[求救] 最新型勒索SCORP病毒(更新07/23)

[peter7910162 (小P熊)]

剛剛遠端公司電腦想說要來辦公一些事情

結果GG

中了最新沒看過的勒索SCORP病毒

全都被加密了，無言了！！



身為公司MIS，我看我明天有的忙了..........

http://i.imgur.com/EDYoJBQ.png

http://i.imgur.com/XAYHG8V.png

http://i.imgur.com/xTCs9ye.png

http://i.imgur.com/TebZkg4.png



----------07/19更新---------

寫信詢問解密要多少錢
結果要2 BTC
http://i.imgur.com/6lujWnZ.png

防毒有偵測到卻還會中!!!
http://i.imgur.com/RtDDSLh.png


-----
Sent from JPTT on my Xiaomi Mi Note 2.

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 122.118.120.56
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1500396844.A.838.html
→ KevinYu0504: ESET 企業版沒有擋下?
→ KevinYu0504: 這下子身為 MIS 可真的得頭痛好段時間了
推 yangzhe: 這款也是主動式入侵的？（估狗不太到相關資訊...）
→ peter7910162: 我GOOGLE不太到相關消息，看來是蠻新的，昨天總經理
→ peter7910162: 電腦先中，結果晚上6點多被加密換我的電腦中
推 Klauhal: Win7 SMB1?
我的電腦都會固定更新作業軟體是win7 sp1
推 abramtw: Google後發現竟然只有這一篇回報這隻新病毒
慘，在這公司擔任MIS這次是第三次中勒索，每次中都不一樣
推 godchildtw: 很多企業無腦老闆認為電腦沒出什麼問題還要養MIS不值
→ godchildtw: 得，偶爾出一點小包，MIS有點事情做才會覺得有被需要
推 yangzhe: Mobile01上那篇應該也是原po回報的吧？如果是這樣，那目
→ yangzhe: 真的只有原po會報這隻病毒...(怕)
→ yangzhe: 而且2比特幣也太貴了吧
是的，mobile01那篇是我發文的
推 godchildtw: 先試試檔案救援軟體，找被刪除檔案救回看內容是否正確
無解，我試著還原點，剛好我的桌面資料都放在d槽沒有還原點可以還原....
推 david7928: 這隻要2比特幣？這麼貴一般人不會付錢吧？
放棄阿哪有可能付款
推 lovensr: 我公司是中aleta這個副檔名的勒索.....
推 abramtw: 會不會是你們內部員工寫的
→ abramtw: 只勒索一家公司 怎麼想都很怪
應該不太可能，mobile01有位網友回報
推 yangzhe: Aleta的話是今年7月初開始的，對岸滿多機關中招
推 Joba07: 請問中獎的電腦共同特徵是？Win7 smb1開啓？
我公司常用檔案分享，所以應該是有開
推 chang0206: 中三次勒索病毒？
YES



做一個總結
剛剛打電話詢問防毒軟體廠商

第一次偵測到是在下午5:40分被偵測，所以檔案沒有被加密
但是我的檔案備加密是在下午6:35分左右被加密
代表勒索病又變種可以躲過nod32偵測，nod32沒有辦法防護
到了隔天12:36分，nod32才偵測出病毒
代表此勒索病毒是主動型攻擊型態

所以請大家注意一下!!!
推 vi000246: 防毒偵測到的是中毒完後產生的付款教學文件
是的，防毒偵測是付款說明網頁!!!
※ 編輯: peter7910162 (59.120.231.205), 07/19/2017 11:59:26
→ Kennyq: 有點規模的公司每天都會有資料備份，沒備根本是自殺
→ Kennyq: 不要說2比特幣，0.0002比特幣我都不會付
推 Joba07: 有防火牆加防毒軟體還是被攻入 是直接穿透防火牆還是網內
→ Joba07: 的電腦先有被開後門(例如總經理那台PC?)
推 NeoBelfort: 有傳id ransomware查是哪家的變種嗎？ 建議未來裝 app
→ NeoBelfort: check或 comodo.卡巴有hips+防火牆的組合
推 NeoBelfort: email看起來是wallet的變種 他通常出下個變種前會釋出
→ NeoBelfort: 主鑰 能等就等
大大是變種的GlobeImposter 2.0

https://id-ransomware.malwarehunterteam.com/identify.php?case=9c5cffe9a3aa29ab452fad0fc559f74c86ce406c

※ 編輯: peter7910162 (59.120.231.205), 07/20/2017 08:44:29
推 H264: ESET看來真的不要用 感謝情報提供
推 NeoBelfort: 這種似乎不會放出主鑰 攻擊以RDP為主 釣魚漏洞為輔 所
→ NeoBelfort: 以企業很容易中
推 go1717: 0day？這價值可高了...
更新:07/22
網路查詢
此勒索是透過遠端漏洞攻擊!!!
請各位注意!!!
https://support.emsisoft.com/topic/27337-globeimposter-20-infection/

今天跟客服殺價變成1 BTC
http://i.imgur.com/a5BHBGl.png
※ 編輯: peter7910162 (122.118.143.109), 07/22/2017 20:41:13
推 coyoteY: 還能殺價~真人性化
推 abram: 看起來是至少要安裝windows的六月更新才能防範
推 nk950357: 是用什麼遠端軟體阿
推 tswu8: 原Po有定時更新，所以是email釣魚中的？
我有定期win更新，但是沒更新到六月份，這次會中獎是透過內建遠端侵入中獎!!!我很少收EMAIL的
※ 編輯: peter7910162 (122.118.142.81), 07/23/2017 21:02:10
推 tswu8: 所以是要安裝KB4022726
推 tswu8: 嗎？可是這搜尋不適用Win 7
六月份釋出更新只有一項沒更新到
推 DINJIAPC: Eset的hips是傳統手動型 規則與排除要下功夫
→ angelmask: 請問樓主怎麼確定是透過遠端入侵的?
我上網爬文一下，是說用遠端入侵的...
※ 編輯: peter7910162 (122.118.164.142), 07/26/2017 21:25:33