隨著網(wǎng)絡(luò)安全教育的不斷普及，大眾的防護(hù)意識(shí)也在逐步加強(qiáng)。但勒索病毒的攻擊技術(shù)也在頻繁迭代，偽裝及隱藏方式也變得更加多樣化且越發(fā)隱蔽，讓人難以輕易地察覺。近日，騰訊智慧安全御見威脅情報(bào)中心收到多起勒索病毒求助，通過觀察受害者機(jī)器感染現(xiàn)場(chǎng)，發(fā)現(xiàn)均為HRM勒索病毒家族所為。該家族擅長使用釣魚郵件，RDP(遠(yuǎn)程桌面管理)爆破等方式進(jìn)行傳播，使用RSA+AES的加密方式，在沒有拿到病毒作者手中私鑰的情況下，用戶文件將無法解密，由此帶來的損失可想而知。

　　(圖：HRM勒索病毒母體偽裝PDF文檔)

其實(shí)，HRM勒索病毒在2017年11月首次出現(xiàn)，因?qū)用芪募瓿珊笤谖募筇砑?HRM擴(kuò)展后綴，并且會(huì)收到來自敲詐者的提示信息，因而將其命名為HRM勒索病毒。值得一提的是，該家族能避開dll、lnk、hrmlog、ini、exe等擴(kuò)展名不做加密，剩余的文件皆會(huì)被加密。

據(jù)安全專家介紹，該病毒家族采用的傳播方式隱蔽性極強(qiáng)，病毒母體會(huì)偽裝成PDF文檔，加殼壓縮且脫殼后有大量代碼混淆，以此達(dá)到隱藏自身的目的。在此次攻擊中，HRM勒索病毒還具備以下幾個(gè)顯著特征：首先排除Windows、AhnLab、Chrome、Mozilla、$Recycle.bin等目錄;其次檢查文件是否已經(jīng)被加密，避免重復(fù)加密文件;然后會(huì)加密網(wǎng)絡(luò)共享目錄下的文件;以及刪除卷影信息，刪除備份相關(guān)文件;最后在桌面打開勒索HTML文檔，展示勒索信息。有趣的是，該病毒內(nèi)還通過查詢注冊(cè)表避開俄羅斯、烏克蘭、比利時(shí)等國家。

由于該病毒變種采用RDP(遠(yuǎn)程桌面管理)攻擊方式，在攻擊者入侵了一個(gè)企業(yè)網(wǎng)絡(luò)的遠(yuǎn)程桌面協(xié)議(RDP)端口后，可以利用暴力破解攻擊輕而易舉地滲透進(jìn)目標(biāo)網(wǎng)絡(luò)，并向特定位置上傳勒索軟件。目前，各類勒索病毒通過入侵RDP來實(shí)現(xiàn)勒索軟件攻擊的比例越來越大，因此用戶需要意識(shí)到該漏洞的重要性。

為避免此類攻擊事件再次發(fā)生，騰訊安全反病毒實(shí)驗(yàn)室負(fù)責(zé)人、騰訊電腦管家安全專家馬勁松提醒廣大企業(yè)網(wǎng)管，建議修改管理后臺(tái)默認(rèn)頁面路徑，設(shè)置白名單限制登錄，修改弱口令密碼，避免服務(wù)運(yùn)行高權(quán)限;盡量關(guān)閉445、135，139等不必要的端口，對(duì)3389，5900端口可進(jìn)行白名單配置;采用高強(qiáng)度的密碼，避免使用弱口令密碼，并定期更換密碼。建議服務(wù)器密碼使用高強(qiáng)度且無規(guī)律密碼，并且強(qiáng)制要求每個(gè)服務(wù)器使用不同密碼管理。

　　(圖：騰訊企業(yè)級(jí)安全產(chǎn)品御點(diǎn)終端安全管理系統(tǒng))

同時(shí)，馬勁松建議終端以及服務(wù)器部署專業(yè)安全防護(hù)軟件，例如在Web服務(wù)器部署騰訊云等具備專業(yè)安全防護(hù)能力的云服務(wù)，全面增強(qiáng)企業(yè)網(wǎng)絡(luò)抵御攻擊威脅的能力，以及在全網(wǎng)安裝御點(diǎn)終端安全管理系統(tǒng)。御點(diǎn)終端安全管理系統(tǒng)具備終端殺毒統(tǒng)一管控、修復(fù)漏洞統(tǒng)一管控，以及策略管控等全方位的安全管理功能，可幫助企業(yè)管理者全面了解、管理企業(yè)內(nèi)網(wǎng)安全狀況、保護(hù)企業(yè)安全。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。