下提高防護的措施

卡巴斯基實驗室一直密切留意Crysis,之前亦發放過舊版本的解密工具,以完善的資料庫及惡意行為分析加上System Watcher的功能,已能成功偵測攔截Crysis。不過為保障你的資料安全,我們建議你採取以下安全措施

  • 如非必要,建議關閉遠端桌面控制(RDP)或限制存取
  • 如需使用RDP,請設定更高安全性的複雜密碼並經常轉換密碼
  • 確保已經啟動 System Watcher (詳細步驟)
  • 檢查病毒資料庫,盡量保持在最新狀態,程式也盡量免費升級至最新版本
  • 務必開啟Kaspersky Security Network接收實時威脅資料更新
  • 設定Application Priviledge Control防止勒索軟件加密檔案 (教學影片)

相關的Crysis新聞可參考以下網頁

Open Data Security

最後,再三提醒各系統管理員,在非常時期提高警惕,System Watcher的檔案復原功能,必需在事前開啟才能發揮功效,所以在不幸事情發生前,請趕快開啟System Watcher和Automatic Exploit Prevention功能,以降低蒙受損失的風險。

 

 

 

Comments are closed