服务公告

全部公告 > 安全公告 > 关于ProtectionX新型挖矿病毒的预警

关于ProtectionX新型挖矿病毒的预警

2018-09-25

一、概要

近期,出现一种新型挖矿病毒(ProtectionX),该病毒利用永恒之蓝安全漏洞,首次发现具备自我保护功能,与普通挖矿病毒有很大差异。感染主机主要是被用于挖矿,多表现为异常卡顿,严重影响主机性能和业务正常运行。该病毒使用了驱动保护,无法通过任务管理器中止病毒进程,查杀难度较高。

请涉及威胁的租户根据自身业务情况,采取防护措施。

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急。)

三、影响范围

开启了445端口SMB网络共享协议,未及时更新系统补丁或未采取终端安全防护措施的Windows系统(包括个人版和服务器版)。

四、排查和处置方法

排查方法:

1.检查系统是否安装了最近系统漏洞补丁包;

2.检查系统是否开启了445端口的SMB网络共享协议或者不必要的系统服务端口;

3.检查内网是否有主机访问pool.minexmr.com:7777;

4.检查系统是否存在异常运行的1sass.exe、wuauc1t.exe和win1ogon.exe进程;

5.检查系统是否存在注册表项HKLMsoftwaremicrosoftwindowsCurrentVersionRunRegistered font。

处置方案:

1.隔离感染主机:已中毒计算机尽快隔离,关闭所有网络连接,禁用网卡;

2.切断传播途径:关闭潜在终端的SMB 445等网络共享端口,关闭异常的外联访问;

3.查找攻击源:手工抓包分析或借助态势感知类产品分析,确认全网感染数量;

4.查杀病毒:可使用以下工具进行查杀(http://edr.sangfor.com.cn/tool/SfabAntiBot.zip),或者可使用华为云防病毒工具进行查杀(推荐使用华为云市场软件);

5.强制删除病毒程序:可以尝试使用PC Hunter强制删除并结束进程1sass.exe、wuauc1t.exe、win1ogon.exe;

6.删除注册表项:HKLMsoftwaremicrosoftwindowsCurrentVersionRunRegistered font;

7.设置复杂密码:如果主机账号使用简单密码,建议重置为高强度的密码。

五、安全建议

1. 不从不明网站下载相关的软件,不要点击来源不明的邮件以及附件;

2. 及时给电脑打补丁,修复漏洞;

3. 修改密码:设置主机账号密码为高强度的密码;

4. 对重要的数据文件定期进行非本地备份;

5. 安装专业的第三方反病毒软件(推荐使用华为云市场软件);

6. 关闭不必要的文件共享权限以及关闭不必要的端口,如: 135、139、445等。

注意:修复漏洞前请将资料备份,并进行充分测试。