一、概要

近期，业界监控到多地发生GlobeImposter勒索病毒事件，感染后可导致Windows服务器文件被加密。本次攻击者主要的突破边界手段可能为Windows远程桌面服务密码暴力破解，在进入内网后会进行多种方法获取登陆凭据并横向传播，同时选择高价值目标服务器人工投放勒索病毒。

请涉及威胁的租户根据自身业务情况，采取防护措施。

二、漏洞级别

漏洞级别：【严重】

（说明：漏洞级别共四级：一般、重要、严重、紧急。）

三、影响范围

1. 存在弱口令且开启RDP 3389端口的Windows系统；

2. 内网Windows终端、服务器使用相同或者少数几组口令；

3. Windows服务器、终端未部署或未及时更新安全加固和杀毒软件。

四、排查和处置方法

排查方法：

1. 检查系统是否安装了最近系统漏洞补丁包；

2. 检查系统是否开启了3389端口的RDP网络共享协议且使用了弱口令；

3. 检查系统是否开启了445端口的SMB网络共享协议，或者不必要的共享端口；

处置方案：

1. 隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡;

2. 切断传播途径：关闭3389、445、135、139等高危端口，关闭异常的外联访问；

3. 使用复杂密码：RDP远程服务器等连接尽量使用复杂密码，不要使用简单密码；

4. 查找攻击源：手工抓包分析或借助态势感知类产品分析。

五、安全建议

1. 不从不明网站下载相关的软件，不要点击来源不明的邮件以及附件；

2. 及时给电脑打补丁，修复漏洞；

3. 修改密码：设置主机账号密码为高强度的密码；

4. 对重要的数据文件定期进行非本地备份；

5. 安装专业的第三方反病毒软件（推荐使用华为云市场软件）；

6. 关闭或通过安全组限制不必要的文件共享权限以及端口，如：445、135、139、3389等。

注意：修复漏洞前请将资料备份，并进行充分测试。