近日，據(jù)騰訊安全聯(lián)合實(shí)驗(yàn)室反病毒實(shí)驗(yàn)室監(jiān)測(cè)發(fā)現(xiàn)，一種利用Office新型漏洞傳播Locky勒索病毒的釣魚郵件正在大規(guī)模爆發(fā)，一旦用戶點(diǎn)下載了釣魚郵件中的Office附件，并遵照該Office文件打開時(shí)的提醒操作電腦，個(gè)人電腦上的文檔資料將被加密勒索。
目前，騰訊電腦管家已經(jīng)全面攔截查殺該類惡意Office文件，及Locky勒索病毒，廣大用戶無需驚慌。同時(shí)還可以下載安裝騰訊電腦管家“文檔守護(hù)者2.0”，全方位保護(hù)個(gè)人文檔安全。
層層陷阱：釣魚郵件+文檔漏洞誘使中招
這次的病毒在攻擊方式上較為繁瑣，不法分子為了達(dá)到目的運(yùn)用了多種攻擊手段組合迷惑用戶。據(jù)騰訊安全聯(lián)合實(shí)驗(yàn)室反病毒實(shí)驗(yàn)室分析發(fā)現(xiàn)，病毒最初來源于不法分子精心偽造的釣魚郵件，郵件主題也多為與發(fā)票、文檔有關(guān)，而郵件的正文部分常為空白，誘使用戶點(diǎn)擊。
如果收件人粗心大意，下載點(diǎn)擊附件中的Office文檔，Office就會(huì)先彈出第一個(gè)對(duì)話框提示“該文檔包含的域可能包含引用了其他文件，是否更新文檔中的這些域”。
隨后，用戶會(huì)再次接收到一個(gè)如下的對(duì)話框提示：
一旦用戶不假思索或由于失誤操作連續(xù)兩次點(diǎn)擊“是”，隱藏在文檔中的惡意DDE代碼就會(huì)調(diào)用powershell腳本下載惡意程序，loader程序會(huì)與C&C通信下載勒索軟件并加載執(zhí)行，最終加密用戶電腦數(shù)據(jù)以達(dá)到破壞數(shù)據(jù)勒索錢財(cái)?shù)哪康摹?/p>
這里對(duì)于DDE文檔的利用不僅是不法分子設(shè)置的第二道迷障，也是此次攻擊的核心所在。Windows為應(yīng)用之間進(jìn)行數(shù)據(jù)傳輸提供了多種傳輸方式，其中一種叫做動(dòng)態(tài)交換協(xié)議，簡稱DDE協(xié)議，應(yīng)用程序可以使用DDE協(xié)議進(jìn)行數(shù)據(jù)傳輸和持續(xù)交換。惡意軟件的這種利用方式不會(huì)觸發(fā)Office的宏安全警告，也可繞過傳統(tǒng)殺毒軟件的宏病毒防御。
宏病毒升級(jí)版：DDE文檔成病毒傳播新寵
DDE文檔是最近曝光的一種新的攻擊手法，攻擊者不需要目標(biāo)開啟宏即可執(zhí)行任意命令，如果安全意識(shí)不夠強(qiáng)的話很容易中招。在DDE執(zhí)行代碼的技術(shù)細(xì)節(jié)被公開后的前幾天中，鮮有惡意文檔利用這種技術(shù)，但隨著時(shí)間的推移，這種利用方式出現(xiàn)得越來越多。
過去幾年，基于宏的文檔攻擊技術(shù)一直是主流，雖然需要用戶主動(dòng)進(jìn)行確認(rèn)，但是攻擊的成功率依然非常的高。不過，近段時(shí)間來，使用Office DDE技術(shù)來傳播惡意文件的方法已經(jīng)越來越流行。該技術(shù)也很快被FIN7組織、Necurs僵尸網(wǎng)絡(luò)所采用，用來進(jìn)行APT攻擊，以及用來傳播勒索病毒。
騰訊電腦管家安全專家、騰訊安全聯(lián)合實(shí)驗(yàn)室反病毒實(shí)驗(yàn)室負(fù)責(zé)人馬勁松表示，Office DDE技術(shù)已經(jīng)開始替代了傳統(tǒng)的宏技術(shù)，成為當(dāng)前使用Office為載體傳播病毒的新寵。
安全建議：切斷攻擊源，提前備份文檔成關(guān)鍵
這次的勒索病毒由于使用了較為新穎的攻擊方法，后續(xù)有進(jìn)一步爆發(fā)的可能。騰訊電腦管家在梳理此次攻擊之后結(jié)合其特點(diǎn)給出了一下具體防護(hù)建議。
第一，攻擊者在攻擊過程中使用了釣魚郵件做為攻擊的最初載體。因此做好安全教育，不隨意打開陌生人發(fā)送的文件可以最快的阻斷攻擊。
第二，建議用戶盡快排查自身網(wǎng)絡(luò)內(nèi)是否有C&C地址的訪問，一旦發(fā)現(xiàn)有終端主機(jī)對(duì)下述的C&C地址發(fā)起請(qǐng)求連接，則極有可能已經(jīng)淪陷。
同時(shí)建議用戶安裝騰訊電腦管家等終端安全產(chǎn)品，保持終端安全產(chǎn)品的及時(shí)更新從而達(dá)到有效防護(hù)。目前，騰訊電腦管家和哈勃分析系統(tǒng)（https://habo.qq.com/）已經(jīng)能夠識(shí)別和查殺此類文檔文件和loader程序。
第三，用戶一旦感染勒索病毒將很難找回文件，建議用戶做事前防御工作。目前騰訊電腦電腦管家升級(jí)上線了旗下的文檔保護(hù)體系——文檔守護(hù)者2.0，基于管家的安全防御體系，通過對(duì)系統(tǒng)引導(dǎo)、邊界防御、本地防御、執(zhí)行保護(hù)、改寫保護(hù)，備份等多個(gè)環(huán)節(jié)的保護(hù)構(gòu)建完整的防御方案，保護(hù)用戶的文檔不被加密勒索。通過全網(wǎng)攔截引擎，可實(shí)現(xiàn)對(duì)包括Locky在內(nèi)的430種勒索病毒樣本的免疫；同時(shí)還能提供對(duì)未知的勒索病毒的攔截能力，并自動(dòng)備份全盤文檔，進(jìn)一步保證用戶文檔安全。
- 蜜度索驥：以跨模態(tài)檢索技術(shù)助力“企宣”向上生長
- 比亞迪第五代DM技術(shù)問世，首搭秦L/海豹06 DM-i，開創(chuàng)油耗2時(shí)代！
- 小紅書沉帖降權(quán)怎么做，有效方法大盤點(diǎn)！
- 亞洲時(shí)刻京東送上電視好禮 以舊換新一體化服務(wù)讓低價(jià)更靠譜
- 互聯(lián)網(wǎng)營銷師和全媒體運(yùn)營師的區(qū)別?
- 聯(lián)想集團(tuán)車計(jì)算“超級(jí)大腦”概念機(jī)亮相
- 華策影視設(shè)立專項(xiàng)基金成立AIGC應(yīng)用研究院
- 三部委審批，聯(lián)合發(fā)布9個(gè)新職業(yè)，“互聯(lián)網(wǎng)營銷師”上榜
- 互聯(lián)網(wǎng)營銷師的報(bào)考條件是什么？
- 互聯(lián)網(wǎng)營銷師的適合人群有哪些？
- 互聯(lián)網(wǎng)營銷師行業(yè)前景怎么樣？
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
