压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

火絨安全實(shí)驗(yàn)室監(jiān)測(cè)，疑似借助用友暢捷通T+傳播的勒索病毒模塊異常活躍（FakeTplus病毒）。火絨工程師排查某勒索現(xiàn)場(chǎng)時(shí)發(fā)現(xiàn)，病毒模塊的投放時(shí)間與受害者使用的用友暢捷通T+軟件模塊升級(jí)時(shí)間相近，不排除黑客通過供應(yīng)鏈污染或漏洞的方式進(jìn)行投毒。火絨安全軟件可成功查殺該病毒。

火絨安全查殺圖

排查發(fā)現(xiàn)，黑客首先會(huì)通過漏洞或其他方式向受害者終端投放后門病毒模塊。黑客可以通過訪問后門模塊（Load.aspx）來執(zhí)行任意惡意模塊（惡意模塊數(shù)據(jù)被AES算法加密的）。之后通過后門模塊在內(nèi)存中加載執(zhí)行勒索病毒，根據(jù)火絨威脅情報(bào)系統(tǒng)統(tǒng)計(jì)得出病毒傳播趨勢(shì)，如下圖所示：

FakeTplus病毒傳播趨勢(shì)圖

在被投毒的現(xiàn)場(chǎng)中可以看到，后門病毒模塊位于用友暢捷通T+軟件的bin目錄中，相關(guān)文件情況如下圖所示：

被投毒現(xiàn)場(chǎng)后門病毒模塊文件位置情況

某被投毒現(xiàn)場(chǎng)中，后門病毒模塊的被投放時(shí)間，與受害用戶使用的用友暢捷通T+軟件模塊升級(jí)時(shí)間相近，暢捷通T+軟件更新的文件和惡意模塊的時(shí)間對(duì)比圖，如下圖所示：

時(shí)間對(duì)比圖

被勒索后，需要支付0.2個(gè)比特幣（目前大概27,439人民幣），黑客留下的勒索信，如下圖所示：

勒索信

后門模塊代碼邏輯

附錄

病毒 HASH：

來源：火絨安全實(shí)驗(yàn)室