危险预警

克日3377体育网官网入口谛听实验室捕获一起Mallox勒索病毒攻击事务，，，，，，，，黑客在乐成侵入内网后下发勒索病毒文件，，，，，，，，勒索病毒运行后迅速加密数据库文件，，，，，，，，在文件名后附加“ .consultraskey-ID号”、“.Mallox”等后缀来重命名所有加密文件，，，，，，，，导致文件不可用，，，，，，，，影响营业运行，，，，，，，，同时还会实验在内网中横向移动，，，，，，，，获取更多装备的权限并进一步扩散，，，，，，，，危害性极大。。。。。。。

Mallox勒索病毒家族又被外洋称作Target Company，，，，，，，，于2021年10月进入中国，，，，，，，，该家族主要针对企业的Web应用提倡攻击，，，，，，，，包括Spring Boot、Weblogic、通达OA等。。。。。。。3377体育网官网入口EDR系统、自顺应清静防御系统、过滤网关系统、僵尸网络木马和蠕虫监测与处置惩罚系统，，，，，，，，以及新版本的入侵检测系统、入侵防御系统等产品均可准确检测并查杀该勒索病毒，，，，，，，，为终端提供周全的清静防护，，，，，，，，有用阻止该事务伸张。。。。。。。

病毒剖析

Mallox勒索病毒最新变种的加载器接纳C#编写，，，，，，，，函数名称严重混淆且中心添加了许多垃圾运算指令，，，，，，，，这给沙箱自动化剖析和人工逆向都带来了不小的难题。。。。。。。

样本运行后首先会使用Sleep要领设置随机数举行长时间睡眠，，，，，，，，以此来规避沙箱的自动化剖析。。。。。。。

在睡眠时间竣事后，，，，，，，，历程会解密出巨细为0x4A800h巨细C#编写的PE文件，，，，，，，，该PE文件同样被混淆。。。。。。。

本体软件使用Invoke要领建设脱离原始历程挪用链的新历程，，，，，，，，最终会在内存中睁开并运行C++和C语言编写的勒索母体，，，，，，，，最先执行真正的恶意代码。。。。。。。

恶意代码先实验从IP地点为91.243.44[.]32的服务器下载F.bat，，，，，，，，若是服务器失活下载失败，，，，，，，，则不会体现出后续的恶意行为而退出。。。。。。。

F.bat的主要功效是阻止MSSQL、SQL Server、Oracle常见数据库相关的历程、服务并强制删除相关注册表，，，，，，，，除此之外还对Kingdee ERP系统举行攻击。。。。。。。针对海内厂商软件，，，，，，，，阻止并竣事阿里云服务、百度网盘、360浏览器医生、QQ清静防护等历程。。。。。。。

C++和C语言编写的勒索母体在加密历程中扫除的文件后缀如下：

.lnk,.exe,.nls,.shs,.themepack,.bin,.msp,.wpx,.deskthemepack,.diagpkg,.icns,.ani,.msc,.ico,.cmd,.msu,.diagcfg,.cab,.prf,.ocx,.theme,

scr,.mod,.diangcab,.adv,.bat,.drv,.rom,.mpa,.key,.msi,.spl,.com,.hlp,.ics,.cpl,.lock,.cur,.hta,.dll,.nomedia,.sys,.rtp,.idx,.icl,.msstyles。。。。。。。

Mallox勒索软件在加密文件的历程中会扫除包括以下字符串的文件目录。。。。。。。

Mallox勒索软件最终加密文件使用的是chacha20 算法，，，，，，，，chacha20 算法是salsa20 流密码的一种变体，，，，，，，，该对称算法可在短时间内加密主机所有文件。。。。。。。

通讯并发送主机的主机名、域控名称及磁盘装备的型号信息。。。。。。。

在遍历文件举行加密时，，，，，，，，Mallox勒索会在被加密文件的目录下释放见告信INFORMATION.txt，，，，，，，，见告受害者文件已经被加密，，，，，，，，并留下受害ID和黑客的联系方法。。。。。。。

最终勒索病毒通过执行以下cmd下令避免被加密文件的恢复：

Cmd /c bcdedit /set {current} bootstatuspolicy ignoreallfailures

Cmd /c bcdedit /set {current} recoveryenabled no

delete shadows /all /quiet

样本IOCs列表

防护建议

1、实时修复系统及应用误差，，，，，，，，降低被Mallox勒索病毒通过误差入侵的危害。。。。。。。

2、增强会见控制，，，，，，，，关闭不须要的端口，，，，，，，，禁用不须要的毗连，，，，，，，，降低资产危害袒露面。。。。。。。

3、更改系统及应用使用的默认密码，，，，，，，，设置高强度密码认证，，，，，，，，并按期更新密码，，，，，，，，避免弱口令攻击。。。。。。。

4、可装置3377体育网官网入口清静产品增强防护，，，，，，，，3377体育网官网入口EDR系统、自顺应清静防御系统、过滤网关系统等均可有用防御该勒索病毒。。。。。。。

遇到病毒不要慌

3377体育网官网入口马上帮您防御

3377体育网官网入口EDR系统防御设置

● 依托基因识别手艺针对Mallox勒索病毒种族焦点精准识别，，，，，，，，高效解决变种问题，，，，，，，，通过建设周期扫描使命，，，，，，，，准时对主机举行周全整理，，，，，，，，消除清静隐患。。。。。。。

● 通过微隔离战略增强会见控制，，，，，，，，降低横向熏染危害。。。。。。。

● 开启文件实时监控功效，，，，，，，，可有用预防和查杀该勒索病毒。。。。。。。

● 开启系统加固功效，，，，，，，，可有用阻挡该勒索病毒对系统要害位置举行破损和改动。。。。。。。

3377体育网官网入口自顺应清静防御系统防御设置

● 通过微隔离战略增强会见控制，，，，，，，，降低横向熏染危害。。。。。。。

● 通过危害发明功效扫描系统是否保存相关误差和弱口令，，，，，，，，降低危害、镌汰资产袒露。。。。。。。

● 开启病毒实时监测功效，，，，，，，，可有用预防和查杀该勒索病毒。。。。。。。

3377体育网官网入口过滤网关系统防御设置

● 针对 Mallox勒索病毒一直变换特征，，，，，，，，变种泛起速率极快的特点，，，，，，，，可深度剖析检测，，，，，，，，精准识别变种家族。。。。。。。

● 针对HTTP、FTP、POP3、SMTP、IMAP等常用文件传输协议设置深度检测，，，，，，，，避免病毒通过网关进入内部网络，，，，，，，，消除内网终端和服务器的熏染危害。。。。。。。

● 启用实时检测、告警服务。。。。。。。

● 升级到最新病毒特征库，，，，，，，，并启用自动更新服务。。。。。。。

产品获取方法

3377体育网官网入口自顺应清静防御系统、3377体育网官网入口EDR系统企业版试用：可通过3377体育网官网入口天下分支机构获。。。。。。。ㄅ涛释罚篽ttp://www.topsec.com.cn/contact/）

3377体育网官网入口EDR系统单机版下载地点：http://edr.topsec.com.cn

3377体育网官网入口过滤网关系统、僵尸网络木马和蠕虫监测与处置惩罚系统、入侵检测系统、入侵防御系统等产品特征库下载地点：ftp://ftp.topsec.com.cn）

TOPSEC

近几年来，，，，，，，，勒索攻击事务频仍爆发，，，，，，，，且在数目上逐年增多。。。。。。。3377体育网官网入口将始终坚持自主立异与焦点手艺攻关，，，，，，，，一连推出立异性的产品、服务与计划，，，，，，，，由界线到终端、静态到动态、单点到全域，，，，，，，，全方位包管客户网络清静。。。。。。。