近日，瑞星安全研究院捕獲到了一個全新針對Linux平臺的勒索軟件——Sfile，因其部分變種習(xí)慣將被加密文件的后綴名附帶上目標(biāo)企業(yè)的英文名稱，所以瑞星得知已有國內(nèi)某企業(yè)成為該勒索軟件的攻擊目標(biāo)。目前，瑞星ESM防病毒終端安全防護系統(tǒng)等企業(yè)級產(chǎn)品可攔截并查殺相關(guān)勒索軟件，廣大用戶可安裝使用，規(guī)避該類風(fēng)險。
圖：瑞星ESM防病毒終端安全防護系統(tǒng)查殺Sfile勒索軟件
瑞星安全專家介紹，此次捕獲到的Sfile勒索軟件變種采用RSA+AES算法模式進行加密，通過提供一些特定的命令行參數(shù)可以進行針對性的攻擊調(diào)整，包括：修改擴展名、設(shè)置文件加密大小等，因此在沒有RSA私鑰的情況下暫時無法對被加密文件進行解密。在此次攻擊中，Sfile勒索軟件使用了nuctech-gj0okyci作為后綴名，因而判斷此次被攻擊的目標(biāo)為國內(nèi)某企業(yè)。通過勒索信可以看出，攻擊者要求目標(biāo)通過指定郵箱與其進行聯(lián)系，如果目標(biāo)用戶不與其合作，被加密的文件資料等信息將被出售或公布出去。
圖：攻擊者發(fā)布的勒索信
瑞星安全專家表示，由于目前企業(yè)所用的服務(wù)器多為Linux系統(tǒng)，攻擊者可以通過任意手段入侵服務(wù)器然后加密文件，因此攻擊者獲取贖金的概率更高，對于企業(yè)的損失會更大。同時，鑒于Linux系統(tǒng)平臺對虛擬化技術(shù)的良好支持，未來隨著云計算平臺的不斷發(fā)展，針對Linux系統(tǒng)的勒索攻擊會更加猛烈，企業(yè)數(shù)據(jù)將成為勒索軟件攻擊的主要目標(biāo)，也將有更多勒索軟件采用類似APT的定向攻擊方式將利益最大化。
由于近段時間針對Linux系統(tǒng)的勒索攻擊愈加頻繁，瑞星安全專家為廣大用戶提供以下防范建議，幫助企業(yè)用戶規(guī)避Sfile勒索軟件帶來的安全風(fēng)險。
1.針對RDP弱口令攻擊的防范建議：
- 限制可使用RDP的用戶，僅將遠(yuǎn)程訪問授權(quán)給那些必須用它來執(zhí)行工作的人。
- 建立雙重驗證，如Windows平臺下的Duo Security MFA或Linux平臺google-authenticator等認(rèn)證程序。
- 設(shè)置訪問鎖定策略，通過配置賬戶鎖定策略，調(diào)整賬戶鎖定閥值與鎖定持續(xù)時間等配置可以有效抵御一定時間下高頻的暴力破解。
- 審視RDP的使用需求，如果業(yè)務(wù)不需要使用它，那么可以將所有RDP端口關(guān)閉，也可以僅在特定時間之間打開端口。
- 重新分配RDP端口，可考慮將默認(rèn)RDP端口更改為非標(biāo)準(zhǔn)的端口號, 可避免一部分惡意軟件對特定RDP端口的直接攻擊，仍需另外部署端口掃描攻擊防范措施。
- 定期檢查、修補已知的RDP相關(guān)漏洞。
- 創(chuàng)建防火墻規(guī)則限制遠(yuǎn)程桌面的訪問, 以僅允許特定的IP地址。
- RDP的登陸，應(yīng)使用高強度的復(fù)雜密碼以降低弱口令爆破的機會。
2.針對系統(tǒng)安全性的防范建議：
- 及時更新軟件及系統(tǒng)補丁。
- 定期備份重要數(shù)據(jù)。
- 開啟并保持殺毒軟件及勒索防護軟件功能的正常。
- 定期修改管理員密碼并使用復(fù)雜度較高的密碼。
- 開啟顯示文件擴展名，防范病毒程序偽裝應(yīng)用程序圖標(biāo)。
3.針對局域網(wǎng)安全性的防范建議：
- 非必要時可關(guān)閉局域網(wǎng)共享文件或磁盤，防止病毒橫向傳播。
- 對局域網(wǎng)共享文件夾設(shè)置指定用戶的訪問權(quán)限，防止不必要的權(quán)限遭到病毒濫用。
- 通過防火墻規(guī)則限制如445、3389端口/關(guān)閉445、3389端口或是修改端口號，防止病毒通過掃描端口等方式查詢區(qū)域資產(chǎn)信息。
