緊急預警：Globelmposter再次攻擊醫療行業，爆“十二生肖”2.0新變種

近日，深信服安全團隊觀察到Globelmposter勒索病毒再次出現最新變種，加密檔案字尾以十二生肖+865qq的方式出現，截至目前國內多個省市均發現感染案例，覆蓋多行業，其中醫療行業影響最嚴重，個別省份同一天出現10家以上醫院受感染。結合早期Globelmposter勒索病毒特徵，深信服安全團隊將其命名為“十二生肖”2.0版本。

病毒描述

“十二生肖”2.0版本勒索資訊如下，有兩個版本，以下是英文版勒索資訊，有對應的中文版勒索資訊。 

Globelmposter“十二生肖”2.0版本加密字尾分別有Pig865qq、Rooster865qq、Tiger865qq、Dragon865qq、Snake865qq、Rat865qq、Horse865qq、Dog865qq、Monkey865qq、Rabbit865qq、Goat855qq等，以十二生肖+865qq的方式出現。

早在18年8月份，深信服已經跟蹤到了Globelmposter“十二生肖”1.0版本，也就說Globelmposter3.0，其加密字尾以*4444為主要特徵，典型字尾包括十二生肖字尾Dragon4444(龍)、Pig4444（豬）、Tiger4444（虎）、Snake4444（蛇）、Rooster4444（雞）、Rat4444（鼠）、Horse4444（馬）、Dog4444（狗）、Monkey4444（猴）、Rabbit4444（兔）、Goat4444(羊)等。

Globelmposter“十二生肖”1.0版本具體資訊詳見：緊急預警：Globelmposter再爆3.0變種，大型醫院已中招

今年7月，Globelmpostser勒索病毒開始出現“十二主神”版本,加密字尾以“希臘十二主神+666” 、 “希臘十二主神 + 865”等形式出現。

Globelmpostser“十二主神”版本具體資訊詳見：Globelmposter勒索病毒最新變種預警：從“十二生肖”到“十二主神”，為何國內醫療行業最受傷？

本次發現的Globelmposter“十二生肖”2.0版本，沿用了Globelmposter“十二生肖”1.0版本的命名，卻繼承了“十二主神”2.0的特點，沒有采用“十二生肖”1.0版本的勒索資訊，而是採用了“十二主神”的勒索資訊。

一直以來，國內一直飽受Globelmposter勒索病毒的侵害，涉及不同行業，覆蓋行業有醫療、政府、能源、貿易等行業。其中對醫療行業危害最大，醫療衛生行業具有很大的業務緊迫性，一旦被勒索，將導致業務中斷，造成的損失不可估量，這又會導致這個行業的受害者為了快速恢復業務，而選擇給駭客支付贖金的方式。此外，境外駭客勢力並不會顧及行業的特殊性和公益性，較之以往更加變本加厲，給醫療衛生行業帶來了巨大的挑戰。

本次Globelmposter“十二生肖”2.0版本，主要瞄準目標為核心業務的伺服器，攻擊HIS、LIS、PACS等系統，導致門診無法看病，資料庫被加密，如下，可以看到被加密的檔案被追加了Tiger865qq的字尾名。

解決方案

針對已經出現勒索現象的使用者，由於暫時沒有解密工具，建議儘快對感染主機進行斷網隔離。深信服提醒廣大使用者儘快做好病毒檢測與防禦措施，防範該病毒家族的勒索攻擊。

 病毒檢測查殺

1、深信服EDR產品、下一代防火牆及安全感知平臺等安全產品均具備病毒檢測能力，部署相關產品使用者可進行病毒檢測，如圖所示：

2、深信服為廣大使用者免費提供查殺工具，可下載如下工具，進行檢測查殺。

64位系統下載連結：http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z

32位系統下載連結：http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z

 病毒防禦

1、及時給電腦打補丁，修復漏洞；

2、對重要的資料檔案定期進行非本地備份；

3、不要點選來源不明的郵件附件，不從不明網站下載軟體；

4、儘量關閉不必要的檔案共享許可權；

5、更改賬戶密碼，設定強密碼，避免使用統一的密碼，因為統一的密碼會導致一臺被攻破，多臺遭殃；

6、如果業務上無需使用RDP的，建議關閉RDP。當出現此類事件時，推薦使用深信服防火牆，或者終端檢測響應平臺（EDR）的微隔離功能對3389等埠進行封堵，防止擴散；

7、深信服防火牆、終端檢測響應平臺（EDR）均有防爆破功能，防火牆開啟此功能並啟用11080051、11080027、11080016規則，EDR開啟防爆破功能可進行防禦；

8、深信服防火牆客戶，建議升級到AF805版本，並開啟人工智慧引擎Save，以達到最好的防禦效果；

10、深信服終端檢測響應平臺（EDR）支援識別市面上大多數的流行駭客工具，並具備主動攔截和禁止執行功能；深信服EDR客戶，建議開啟勒索防護功能，精準攔截勒索病毒；

11、使用深信服安全產品，接入安全雲腦，使用雲查服務可以即時檢測防禦新威脅；

12、深信服推出安全運營服務，透過以“人機共智”的服務模式幫助使用者快速擴充套件安全能力，針對此類威脅安全運營服務提供裝置安全裝置策略檢查、安全威脅檢查、相關漏洞檢查等服務，確保第一時間檢測風險以及更新策略，防範此類威脅。

最後，建議企業對全網進行一次安全檢查和防毒掃描，加強防護工作。推薦使用深信服安全感知+防火牆+EDR，對內網進行感知、查殺和防護。