记一次勒索病毒排查

一、事件的描述

接到业务部门人员反馈，服务器A无法传输业务数据，除维持系统正常运行文件外，所有数据均被加密，文件名为demo.pmq.[74AC1A88].[hudsonL@cock.li].mkp。

因着急恢复业务，且之前有备份数据，服务器A被格式化，重装系统；摸排同网段服务器，发现同样遭受勒索病毒的服务器B。并且在回收站发现攻击者的作案工具。

通过查看安全设备，发现在凌晨1点左右服务器B遭受大量RDP爆破攻击，源地址为个人终端C。

排查个人终端C时，发现已无法正常登录操作系统，使用启动盘进入PE界面后，同样被投放勒索病毒，安装everything工具后，对攻击时间被修改的文件进行查看，因可查看信息过少，无法判断具体的攻击路径。

回收站未被清除的作案工具

序号	工具名称	备注
1	dfControl.exe	Defender Control（防御控制者）用于关闭Windows系统自带的Microsoft Defender
2	GMER.exe	GMER是一款来自波兰的多功能安全监控分析应用软件。它能查看隐藏的进程服务，驱动， 还能检查Rootkit，启动项，并且具有内置命令行和注册表编辑器。
3	mkp_visual.exe	Makop勒索病毒
4	netpass.exe	Network Password Recovery（系统管理员密码查看器）是一款功能强大的系统管理员密码密码找回软件，如果忘记了电脑系统管理员密码时，通过这款软件既可以帮助你轻松找回，让你能够继续使用电脑。
5	netpass64.exe
6	PCHunter32.exe	PCHunter是一款功能强大的Windows系统信息查看软件，同时也是一款强大的手工杀毒软件，用它不但可以查看各类系统信息，也可以揪出电脑中的潜伏的病毒木马。黑客也有可能使用这个工具，原因仍然是想在执行勒索病毒前，先把本地保护机制破坏掉，防止加密过程被中断。
7	PCHunter64.exe
8	processhacker-2.10-setup.exe	Process Hacker是一款针对高级用户的安全分析工具，它可以帮助研究人员检测和解决软件或进程在特定操作系统环境下遇到的问题。除此之外，它还可以检测恶意进程，并告知我们这些恶意进程想要实现的功能。黑客在执行勒索病毒前，先把本地保护机制破坏掉，防止加密过程被中断。
9	processhacker-2.39-setup.exe

二、排查的思路

• 判断勒索病毒的类型

       https://lesuobingdu.360.cn/

       https://www.nomoreransom.org/zh/index.html

• 结合现有信息排查攻击特征

        1、Makop勒索病毒，360安全卫士勒索专题查询到记录为2020年2月28日

        2、主要的传播方式有两种：暴力破解远程桌面口令成功后手动投毒、钓鱼邮件

        3、从安全设备上进行全流量分析，查看关键的时间节点

        4、使用everything查找失陷主机上，未被攻击者删除的日志信息

        5、获取到可疑应用程序，可上传到安全情报网站研判。如：

               微步在线：https://x.threatbook.com/                 

               360安全： https://ata.360.net/

               VirScan：  https://www.virsacn.com/

               安恒信息：https://ti.dbappsecurity.com.cn/

               VIRUSTOTAL：https://www.virustotal.com/gui/home/upload

三、引用部分技术参考

•  国家互联网应急中心-勒索软件防范指南：     https://www.cert.org.cn/publish/main/11/2021/20210723084543714582413/20210723084543714582413_.html
•  FreeBuf-盘点近几年勒索病毒使用过的工具和漏洞

       https://www.freebuf.com/articles/system/219837.html