新型Ryuk勒索软件变种具备自我传播能力
[[387127]]
创新互联是一家专注于做网站、网站制作与策划设计,泰兴网站建设哪家好?创新互联做网站,专注于网站建设十余年,网设计领域的专业建站公司;建站业务涵盖:泰兴等地区。泰兴做网站价格咨询:18980820575
法国国家网络安全机构 ANSSI 的专家近日发现了一种新型 Ryuk 勒索软件变种，该变种增加了蠕虫的功能，可以在本地网络中传播。
根据 ANSSI 发布的研究报告显示：“除常见的功能外，新版本的 Ryuk 勒索软件增加了在本地网络上蠕虫式传播的功能”，“通过计划任务、恶意软件在 Windows 域内的机器间传播。一旦启动，该恶意软件将在 Windows RPC 可达的每台计算机上传播”。
Ryuk 勒索软件的变种不包含任何阻止勒索软件执行的机制(类似使用互斥量检测)，使用 rep.exe 或 lan.exe 后缀进行复制传播。
Ryuk 勒索软件在本地网络上列举所有可能的 IP 地址并发送 ICMP ping 进行探测。该恶意软件会列出本地 ARP 表缓存的 IP 地址，列出发现 IP 地址所有的共享资源并对内容进行加密。该变种还能够远程创建计划任务以此在主机上执行。攻击者使用 Windows 原生工具 schtasks.exe 创建计划任务。
最近发现的 Ryuk 变种具备自我复制能力，可以将可执行文件复制到已发现的网络共享上实现样本传播。紧接着会在远程主机上创建计划任务，最后为了防止用户进行文件回复还会删除卷影副本。
勒索软件 Ryuk 会通过设置注册表项 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost及其文件路径来实现持久化。
分析报告显示，Ryuk 勒索软件并不会检查计算机是否已被感染，恶意代码使用域内的高级帐户进行传播。安全专家指出，即使修改了用户密码，只要 Kerberos 票据尚未过期，蠕虫式的传播仍将继续。
解决问题方法是禁用用户账户，然后进行两次 KRBTGT 域密码更改。尽管这会在内部网络上带来很多麻烦，而且要伴随着多次重新启动，但这是值得的，可以立刻遏制恶意软件的传播和扩散。
可以查看报告原文获取更多信息。
参考来源：SecurityAffairs
当前标题：新型Ryuk勒索软件变种具备自我传播能力
URL分享：http://www.hantingmc.com/qtweb/news29/226479.html
网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等
声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联