[情報]cerber勒索軟體

[whiteD (悠閒自在...)]

近期因為 WannaCry 太夯了，導致公司大頭們都相當緊張，

雖然小弟跟大夥保證，公司絕對沒問題，不用擔心

但是大家還是一副草木皆兵的樣子，只要有發生電腦有狀況

就一定要最高規格處理，連分公司有狀況都要去看...

不過，卻意外發現最近公司內部接連發生檔案被加密，但沒被勒索

想當然耳，當然是中了勒索，只不過對外連線目的端的中繼站被FW擋了

所以同仁接收不到勒索匯款的畫面。

被加密的檔案副檔名均變更為16進位，看起來就等於4位數的英數字

詳查evenlog，可以發現中標的源頭為隨身碟，裡面有個腳本檔.hta(隱藏檔)

應該為cerber勒索軟體的變種，兇手隨身碟均有被帶回家使用，所以無法確實追查源頭

給大家參考，也請教各位先進，這可能是上了哪些網站論壇而中標？要拿來宣導使用。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.230.52.34
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494951551.A.27F.html
→ gwofeng: 可以提供下樣本嗎，隨身碟型的勒索病毒實在罕見
→ gwofeng: 那個hta應該是勒索說明檔而已，cerber一向都是加密完就
→ gwofeng: 自殺，很難想像會從中毒的電腦移居到隨身碟去暴露自己的
→ gwofeng: 本體
可惡，被大大說中了，因為有個TXT說明檔，而且.hta是隱藏檔，所以以為是本體
結果剛剛抽空去看，也還是說明檔，傷心...
推 coyoteY: 如果發展成APT攻擊,這根本是很難防..要鎖掉USB惹
推 Sich: 想趁機問一下各位大大，除了物理封鎖usb槽，有什麼有效控制u
→ Sich: sb裝置的方法？
推 Sich: 小的公司對外算得上很周全（因為4年前有被攻擊到整個系統崩
→ Sich: 潰一個月）可是對內我感覺還是跟紙糊的沒什麼兩樣...
小弟我也覺得很困難
推 idunhav1: sandboxie?
→ IDfor2010: 提示框是最近版才有的 之前的沒有提示框 似乎是txt文檔
→ IDfor2010: 或是有另一個要你點開看的檔案 這病毒越來越人性化了
推 verdandy: 因為不人性就勒索不到錢，現在勒索軟體有多國語言
→ verdandy: 有換比特幣教學，還有客服信箱就是希望能確實收到贖金
推 peterh05: AD、防毒、資產軟體都可以控管USB
推 erik777: 病毒加密完就自殺是為啥? 怕反組譯解出密碼?
推 Klauhal: 減少被拉出來當樣本玩的機率
→ Klauhal: 不過只要在加密完成前拉出來就變成樣本了...
※ 編輯: whiteD (210.241.4.253), 05/17/2017 08:21:27
推 po77916: 把病毒抓來玩 聽起來有點變態..難怪病毒要自殺
推 gary5034: 要防止USB 要不要參考一下國軍小企鵝XD
推 erxx2002: 專業的阿宅
→ kondoyu: 病毒會自殺很正常啊 妳看看女忍者被抓到的下場
推 F16V: 現在有對魔忍病毒嗎
※ 編輯: whiteD (210.241.4.253), 05/17/2017 14:11:25
→ modkk: 對樓上的講法感到興奮
推 StrikeBee: 勒索病毒擬人化出本子，想想就硬了
推 AprilE98: 樓怎麼歪成這樣...
推 weiyilan: 咕殺病毒，此處應有本
→ LOVEMS: 有些大企業會禁USB，頂多開少數電腦專門供USB使用，不這
→ LOVEMS: 樣作就搞死IT/MIS而已