近日，360安全大腦監測發現多起Mallox勒索病毒攻擊事件。該病毒主要針對企業的Web應用發起攻擊，包括Spring Boot、Weblogic、通達OA等，在拿下目標設備權限后還會嘗試在內網中橫向移動，獲取更多設備的權限，危害性極大。360提醒用戶加強防護，并建議使用360終端安全產品提供的安全補丁，防御查殺該病毒。
360安全大腦監測歷史顯示，Mallox（又被稱作Target Company）于2021年10月進入中國，早期主要通過SQLGlobeImposter渠道進行傳播（通過獲取到數據庫口令后，遠程下發勒索病毒。該渠道曾長期被GlobeImposter勒索病毒使用）。而今年GlobeImposter勒索病毒的傳播量逐漸下降，Mallox就逐漸占據了這一渠道。
除了傳播渠道之外，360通過分析近期攻擊案例發現，攻擊者會向Web應用中植入大量的WebShell，而這些文件的文件名中會包含“kk”的特征字符。一旦成功入侵目標設備，攻擊者會嘗試釋放PowerCat、lCX、AnyDesk等黑客工具控制目標機器、創建賬戶，并嘗試遠程登錄目標機器。此外，攻擊者還會使用fscan工具掃描設備所在內網，并嘗試攻擊內網中的其它機器。在獲取到最多設備權限后開始部署勒索病毒。
而Mallox勒索病毒的狡猾程度不止于此。調查發現，Mallox家族經歷了三個發展階段，每個階段都會通過改變一些特征來區分受害者并躲避安全人員的追蹤。第一階段，攻擊者在部署Mallox勒索病毒時，會將擴展名命名為被攻擊企業的名稱或其所屬的行業名，如tohnichi、artiis、herrco、architek等，同時在勒索信息中提供暗網地址和ID用以與黑客聯系。
第二階段，為了混淆安全研究人員對該家族攻擊事件的跟蹤，攻擊者修改了之前包含目標企業名字的擴展名，變為周期性更換固定通用擴展名，同時攻擊者開始停止提供暗網網址和ID，轉為提供郵件地址供受害者進行聯系。歷經兩次改變后，第三階段攻擊者再次改變其特點，將被加密文件擴展名修改為類似acookies-xxxxxxxx格式對受害者進行區分。
不過，Mallox勒索病毒不斷變換特征的伎倆，并不能騙過360安全大腦。在發現病毒后，360終端安全產品快速進行了響應，通過上新安全補丁幫助政企客戶保護財產安全。在此，360鄭重提示，存在相應風險的用戶，應盡快部署360終端安全產品，以應對此類攻擊問題。
推薦評測
Copyright 1997-2022?電腦報官網?All Rights Reserved
渝公網安備 50010302003670號
