网页篡改事件应急案例

结论建议

结论：

1. 感染的病毒为最新的 GANDCRAB V5.2，该版本目前尚无公开解密秘钥，在不支付赎金前提下， 无法对加密文件进行解密。
2. 该主机在 2018 年 5 月至 7 月期间，感染过多个恶意程序，由于涉及域名均已失效，但均不具 备勒索病毒特征，与此次事件无关。
3. 通过对系统日志
   分析，排除了攻击者通过远程桌面（RDP）口令爆破植入病毒程序的可能性。1. 由于 WebLogic 存在多个安全漏洞
   且暴露在互联网，导致被攻击者利用并植入了相关后门程序。1. 通过攻击特征及版本验证，确认攻击者使用了 2019 年 4 月 25 日公开的 WebLogic wls9_async_ response 反序列化
   命令执行漏洞（CVE-2019-2725 ）。建议：
4. 对于重要的加密感染文件，建议备份留存并等待秘钥公布，历史上 GANDCRAB病毒作者曾多 次公布解密秘钥。
5. 通过黑白盒结合方式对 WEB应用做安全测试及后门排查，防