建站
咨詢
售后
建站咨詢
新聞中心
[[387127]]
創(chuàng)新互聯(lián)是一家專注于做網(wǎng)站、網(wǎng)站制作與策劃設(shè)計,泰興網(wǎng)站建設(shè)哪家好?創(chuàng)新互聯(lián)做網(wǎng)站,專注于網(wǎng)站建設(shè)十余年,網(wǎng)設(shè)計領(lǐng)域的專業(yè)建站公司;建站業(yè)務(wù)涵蓋:泰興等地區(qū)。泰興做網(wǎng)站價格咨詢:18980820575
法國國家網(wǎng)絡(luò)安全機構(gòu) ANSSI 的專家近日發(fā)現(xiàn)了一種新型 Ryuk 勒索軟件變種，該變種增加了蠕蟲的功能，可以在本地網(wǎng)絡(luò)中傳播。
根據(jù) ANSSI 發(fā)布的研究報告顯示：“除常見的功能外，新版本的 Ryuk 勒索軟件增加了在本地網(wǎng)絡(luò)上蠕蟲式傳播的功能”，“通過計劃任務(wù)、惡意軟件在 Windows 域內(nèi)的機器間傳播。一旦啟動，該惡意軟件將在 Windows RPC 可達的每臺計算機上傳播”。
Ryuk 勒索軟件的變種不包含任何阻止勒索軟件執(zhí)行的機制(類似使用互斥量檢測)，使用 rep.exe 或 lan.exe 后綴進行復(fù)制傳播。
Ryuk 勒索軟件在本地網(wǎng)絡(luò)上列舉所有可能的 IP 地址并發(fā)送 ICMP ping 進行探測。該惡意軟件會列出本地 ARP 表緩存的 IP 地址，列出發(fā)現(xiàn) IP 地址所有的共享資源并對內(nèi)容進行加密。該變種還能夠遠程創(chuàng)建計劃任務(wù)以此在主機上執(zhí)行。攻擊者使用 Windows 原生工具 schtasks.exe 創(chuàng)建計劃任務(wù)。
最近發(fā)現(xiàn)的 Ryuk 變種具備自我復(fù)制能力，可以將可執(zhí)行文件復(fù)制到已發(fā)現(xiàn)的網(wǎng)絡(luò)共享上實現(xiàn)樣本傳播。緊接著會在遠程主機上創(chuàng)建計劃任務(wù)，最后為了防止用戶進行文件回復(fù)還會刪除卷影副本。
勒索軟件 Ryuk 會通過設(shè)置注冊表項 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost及其文件路徑來實現(xiàn)持久化。
分析報告顯示，Ryuk 勒索軟件并不會檢查計算機是否已被感染，惡意代碼使用域內(nèi)的高級帳戶進行傳播。安全專家指出，即使修改了用戶密碼，只要 Kerberos 票據(jù)尚未過期，蠕蟲式的傳播仍將繼續(xù)。
解決問題方法是禁用用戶賬戶，然后進行兩次 KRBTGT 域密碼更改。盡管這會在內(nèi)部網(wǎng)絡(luò)上帶來很多麻煩，而且要伴隨著多次重新啟動，但這是值得的，可以立刻遏制惡意軟件的傳播和擴散。
可以查看報告原文獲取更多信息。
參考來源：SecurityAffairs
文章名稱：新型Ryuk勒索軟件變種具備自我傳播能力
網(wǎng)站地址：http://www.dlmjj.cn/article/djodohh.html
