【警惕】 MsraMiner挖矿病毒习染多个沉要行业 宝运莱官方网站推出工控网络安全加固规划
颁布功夫 2019-03-20
近期 ，MsraMiner变种再次在网上传布 ，已在多个省份一些沉要行业出现习染情况 ，如医院、区域数据中心等。
3月上旬 ，接到用户的电话 ，其OPC服务器、操作站、工程师站出现反复沉启、工作不正常状态 ，经过对部门服务器建复后针对日志分析 ，发现这些服务器、操作站、工程师站被习染了MsraMiner挖矿病毒 ，后经专业查杀软件 ，也证实了的确是该病毒。
MsraMiner挖矿病毒传布过程分析
经过溯源分析 ，MsraMiner病毒 ，利用永恒之蓝缝隙来习染 ，通过 SMB 445 端口传布 ，从而以至被习染的推算机、服务器、操作站、工程师站等CPU占用过高不能正常工作 ，导致DCS系统瘫痪。病毒突破天堑防御后 ，蠕虫式传布：样本自带 Web Server提供自身恶意代码下载。样本扩散重要靠失陷主机之间的 Web Server 或 Socket 传输 ，同时提供了 C&C 端获取样本作为后备机造。
由此能够分析 ，切合以下特点的机构将更容易遭到攻击者的侵害：Windows服务器、终端未部署或未实时更新安全加固和杀毒软件。
MsraMiner挖矿病毒传布蹊径
● OA企业网服务器被习染的可能蹊径
1） 企业级的Internet防火墙被攻击 ，穿透企业防火墙传入内网；
2） 表部U盘被习染后传入内网；
3） 通过邮件携带病毒或恶意邮件被传入；
4） 表部文件习染或内置被传入。
● OA网传入出产节造网蹊径
1） 办公网通过MES隔离设备 ，如工业防火墙 ，由于盛开了445端口被传入；
2） 表设 ，如U盘或者移动硬盘被习染后被带入；
3） 报答私下表联、私下选取无线热点传入。
垂危解决规划
针对本次攻击事务 ，建议的垂危解决规划如下：
1) 对于已被病毒习染的服务器、操作站等尽快下线隔离 ，并联系专业技术服务机构进行日志及样本分析；
2) 在企业级防火墙、OA、MES以及出产节造网等网络天堑工业防火墙上全局关关445端口或445端口只对特定IP盛开；
3) 开启Windows防火墙 ，尽量关关3389、445、139、135等不用的高危端口；
4) 每台服务器设置唯一口令 ，且复杂度要求选取大幼写字母、数字、特殊符号混合的组合结构 ，口令位数足够长（15位、两种组合以上）。
工控网络安全整改加固参考步骤
1、主机安全加固措施
● 对办公网等服务器、终端防护
1) 所有服务器、终端应强行执行复杂密码战术 ，杜绝弱口令；
2) 杜绝使用通用密码治理所有机械；
3) 装置杀毒软件、终端安全治理软件并实时更新病毒库；
4) 实时装置缝隙补��；
5) 开启Windows防火墙 ，尽量关关3389、445、139、135等不用的高危端口；
6) 服务器开启关键日志网络职能 ，为安全事务的追踪溯源提供基础。
● 对出产节造网等服务器、终端、操作站、工程师站防护
1) 所有OPC服务器、操作站、工程师站、终端强行执行复杂密码战术 ，杜绝弱口令 ，且杜绝使用通用密码治理所有机械；
2) 在沉要的服务器、操作站、工程师站上装置进过安全验证以及可用性验证的终端安全防护与杀毒软件、终端安全治理软件并实时更新必要的病毒库（必要时需经过DCS厂家认可的病毒库）；
3) 装置经过测试验证 ，必要时需经过DCS厂家认可的沉要缝隙补��；
4) 开启Windows防火墙 ，尽量关关3389、445、139、135等不用的高危端口；
5) 服务器开启关键日志网络职能 ，为安全事务的追踪溯源提供基础。
2、全方位的安全防护战术
工控网络安满是一项系统工程 ，必要多方协同参加 ，在整个工控系统性命周期中持续施杏注不休改进。实现对工控网络安全实现全方位的防护战术：
1. 成立健全的工控安全出产责任造 ，不休美满企业工控安全治理造度、加强企业人员治理、供给链治理及系统运维治理；
2.当真钻研和会商IEC 62443 尺度和《工业节造系统信息安全防护指南》 ，查抄企业的工控系统 ，对工厂整体的运行情况进行评估 ，发现可能存在的隐含缝隙 ，和工控网络安全团队一路会商信息安全战术和解决规划；
3. 从工控系统全性命周期做好安全防护。由于工业出产各业务环节及有关系统之间的衔接越来越缜密 ，工业节造系统在设计、选型、建设、测试、运杏注检建、拔除各阶段均必要做好防护工作 ，防护措施该当贯通工控系统整个性命周期；
4. 从系统与设备安全、网络安全、主机安全和数据安全方面成立综合防护能力。传统的围堵查杀被动式防护已经不能应对日益严格的安全局势 ，要在工控系统与设备、工业网络、工业主机、工业数据各主题身分上都成立自动防护能力 ，大幅提高黑客攻击工控系统的难度。
宝运莱官方网站的专有工具
景云幼我版
http://www.v-secure.cn/?v=ktools
景云幼我版升级包下载
http://www.v-secure.cn/?v=upgrade
3月上旬 ，接到用户的电话 ，其OPC服务器、操作站、工程师站出现反复沉启、工作不正常状态 ，经过对部门服务器建复后针对日志分析 ，发现这些服务器、操作站、工程师站被习染了MsraMiner挖矿病毒 ，后经专业查杀软件 ，也证实了的确是该病毒。
MsraMiner挖矿病毒传布过程分析
经过溯源分析 ，MsraMiner病毒 ，利用永恒之蓝缝隙来习染 ，通过 SMB 445 端口传布 ，从而以至被习染的推算机、服务器、操作站、工程师站等CPU占用过高不能正常工作 ，导致DCS系统瘫痪。病毒突破天堑防御后 ，蠕虫式传布：样本自带 Web Server提供自身恶意代码下载。样本扩散重要靠失陷主机之间的 Web Server 或 Socket 传输 ，同时提供了 C&C 端获取样本作为后备机造。
由此能够分析 ，切合以下特点的机构将更容易遭到攻击者的侵害：Windows服务器、终端未部署或未实时更新安全加固和杀毒软件。
MsraMiner挖矿病毒传布蹊径
● OA企业网服务器被习染的可能蹊径
1） 企业级的Internet防火墙被攻击 ，穿透企业防火墙传入内网；
2） 表部U盘被习染后传入内网；
3） 通过邮件携带病毒或恶意邮件被传入；
4） 表部文件习染或内置被传入。
● OA网传入出产节造网蹊径
1） 办公网通过MES隔离设备 ，如工业防火墙 ，由于盛开了445端口被传入；
2） 表设 ，如U盘或者移动硬盘被习染后被带入；
3） 报答私下表联、私下选取无线热点传入。
垂危解决规划
针对本次攻击事务 ，建议的垂危解决规划如下：
1) 对于已被病毒习染的服务器、操作站等尽快下线隔离 ，并联系专业技术服务机构进行日志及样本分析；
2) 在企业级防火墙、OA、MES以及出产节造网等网络天堑工业防火墙上全局关关445端口或445端口只对特定IP盛开；
3) 开启Windows防火墙 ，尽量关关3389、445、139、135等不用的高危端口；
4) 每台服务器设置唯一口令 ，且复杂度要求选取大幼写字母、数字、特殊符号混合的组合结构 ，口令位数足够长（15位、两种组合以上）。
工控网络安全整改加固参考步骤
1、主机安全加固措施
● 对办公网等服务器、终端防护
1) 所有服务器、终端应强行执行复杂密码战术 ，杜绝弱口令；
2) 杜绝使用通用密码治理所有机械；
3) 装置杀毒软件、终端安全治理软件并实时更新病毒库；
4) 实时装置缝隙补��；
5) 开启Windows防火墙 ，尽量关关3389、445、139、135等不用的高危端口；
6) 服务器开启关键日志网络职能 ，为安全事务的追踪溯源提供基础。
● 对出产节造网等服务器、终端、操作站、工程师站防护
1) 所有OPC服务器、操作站、工程师站、终端强行执行复杂密码战术 ，杜绝弱口令 ，且杜绝使用通用密码治理所有机械；
2) 在沉要的服务器、操作站、工程师站上装置进过安全验证以及可用性验证的终端安全防护与杀毒软件、终端安全治理软件并实时更新必要的病毒库（必要时需经过DCS厂家认可的病毒库）；
3) 装置经过测试验证 ，必要时需经过DCS厂家认可的沉要缝隙补��；
4) 开启Windows防火墙 ，尽量关关3389、445、139、135等不用的高危端口；
5) 服务器开启关键日志网络职能 ，为安全事务的追踪溯源提供基础。
2、全方位的安全防护战术
工控网络安满是一项系统工程 ，必要多方协同参加 ，在整个工控系统性命周期中持续施杏注不休改进。实现对工控网络安全实现全方位的防护战术：
1. 成立健全的工控安全出产责任造 ，不休美满企业工控安全治理造度、加强企业人员治理、供给链治理及系统运维治理；
2.当真钻研和会商IEC 62443 尺度和《工业节造系统信息安全防护指南》 ，查抄企业的工控系统 ，对工厂整体的运行情况进行评估 ，发现可能存在的隐含缝隙 ，和工控网络安全团队一路会商信息安全战术和解决规划；
3. 从工控系统全性命周期做好安全防护。由于工业出产各业务环节及有关系统之间的衔接越来越缜密 ，工业节造系统在设计、选型、建设、测试、运杏注检建、拔除各阶段均必要做好防护工作 ，防护措施该当贯通工控系统整个性命周期；
4. 从系统与设备安全、网络安全、主机安全和数据安全方面成立综合防护能力。传统的围堵查杀被动式防护已经不能应对日益严格的安全局势 ，要在工控系统与设备、工业网络、工业主机、工业数据各主题身分上都成立自动防护能力 ，大幅提高黑客攻击工控系统的难度。
宝运莱官方网站的专有工具
景云幼我版
http://www.v-secure.cn/?v=ktools
景云幼我版升级包下载
http://www.v-secure.cn/?v=upgrade
京公网安备11010802024551号