财务软件遭遇大量勒索病毒,尽快做好备份

57次阅读
没有评论

2022 年 29 日 -30 日这两天,集中出现大量公司的财务软件无法使用,登录后台,发现文件被锁,并且被植入一个 REDME 的勒索信,大概内容如下:

财务软件遭遇大量勒索病毒,尽快做好备份

根据火绒火绒安全实验室监测,疑似借助用友畅捷通 T + 传播的勒索病毒模块异常活跃(FakeTplus 病毒)。火绒工程师排查某勒索现场时发现,病毒模块的投放时间与受害者使用的用友畅捷通 T + 软件模块升级时间相近,不排除黑客通过供应链污染或漏洞的方式进行投毒。火绒安全软件可成功查杀该病毒。

排查发现,黑客首先会通过漏洞或其他方式向受害者终端投放后门病毒模块。黑客可以通过访问后门模块(Load.aspx)来执行任意恶意模块(恶意模块数据被 AES 算法加密的)。之后通过后门模块在内存中加载执行勒索病毒,根据火绒威胁情报系统统计得出病毒传播趋势,如下图所示:

财务软件遭遇大量勒索病毒,尽快做好备份

在被投毒的现场中可以看到,后门病毒模块位于用友畅捷通 T + 软件的 bin 目录中,相关文件情况如下图所示:

财务软件遭遇大量勒索病毒,尽快做好备份

某被投毒现场中,后门病毒模块的被投放时间,与受害用户使用的用友畅捷通 T + 软件模块升级时间相近,畅捷通 T + 软件更新的文件和恶意模块的时间对比图,如下图所示:

财务软件遭遇大量勒索病毒,尽快做好备份

(以上分析内容来源:火绒安全实验室)

应对策略:

目前官方给出了下面紧急应对办法:

近日接到有客户反馈客户自有服务器电脑因网络安全漏洞等原因(如恶意木马、病毒邮件等)被命中勒索病毒。
常见中毒形式为计算机内的各类文件被加上。locked 后缀无法使用。
已中毒用户:
1、本地服务器先断网,若各类本地数据文件未备份,建议找相关专业人员,查找是否有备份和其他恢复手段;
2、若使用自有云服务器,可以先通过后台,将本台服务器进行镜像备份,再找相关专业人员,查找是否有备份和其他恢复手段;
3、检查 SQL 数据库文件是否被加密,如果没有被加密,请尽快备份 SQL 数据

对于部分中毒的用户,根据技术同学的排查,发现有一些数据可以直接恢复,建议大家按照如下方式排查:
1、查看产品安装目录下(Chanjet\TPlusStd\DBServer\data)备份文件(zip 文件)有些没有 locked 成功,虽然有。locked 文件,但是大小 1k,说明没有成功。应该会同时存在原始文件,这些是可以使用的。
2、mdf 文件是否被 locked,如果没有被 locked,用 sqlserver 备份出文件来,找新环境重新系统安装产品建账,把备份文件恢复回去来恢复。不会恢复处理的,可以通过企业微信或者服务热线找到服务同学,我们会和研发同学一起配合帮助这部分客户。

未中毒用户:
1、尽快使用安全月活动工具,进行检测加固;
2、使用本地服务器的用户,建议关闭公网访问,内网使用;
3、使用自购云主机的用户,请马上打开日常镜像备份,购买云服务器提供的安全防护服务
4、最最最重要的是!请尽快进行数据备份,并且是多重备份,重要数据文件拷贝至 U 盘 \ 上传到网盘 \ 多份储存在不同的服务器环境中。

加入官方交流QQ群:778957856
post-qrcode
clark
版权声明:本站原创文章,由 clark 2022-08-30发表,共计1181字。
转载说明:除特殊说明外本站文章皆由CC-4.0协议发布,转载请注明出处。
评论(没有评论)
验证码