九游老哥云
「威胁通告」Vollgar僵尸网络
2020-04-01
一、威胁概述
4月1日，Guardicore Labs团队宣布了一份恒久攻击运动的剖析报告，此攻击运动主要针对运行MS-SQL服务的Windows系统。剖析报告称，此攻击运动至少从2018年5月最先，攻击者会针对目的的MS-SQL举行暴力猜解，乐成登录目的系统后，再在系统中安排后门并运行远控工具等恶意程序。这一系列的攻击运动被命名为“Vollgar”。
通过暴力破解账户上岸系统再植入恶意程序是一种十分普遍的攻击手法，但报告中称，天天仍有2-3千个数据库在Vollgar攻击运动中被攻陷，其中包括中国、印度、韩国、土耳其和美国等国家，受影响的行业涵盖医疗、航空、IT、电信、教育等多个领域。
参考链接：
https://www.guardicore.com/2020/04/vollgar-ms-sql-servers-under-attack/
二、影响规模
保存MS-SQL弱口令的Windows系统
三、危害排查
3.1 detect_vollgar.ps1剧本自查
Guardicore Labs提供了PowerShell自查剧本Script – detect_vollgar.ps1，自查剧本detect_vollgar.ps1可实现外地攻击痕迹检测，检测内容如下：
- 文件系统中的恶意payload；
- 恶意服务历程使命名；
- 后门用户名。
剧本下载链接：
https://github.com/guardicore/labs_campaigns/tree/master/Vollgar
检测办法：
1、下载自查剧本detect_vollgar.ps1至外地，剧本内容详看法址https://github.com/guardicore/labs_campaigns/blob/master/Vollgar/detect_vollgar.ps1
2、“Windows”+“R”，在弹出的运行界面搜索PowerShell。
3、运行剧本。若是回显中包括“Evidence for Vollgar campaign has been found on this host.”字样，则说明目今系统可能已被熏染。
若保存熏染情形，请参考下列要领举行处置惩罚：
- 移除探测自查效果中的攻击痕迹。
- 终止恶意程序
注：若泛起直接运行PowerShell时提醒“无法加载文件ps1，由于在此系统中榨取执行剧本。有关详细信息，请参阅 “get-help about_signing”。此提醒是由于没有权限执行该剧本。可运行如下下令审查目今执行战略：
|
1
|
get-executionpolicy
|
若是显示“Restricted”则为不允许执行任何剧本。
通过运行以下下令可修改其战略：
|
1
|
set-executionpolicy remotesigned
|
修改乐成后即可使用PowerShell执行剧本
如需作废对其战略的修改，可通过运行以下下令举行恢复。
|
1
|
set-executionpolicy Restricted
|
3.2 通例防护建议
- 关闭数据库账号登录方法 以windows身份验证方法登录数据库 并在windows战略里设置密码强度。
- 增强网络界线入侵提防和治理，在网络收支口设置防火墙等网络清静装备，对不须要的通讯予以阻断。
- 对袒露在互联网上的网络装备、服务器、操作系统和应用系统举行清静排查，包括但不限误差扫描、木马监测、设置核查、WEB误差检测、网站渗透测试等。
- 增强清静治理，建设网络清静应急处置惩罚机制，启用网络和运行日志审计，安排网络值守，做好监测步伐，实时发明攻击危害，实时处置惩罚。
