危险预警
克日庄闲游戏谛听实验室捕获一起Mallox勒索病毒攻击事务,,,黑客在乐成侵入内网后下发勒索病毒文件,,,勒索病毒运行后迅速加密数据库文件,,,在文件名后附加“ .consultraskey-ID号”、“.Mallox”等后缀来重命名所有加密文件,,,导致文件不可用,,,影响营业运行,,,同时还会实验在内网中横向移动,,,获取更多装备的权限并进一步扩散,,,危害性极大。。。。
Mallox勒索病毒家族又被外洋称作Target Company,,,于2021年10月进入中国,,,该家族主要针对企业的Web应用提倡攻击,,,包括Spring Boot、Weblogic、通达OA等。。。。庄闲游戏EDR系统、自顺应清静防御系统、过滤网关系统、僵尸网络木马和蠕虫监测与处置惩罚系统,,,以及新版本的入侵检测系统、入侵防御系统等产品均可准确检测并查杀该勒索病毒,,,为终端提供周全的清静防护,,,有用阻止该事务伸张。。。。
病毒剖析
Mallox勒索病毒最新变种的加载器接纳C#编写,,,函数名称严重混淆且中心添加了许多垃圾运算指令,,,这给沙箱自动化剖析和人工逆向都带来了不小的难题。。。。

样本运行后首先会使用Sleep要领设置随机数举行长时间睡眠,,,以此来规避沙箱的自动化剖析。。。。

在睡眠时间竣事后,,,历程会解密出巨细为0x4A800h巨细C#编写的PE文件,,,该PE文件同样被混淆。。。。

本体软件使用Invoke要领建设脱离原始历程挪用链的新历程,,,最终会在内存中睁开并运行C++和C语言编写的勒索母体,,,最先执行真正的恶意代码。。。。

恶意代码先实验从IP地点为91.243.44[.]32的效劳器下载F.bat,,,若是效劳器失活下载失败,,,则不会体现出后续的恶意行为而退出。。。。

F.bat的主要功效是阻止MSSQL、SQL Server、Oracle常见数据库相关的历程、效劳并强制删除相关注册表,,,除此之外还对Kingdee ERP系统举行攻击。。。。针对海内厂商软件,,,阻止并竣事阿里云效劳、百度网盘、360浏览器医生、QQ清静防护等历程。。。。

C++和C语言编写的勒索母体在加密历程中扫除的文件后缀如下:
.lnk,.exe,.nls,.shs,.themepack,.bin,.msp,.wpx,.deskthemepack,.diagpkg,.icns,.ani,.msc,.ico,.cmd,.msu,.diagcfg,.cab,.prf,.ocx,.theme,
scr,.mod,.diangcab,.adv,.bat,.drv,.rom,.mpa,.key,.msi,.spl,.com,.hlp,.ics,.cpl,.lock,.cur,.hta,.dll,.nomedia,.sys,.rtp,.idx,.icl,.msstyles。。。。

Mallox勒索软件在加密文件的历程中会扫除包括以下字符串的文件目录。。。。

Mallox勒索软件最终加密文件使用的是chacha20 算法,,,chacha20 算法是salsa20 流密码的一种变体,,,该对称算法可在短时间内加密主机所有文件。。。。

通讯并发送主机的主机名、域控名称及磁盘装备的型号信息。。。。

在遍历文件举行加密时,,,Mallox勒索会在被加密文件的目录下释放见告信INFORMATION.txt,,,见告受害者文件已经被加密,,,并留下受害ID和黑客的联系方法。。。。

最终勒索病毒通过执行以下cmd下令避免被加密文件的恢复:
Cmd /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
Cmd /c bcdedit /set {current} recoveryenabled no
delete shadows /all /quiet
样本IOCs列表

防护建议
1、实时修复系统及应用误差,,,降低被Mallox勒索病毒通过误差入侵的危害。。。。
2、增强会见控制,,,关闭不须要的端口,,,禁用不须要的毗连,,,降低资产危害袒露面。。。。
3、更改系统及应用使用的默认密码,,,设置高强度密码认证,,,并按期更新密码,,,避免弱口令攻击。。。。
4、可装置庄闲游戏清静产品增强防护,,,庄闲游戏EDR系统、自顺应清静防御系统、过滤网关系统等均可有用防御该勒索病毒。。。。

遇到病毒不要慌
庄闲游戏马上帮您防御
庄闲游戏EDR系统防御设置
● 依托基因识别手艺针对Mallox勒索病毒种族焦点精准识别,,,高效解决变种问题,,,通过建设周期扫描使命,,,准时对主机举行周全整理,,,消除清静隐患。。。。
● 通过微隔离战略增强会见控制,,,降低横向熏染危害。。。。
● 开启文件实时监控功效,,,可有用预防和查杀该勒索病毒。。。。
● 开启系统加固功效,,,可有用阻挡该勒索病毒对系统要害位置举行破损和改动。。。。
庄闲游戏自顺应清静防御系统防御设置
● 通过微隔离战略增强会见控制,,,降低横向熏染危害。。。。
● 通过危害发明功效扫描系统是否保存相关误差和弱口令,,,降低危害、镌汰资产袒露。。。。
● 开启病毒实时监测功效,,,可有用预防和查杀该勒索病毒。。。。
庄闲游戏过滤网关系统防御设置
● 针对 Mallox勒索病毒一直变换特征,,,变种泛起速率极快的特点,,,可深度剖析检测,,,精准识别变种家族。。。。
● 针对HTTP、FTP、POP3、SMTP、IMAP等常用文件传输协议设置深度检测,,,避免病毒通过网关进入内部网络,,,消除内网终端和效劳器的熏染危害。。。。
● 启用实时检测、告警效劳。。。。
● 升级到最新病毒特征库,,,并启用自动更新效劳。。。。
产品获取方法
庄闲游戏自顺应清静防御系统、庄闲游戏EDR系统企业版试用:可通过庄闲游戏天下分支机构获取�。。。ㄅ涛释罚篽ttp://www.topsec.com.cn/contact/)
庄闲游戏EDR系统单机版下载地点:http://edr.topsec.com.cn
庄闲游戏过滤网关系统、僵尸网络木马和蠕虫监测与处置惩罚系统、入侵检测系统、入侵防御系统等产品特征库下载地点:ftp://ftp.topsec.com.cn)
TOPSEC
近几年来,,,勒索攻击事务频仍爆发,,,且在数目上逐年增多。。。。庄闲游戏将始终坚持自主立异与焦点手艺攻关,,,一连推出立异性的产品、效劳与计划,,,由界线到终端、静态到动态、单点到全域,,,全方位包管客户网络清静。。。。

京公网安备 11010802026257号