一、概要
近期，业界发现一种新型SamSam勒索病毒，国外和国内均已发生中毒事件。该病毒利用弱口令爆破方式向其他主机进行传播，加密后的文件后缀为：weapologize。由于该病毒采用RSA2048加密算法，文件被加密后暂时无法恢复。
请涉及威胁的租户根据自身业务情况，采取防护措施。
二、威胁级别
威胁级别：【严重】
（说明：威胁级别共四级：一般、重要、严重、紧急。）
三、影响范围
开启了445端口SMB网络共享协议、开启RDP 3389端口且存在弱口令的Windows系统（包括个人版和服务器版）。
四、排查和处置方法
排查方法：
1. 检查系统是否安装了最近系统漏洞补丁包；
2. 检查系统是否开启了445端口的SMB网络共享协议，或者不必要的共享端口；
3. 检查系统是否开启了3389端口的RDP网络共享协议且使用了弱口令；
4. 检查系统是否存在weapologize后缀文件；
5. 检查网站和服务器是否存在系统漏洞，是否更新补丁。
处置方案：
1. 隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡;
2. 切断传播途径：关闭潜在终端的SMB 445、135、139、3389等网络端口，关闭异常的外联访问；
3. 使用复杂密码：RDP远程服务器等连接尽量使用复杂密码，不要使用简单密码；
4. 查找攻击源：手工抓包分析或借助态势感知类产品分析；
5. 查杀病毒：该勒索病毒会通过PSEXEC.EXE工具感染其它主机，建议卸载或禁用PSEXEC.EXE工具。也可使用防病毒工具进行查杀（推荐使用华为云市场软件）。
五、安全建议
1. 不从不明网站下载相关的软件，不要点击来源不明的邮件以及附件；
2. 及时给电脑打补丁，修复漏洞；
3. 修改密码：设置主机账号密码为高强度的密码；
4. 对重要的数据文件定期进行非本地备份；
5. 安装专业的第三方反病毒软件（推荐使用华为云市场软件）；
6. 关闭不必要的文件共享权限以及关闭不必要的端口，如：445、135、139、3389等。
注意：修复漏洞前请将资料备份，并进行充分测试。
赞 4
打赏