黑客加密要比特币支付 黑客加密企业服务器，嚣张勒索9.5个比特币

近日，腾讯御剑威胁情报中心接到某公司反馈称，该公司多台Windows服务器感染勒索病毒。 除C盘外，其他所有磁盘分区均被加密黑客加密并需要比特币支付，导致公司停业。 此外，该勒索软件索要的赎金高达9.5个比特币（约合人民币40万元）。 在实际攻击场景中，如此高额的敲诈勒索实属罕见。

桌面上的加密文件

威胁等级（高风险）

危害评价：★★★★★

多台服务器中的数据文件被加密，影响公司日常业务运营。

影响评价：★★★★☆

先入侵公司外网服务器，再渗透内网，利用弱口令等漏洞攻击内网其他服务器。

技术评价：★★★☆☆

虽然受到攻击的机器很多，但只要采取相应的防御措施，就可以有效防止此类攻击。

受影响的表面

公司内网所有Windows服务器

事件分析

1、通过对公司内网各服务器的分析，发现服务器使用弱密码，多台服务器使用同一个密码，容易被爆破攻击。

各服务器上的日志显示，黑客首先入侵的是公司官网的web服务器，而公司的web服务器是连接到公司内网的，这样黑客就可以通过web服务器渗透到内网，而公司的所有服务器都在里面网络受到攻击。

黑客路径示意图

此外，在被攻击的服务器上还发现了被攻击后留下的工具软件。 怀疑黑客利用该工具终止了安装在服务器上的安全软件的运行。

在被攻击的Web服务器上发现了黑客使用的内网渗透工具包。 其中包括：ms16-032hh.exe（本地提权工具）、demo.exe（远程控制木马）、m32.exe（密码抓取工具）、Hscan（内网扫描器）等。

其中，demo.exe其实是一个自解压包，包括以下三部分，.exe是一个带有正规白签名的白应用程序，.dll是一个被劫持的DLL，.hlp是一个外部加密文件。

该攻击模块实际上是PlugX Rat家族的木马。 PlugX，通常也被称为KORPLUG、SOGU，被各种组织用于针对性攻击，是一种以比特币加密支付的模块化后门黑客，旨在通过执行签名的合法可执行文件来加载恶意代码。 二级木马攻击流程如下图所示。

通常，PlugX 具有三个主要组件，一个 DLL、一个加密的二进制代码文件以及一个合法且已签名的可执行文件。 本次攻击的主模块.exe最终会在该目录下创建一个WS文件夹，并将木马相关模块释放到该目录下并设置为系统隐藏属性运行后自行删除。

木马将外部加密文件.hlp读入内存，使用自定义算法与0x63进行减法、异或、解密，执行恶意代码。

解密后的恶意代码最终利用Process方法创建僵尸进程“svchost.exe”，将自身注入到系统进程中运行，同时也隐藏了木马的行踪。

注入恶意代码的svchost.exe系统进程最终会通过C&C地址连接到黑客：通过这个后门，黑客还可以实现长期隐身控制入侵服务器。

2、分析加密后发现，该勒索病毒攻击不同于常规的传播运行勒索病毒，而是使用了常规的磁盘加密保护软件Volume。

Volume是专业加密软件厂商开发的一款磁盘保护软件。 它可以加密整个分区。 加密后，除非加密时设置了密码，否则第三方很难恢复解密。 在这次攻击中，黑客使用加密软件对服务器上的磁盘进行了加密。

用它来加密可以降低黑客自己的开发成本。 此外，某些勒索软件具有提供解密文件可能性的漏洞。 用成熟的商业软件加密，解密难度加大； 另外，使用常规软件来规避安全软件更方便。

3. 黑客在服务器桌面留下了多条勒索信息。 经查，赎金共计9.5个比特币（约合人民币40万元）。 一般情况下，勒索软件被破坏后索要的赎金为1-2个比特币。 这种过高的赎金要求在实际攻击场景中还是很少见的。

黑客在信息中明目张胆地敲诈受害公司，言词嚣张至极。例如

“我们不是自动传播的勒索软件，而是专门针对企业进行针对性攻击的专业黑客组织。”

“如果两三天内没有回复，我们就攻击破坏，破坏比加密容易多了……”

他还举了一个自己比较狂妄自毁的例子：

“某公司被加密后3天没有回复，我们（指黑客团伙）删除了该公司虚拟机主机服务器中的近百台虚拟机，公司瘫痪，损失巨大……”

查看黑客收到的比特币钱包，发现并没有收到赎金。

此外，黑客为了证明自己是一个“有良心”的商人，在勒索信息中花费大量篇幅证明支付赎金后可以成功解密赎金，还额外提供了调试数据库和服务服务. 代码错误。

安全建议

从整个攻击过程可以看出，黑客先是入侵web服务器，然后渗透到内网，利用弱口令漏洞对多台内网服务器进行逐级攻击。 很容易被黑客关闭。

针对此类勒索软件攻击，给出以下安全建议：

1.关闭服务器上不需要的端口

2.不要使用弱密码，不要每台服务器都使用相同的密码

3、隔离内外网，尽可能将外网服务器与内网隔离，防止外网服务器被入侵后黑客进一步侵入内网。

4. 只有经过授权的IP地址才能访问重要数据、系统和机器。

5、及时修复高危漏洞

6、定期备份重要数据

7、部署腾讯云站管家WAF，专业服务网站一站式智能防护平台

未来的趋势

随着近期勒索软件攻击事件的频繁发生，黑客越来越多地将目标转向政府和企业组织，以谋取更多利益。 一旦服务器数据被加密，此类机构就无法正常运作，更倾向于支付赎金。 因此，服务器未来仍将是黑客的重点攻击目标。

一旦数据被勒索软件加密，就很难恢复。 因此，对于勒索病毒攻击被黑客攻击要求汇比特币，防御非常重要，良好的安全习惯和意识可以有效防范此类攻击。

据了解，截至目前，被攻击公司尚未向入侵者支付赎金，并已使用前期备份恢复系统。

国际奥委会

C2：

1.199.31.208

91.247.38.61

MD5：

F

挖矿网Ethos中文网拥有简单易用的挖矿系统，为挖矿行业提供教程软件和矿机评测及交易信息被黑客攻击要求汇比特币，对比计算各种数字货币在挖矿网的挖矿收益，以及介绍矿网挖矿工具，矿场最新动态等。

矿业网络，版权所有丨如未注明，均为原创丨本站采用BY-NC-SA协议授权

转载请注明原文链接：黑客加密要求比特币支付 黑客加密企业服务器，嚣张勒索9.5个比特币