Hmallox勒索病毒来袭

一、病毒背景与家族归属

Hmallox勒索病毒是Malox/Mallox勒索家族的新变种，最早可追溯至2021年，早期版本被称为mallox。该家族在2021年通过SQLGlobeImposter渠道传播，曾用于传播GlobeImposter勒索病毒，后逐渐成为主流攻击手段。2023-2024年，其变种（如.hmallox、.rmallox）被归入TargetCompany家族，攻击范围扩大至全球。

 

二、传播途径与攻击手法

初始入侵方式：

1. 漏洞利用：利用MS-SQL服务器暴力破解、Exchange服务器的ProxyShell漏洞、PetitPotam漏洞等。
2. 邮件钓鱼：发送携带恶意附件的邮件，伪装成合法程序或重要更新。
3. 弱口令攻击：针对远程桌面（RDP）、数据库等服务的弱口令进行暴力破解。

横向扩散手段：

1. 入侵后通过PowerCat、lCX等工具控制内网设备，部署勒索病毒。
2. 在内网中横向移动，获取更多权限以扩大感染。

 

三、加密特征与危害

文件加密：

1. 使用高强度加密算法（如AES-256或RSA-2048），文件后缀被修改为.hmallox。
2. 加密过程耗时较长，尤其是大容量文件（如数据库），中断可能导致数据永久损坏。

勒索信与赎金：

1. 生成名为HOW TO BACK FILES.TXT的勒索信，要求通过TOR洋葱网络联系攻击者。
2. 赎金金额高昂，逾期支付可能导致解密链接失效。

多重危害：

1. 数据损失：加密文件难以通过常规手段恢复，企业可能面临业务中断。
2. 隐私泄露：窃取身份信息、银行账户等敏感数据。
3. 声誉风险：企业客户信任度下降，可能引发法律纠纷。

 

四、防御与应对策略

预防措施：

1. 系统加固：及时修补漏洞（如SQL、OA系统漏洞），禁用不必要的远程服务。
2. 安全意识：防范钓鱼邮件，避免下载不明文件。
3. 备份机制：定期离线备份关键数据，采用3-2-1原则（3份备份、2种介质、1份异地）。

感染后处理：

1. 立即断网：防止病毒内网扩散。
2. 避免关机：加密过程中关机可能导致数据损坏。
3. 专业恢复：联系数据恢复机构（如91数据恢复团队），部分案例可通过备份或漏洞解密。

企业级防护：

1. 部署EDR、防火墙等安全产品，监控异常流量。
2. 定期进行攻防演练与员工培训。

 

五、活跃态势与变种演化

• 时间线：2021年首次出现，2022年通过Web应用攻击企业，2023年成为国内最活跃家族之一。2024年衍生.rmallox等变种，攻击手法更隐蔽。
• 变种特点：新变种采用代码混淆、加密载荷等技术逃避检测，并扩展至Linux系统。

六、争议与未解问题

• 解密可能性：尚无公开免费解密工具，部分安全厂商声称掌握解密技术，但需验证。
• 家族关联性：部分证据显示Hmallox与LockBit、CryLock存在技术相似性，可能涉及代码复用。

结论

Hmallox勒索病毒是持续进化的高威胁恶意软件，针对企业数据安全构成严峻挑战。防御需结合技术加固、人员培训与应急响应，感染后应谨慎处理并及时寻求专业支持。随着攻击技术迭代，未来可能出现更复杂的变种，需持续关注安全动态。