警惕“UIWIX”的勒索病毒来袭

2017年5月17日，阿里云监测发现一种名为“UIWIX”的勒索病毒新变种入侵案例，该勒索病毒与目前正在流行的“WannaCry”（又名“魔窟”）勒索病毒采用了类似的攻击方式，该变种已经不受开关限制，同样也使用微软公司Windows操作系统的SMB服务漏洞（MS17-010 ）进行感染破坏。该勒索病毒会将受害用户文件加密后重新命名，新文件名将带有 “.UIWIX”后缀名。建议所有windows用户及时关闭端口、安装补丁，并提高警惕保持关注。 
经过分析，Uiwix的工作原理与其他勒索恶意类似。加密开始后，它将.uiwix扩展名添加到所有被感染文件。另外，它会投放一个名为“_DECODE_FILES.txt”的文本文件，该文件含有要求支付赎金以解密内容的信息。 
 
 
 
 
 
 
 
Uiwix带来的威胁比WannaCry勒索软件还要大，原因在于它不包括kill switch域名，我们对比了UIWIX和WannaCry之间的区别如下： 
 
 
 
 
防御方案： 

• 用户尽快使用快照或其他方式备份数据，建议采用异地完整备份所有文件；

• 为受影响的操作系统安装补丁，下载链接 ；

• WindowsServer 2003微软官方已经紧急发布针对此次事件的特殊补丁：https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/，因此建议您立即安装相关补丁（域用户建议通过域控紧急推送微软官方的补丁），修复漏洞。

• 关闭SMB服务；

• 使用安全组策略阻止内网入和外网入方向的445端口；

• 不要随意点击打开可疑邮件、文件信息；

 
 
如何启用和禁用Windows和Windows Server中的SMBv1、SMBv2和SMBv3？ 
https://support.microsoft.com/en-us/help/2696547/how-to-enable-and-disable-smbv1,-smbv2,-and-smbv3-in-windows-vista,-windows-server-2008,-windows-7,-windows-server-2008-r2,-windows-8,-and-windows-server-2012  
 
 
IOC: 

• 146581F0B3FBE00026EE3EBE68797B0E57F39D1D8AECC99FDC3290E9CFADC4FC (SHA256) — detected as RANSOM_UIWIX.A

• C72BA80934DC955FA3E4B0894A5330714DD72C2CD4F7FF6988560FC04D2E6494 (SHA256) – detected as TROJ_COINMINER.WN

 
Command and Control (C&C) domains related to TROJ_COINMINER.WN:

• 07[.]super5566[.]com

• aa1[.]super5566[.]com

转载自阿里云