证券简称:天融信 证券代码:002212
全天候7x24小时服务: 400-777-0777

hellokitty你咋能干这样的事呢?-凯发k8国际首页登录

撕下虚伪面孔!天融信下一代防火墙、edr、自适应、病毒过滤网关、僵木蠕招招制敌,有效防御hellokitty勒索病毒。
发布时间:2024-02-22
浏览次数:2465
分享:

危险预警

近日,天融信谛听实验室捕获hellokitty勒索家族的病毒样本,hellokitty勒索病毒正在利用apache activemq远程代码执行(rce)漏洞侵入网络并进行勒索攻击。该漏洞被标记为cve-2023-46604,是一个高危rce漏洞。

hellokitty勒索病毒自2020年11月开始运营,最著名的攻击是针对cd projekt red的攻击,攻击者加密设备,并声称窃取cyberpunk2077、witcher3、gwent等源代码。

病毒分析

该病毒利用png后缀进行伪装。

用侦壳软件检测,未检测到壳。

根据特征判断为msi文件,解压,找到病毒主程序

用侦壳软件检测,无壳,是.net文件。

程序核心内容为base64转换,保存加载运行。

base64转换后,看文件内容是pe文件。

用侦壳软件检测,无壳,是.net文件。

建立互斥,保证同时只运行一个程序。

删除卷影,同时杀死以下进程。

获取环境变量以及目录的路径。

在目录下准备建立相关文件。

rsa的密钥。

获取主机信息。

使用rsa将指定内容加密。

将时间、之前获取的主机信息以及指定内容进行拼接,使用rsa加密。

拼接加密后的信息写入pubkey7.txt。

指定内容加密后的信息写入 show7.txt。

黑客ip和端口。

将主机信息通过get方式发送到黑客后台。

探测本地磁盘信息。

要加密的后缀名列表。

不加密的目录文件名列表。

符合特征后准备加密,先用rsa将密钥加密,写入文件,使用rijndael将文件内容继续加密,加密后写入。

加密后修改后缀名。

生成勒索信。

防护建议

及时修复系统及应用漏洞,降低被hellokitty勒索软件通过漏洞入侵的风险。

加强访问控制,关闭不必要的端口,禁用不必要的连接,降低资产风险暴露面。

更改系统及应用使用的默认密码,配置高强度密码认证,并定期更新密码,防止弱口令攻击。

定期进行数据备份,并将这些备份数据保存在离线环境或单独的网络中。

可安装天融信安全产品加强防护,天融信edr系统、自适应安全防御系统、下一代防火墙系统病毒库和僵木蠕库、病毒过滤网关、僵尸网络木马和蠕虫监测与处置系统等可有效防御该勒索病毒。

天融信产品防御配置

● 天融信edr系统防御配置

1. 通过微隔离策略加强访问控制,降低横向感染风险;

2. 开启文件实时监控功能,可有效预防和查杀该勒索病毒;

3. 开启系统加固功能,可有效拦截该勒索病毒对系统关键位置进行破坏和篡改。

● 天融信自适应安全防御系统防御配置

1. 通过微隔离策略加强访问控制,降低横向感染风险;

2. 通过风险发现功能扫描系统是否存在相关漏洞和弱口令,降低风险、减少资产暴露;

3. 开启病毒实时监测功能,可有效预防和查杀该勒索病毒。

● 天融信下一代防火墙系统防御配置

1. 升级到最新病毒特征库,配置病毒防护策略,开启日志记录和报警功能;

2. 开启僵木蠕模块,封锁勒索软件的c&c服务器域名,阻止勒索软件与其通信;

3. 通过访问控制策略禁用不必要的端口、服务,缩小资产暴露面,降低传染风险;

4. 开启弱口令防护、暴力破解防护功能,可有效降低口令破解风险;

5. 开启联动功能,获取天融信edr系统、防病毒网关、僵尸网络木马和蠕虫监测与处置系统等产品检测结果,及时拦截传播/感染源,控制网络传播范围。

● 天融信病毒过滤网关防御配置

1. 升级到最新病毒特征库;

2. 开启http、pop3、smtp、ftp、imap等协议的病毒扫描检测;

3. 配置病毒检测处置策略;

4. 开启日志记录和报警功能。

● 天融信僵尸网络木马和蠕虫监测与处置系统配置

1. 升级最新威胁情报库,开启威胁情报恶意文件检测和捕获功能,实时检测和捕获网络中的勒索病毒;

2. 开启威胁情报日志记录和报警功能;

3. 可配置旁路阻断或者与天融信下一代防火墙联动,拦截勒索病毒网络传播。

天融信产品获取方式

天融信edr单机版下载地址:

http://edr.topsec.com.cn

天融信自适应安全防御系统、天融信edr企业版试用:

可通过天融信各地分公司获取查询网址:http://www.topsec.com.cn/contact/

天融信下一代防火墙系统病毒库、僵木蠕库下载地址:

ftp://ftp.topsec.com.cn/

天融信病毒过滤网关系统病毒库下载地址:

ftp://ftp.topsec.com.cn/防病毒网关(top-filter)/病毒库脱机升级包/

天融信僵尸网络木马和蠕虫监测与处置系统威胁情报库下载地址:

ftp://ftp.topsec.com.cn

在线咨询





在线留言





客户服务热线

400-777-0777
7*24小时服务

联系邮箱

servicing@topsec.com.cn

扫码关注
网站地图