警惕！升级版勒索病毒“开年”来袭，腾讯企业安全支招防御措施

2017年WannaCry、Petya、Bad Rabbit等勒索病毒的阴霾尚未完全消散，春节假期刚过，国内个别医院机构服务器疑似遭最新勒索病毒攻击，数据库文件被加密破坏，已影响正常就医秩序。经腾讯企业安全分析发现，此次出现的勒索病毒正是GlobeImposter家族的变种，该勒索病毒将加密后的文件重命名为.GOTHAM、.Techno、.DOC、.CHAK、.FREEMAN、.TRUE、.TECHNO等扩展名，并通过邮件来告知受害者付款方式，使其获利更加容易方便。

目前，腾讯企业安全已实时防御该勒索病毒，并建议各大企业用户使用腾讯企业安全“御点”防御此类攻击。同时，普通用户开启腾讯电脑管家“文档守护者”功能备份重要文档，可防御大部分勒索病毒攻击。

此次爆发的GlobeImposter家族勒索病毒变种，主要以国内公共机构服务器作为攻击对象。据腾讯企业安全技术专家指出，从捕获的传播样本来看，其恶意代码框架和流程是一致的，唯一不同的就是加密文件的后缀名和攻击者的邮箱地址信息。恶意代码样本为了防止被轻易地分析，加密了大多数字符串和一部分API，而加密后的文件后缀将会重命名为.TRUE等。

（病毒程序将加密后的文件重命名为后缀名为.TRUE的文件）

勒索软件在加密文件的同时，会创建勒索信息文件，引导受害者通过邮件与勒索者进行联系，要求受害者将一个加密的图片或文档发送到指定的邮箱进行付费解密。

基于此次病毒样本的分析及研究不难发现，如今勒索病毒的隐蔽性与传播效率正逐步提升，用户一旦中招更可能造成不可估量的严重后果。企业及个人用户在防御勒索病毒时应更加侧重事前预防，不给不法黑客可乘之机。

腾讯企业安全技术专家表示，企业及个人用户日常应养成良好的电脑使用习惯，加强网络安全防范意识：尽量关闭不必要的端口、不必要的文件共享，禁用对共享文件夹的匿名访问；采用高强度的密码，并且强制要求每个服务器使用不同密码管理；对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器；在终端/服务器部署腾讯云等具备专业安全防护能力的云服务，可有效防御病毒入侵。

对于企业用户来说，在紧急情况下，应立即组织内网检测，查找所有开放445等服务端口的终端和服务器，一旦发现电脑中毒，立即断网；要求所有员工按照日常防范步骤，检查和落实漏洞修复等安全措施；严格禁止使用U盘、移动硬盘等可执行摆渡攻击的设备，同时尽快备份电脑中的重要文件和数据资料。

如今，网络安全已逐渐成为企业发展的重要基础建设之一，企业有必要建立一套定制化的网络防御方案，切实提升网络安全防御能力。腾讯企业安全相关负责人表示，在对抗病毒、漏洞攻击活动方面，腾讯“御点”依托腾讯19年的安全经验积累，可有效防御企业内网终端的病毒木马攻击。此外，普通用户也应及时安装操作系统漏洞补丁，安全备份重要数据及文件，以免遭到勒索病毒破坏。

企业内网管理员可以参考腾讯企业安全官网的《主机安全自检指南》和《Windows Server安全加固指南》进行相关处理。