一场说走就走的“应急”行动——某石化公司遭挖矿病毒习染后的48幼时
颁布功夫 2019-05-23
5月10日22:00
“滴铃铃铃~~~”宝运莱官方网站工业互联网事业部工程师的电话响起！
“我们两套横河DCS系统的操作怨鼐、工程师站和OPC服务器的主机忽然蓝屏！沉新启动系统后，依然无法复原，追求垂危技术增援！”
来自某石化公司仪控部的工作人员电话里的声音异常急促……
解决客户的网络安全问题，就是宝运莱官方网站使命！
宝运莱官方网站工业互联网安全事业部结合宝运莱官方网站集团旗下辰信领创公司立即组建5人专项幼组，业务、技术、产品耳目员火速开启接济行动，远程领导客户进行系统接济及�；は殖〔《狙臼�。
5月11日凌晨1:00
接济工作争分多秒，历经3个幼时的远程支持后，根基确定事务原由于MsraMiner病毒习染。
远程支持持续进行，但现场情况比力特殊，思考到工控系统的复杂性及DCS系统的专业性，应急团队决定乘坐当日最早航班飞往客户现场。
5月11日早6:40
妥妥地一场说走就走的应急服务。
经过48幼时的不懈致力，系统得到了建复，客户的出产齐全复原了正常� ？突Ц蓖哦臃⒗戳苏娉系母屑ば�，并约请切磋后期的加固措施与合作。
事务分析
凭据对查看现场环境以及系统中数据分析，网络中的主机确以为MsraMiner挖矿病毒的变种病毒习染，此挖矿病毒利用“永恒之蓝”缝隙进行传布，在传布过程中，由于在Windows XP系统上缝隙利用失败，导致机械蓝屏。其病毒粉碎道理为：
挖矿病毒MsraMine最新变种的病毒母体运行后开释服务� ？�，开释的服务� ？槊扑婊创�，天生XXX.dll，服务名称和开释的服务dll文件名称一样。
病毒服务名字会凭据天生的dll名字定名，但是其描述通常都为Enable a commin infterace and object xxxx病毒文件，并将攻击C:\Windows\NetworkDistribution 目录下所有文件（攻击的重要文件），主挖矿文件C:\Windows\system32\dllhostex.exe（或其他被注入的svchost的子过程）。
另表特选择其中一个IP查看其全数会话，并对其衔接端口进行统计，除445端口表，26931、45560端口衔接量占比也相当可观，并且该端口不属于正常业务所需端口。随即对该主机的本地文件与过程进行调查和分析，发现大量恶意文件。 经过度析判断，26931、45560两个端口别离为Webserver端口和矿池衔接端口。其中Webserver提供相应组件下载，挖矿过程为“TrustedHostServices.exe”。
病毒的习染流程为：受害主机某工程师站中的病毒法式蕴含两部门，别离为攻击法式以及“挖矿”法式。其中攻击法式会开释出“永恒之蓝”法式，同时搭建web服务器，通过宝运莱官方网站的TSOC-NBA能够发现受害主机工程师站向受害主机操作怨鼐以及OPC服务的445端口提议攻击，被习染病毒的主机向受害主机的web服务器26931端口提议下载要求，
要求内容为MsraReportDataCache32.tlb，该法式会开释出攻击法式以及“挖矿”法式；同时，挖矿过程Trusted Host Services . exe进行挖矿，与矿池xmr.pool. minergate . com: 45560 成立衔接，法式运行期间会接见相应的domain以进行法式更新与矿池衔接，在衔接失败后导致系统蓝屏。
解决规划
1、应急处置：手工断根
2) 关关445，139，135、3389等端口服务；
3) 删除描述为Enable a commin infterace and object xxxx的服务；
4) 删除此服务对应的动态链接库文件；
5) 实现svchost.exe过程（TaskIndexer.exe或dllhostex.exe过程的父过程）；
6) 实现TaskIndexer.exe或dllhostex.exe过程，并删除其文件；
7) 删除C:\Windows\NetworkDistribution目录下所有文件；
8) 装置杀毒软件维持防御开启，实时升级病毒库。
手动装置“永恒之蓝”缝隙补丁请接见以下页面：
https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
http://www.catalog.update.microsoft.com/search.aspx?q=kb4012212
其中WinXP，Windows Server 2003用户请接见：
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
部门工具：
宝运莱官方网站的永恒之蓝热建复工具
宝运莱官方网站PChunter恶意软件手工检测工具
2、工控系统专业查杀工具
工业节造系统在防病毒建设上普遍存在：设备机能普遍偏低、windows老版本操作系统居多、硬件或业务软件在执行防病毒后不得受任何影响、防病毒软件必须可能有效防御病毒等问题，宝运莱官方网站为满足工控行业防病毒需要，研发出景云安全能力轻量化工控防护版。选取全程无驱动无hook、只扫不杀以及过程/网络白名单等切合工控环境的机造，援手工控企业在防御各类新型病毒和蠕虫的攻击的同时，可能两全工控设备的不变运行，保险用户业务。
1) 集中管控：通过景云级联中控平台，提供可伸缩的跨平台病毒防护，集中管控各级各类泛终端，满足企业级用户对防病毒软件统一治理的需要。
2) 海量云查：可为用户按需定造云知识库，智能自运营云端病毒特点，使用户在占有等同于公有云的病毒查杀能力的同时，又通过私有化的方式彻底杜绝数据泄露。
3) 智能鉴毒：将机械进建和大数据步骤融入到防病毒系统中，可能为大型用户实现自动的样本捕获、样本分类、样本特点提取、病毒库更新流程，以便可能急剧响应互联网层出不穷的推算机病毒。
4) 强效机能：在降低用户终端资源亏损同时，结合人为智能和大数据技术，能使病毒查杀更迅速、更精准。可能有效防御最盛行的病毒木马、黑客入侵和0day、APT等未知威胁，更有利于执行，更方便装置和守护。
5) 智能自进建：通过即时取样、汗青数据分析、多规定归并等方式成立过程/网络白名单规定。在设定尺度设备之后，景云支持自动调整规定内容以适应业务系统升级造成的白名单列表扩容等需要，援手用户急剧成立切合自身工控环境的白名单。
3、主机加固
选取宝运莱官方网站的“天珣内网安全风险治理与审计系统”，职能如图：
安全无幼事
向奋斗在一线的应急服务人员致敬！
“滴铃铃铃~~~”宝运莱官方网站工业互联网事业部工程师的电话响起！
“我们两套横河DCS系统的操作怨鼐、工程师站和OPC服务器的主机忽然蓝屏！沉新启动系统后，依然无法复原，追求垂危技术增援！”
来自某石化公司仪控部的工作人员电话里的声音异常急促……
解决客户的网络安全问题，就是宝运莱官方网站使命！
宝运莱官方网站工业互联网安全事业部结合宝运莱官方网站集团旗下辰信领创公司立即组建5人专项幼组，业务、技术、产品耳目员火速开启接济行动，远程领导客户进行系统接济及�；は殖〔《狙臼�。
5月11日凌晨1:00
接济工作争分多秒，历经3个幼时的远程支持后，根基确定事务原由于MsraMiner病毒习染。
远程支持持续进行，但现场情况比力特殊，思考到工控系统的复杂性及DCS系统的专业性，应急团队决定乘坐当日最早航班飞往客户现场。
5月11日早6:40
妥妥地一场说走就走的应急服务。
经过48幼时的不懈致力，系统得到了建复，客户的出产齐全复原了正常� ？突Ц蓖哦臃⒗戳苏娉系母屑ば�，并约请切磋后期的加固措施与合作。
事务分析
凭据对查看现场环境以及系统中数据分析，网络中的主机确以为MsraMiner挖矿病毒的变种病毒习染，此挖矿病毒利用“永恒之蓝”缝隙进行传布，在传布过程中，由于在Windows XP系统上缝隙利用失败，导致机械蓝屏。其病毒粉碎道理为：
挖矿病毒MsraMine最新变种的病毒母体运行后开释服务� ？�，开释的服务� ？槊扑婊创�，天生XXX.dll，服务名称和开释的服务dll文件名称一样。
病毒服务名字会凭据天生的dll名字定名，但是其描述通常都为Enable a commin infterace and object xxxx病毒文件，并将攻击C:\Windows\NetworkDistribution 目录下所有文件（攻击的重要文件），主挖矿文件C:\Windows\system32\dllhostex.exe（或其他被注入的svchost的子过程）。
另表特选择其中一个IP查看其全数会话，并对其衔接端口进行统计，除445端口表，26931、45560端口衔接量占比也相当可观，并且该端口不属于正常业务所需端口。随即对该主机的本地文件与过程进行调查和分析，发现大量恶意文件。 经过度析判断，26931、45560两个端口别离为Webserver端口和矿池衔接端口。其中Webserver提供相应组件下载，挖矿过程为“TrustedHostServices.exe”。
病毒的习染流程为：受害主机某工程师站中的病毒法式蕴含两部门，别离为攻击法式以及“挖矿”法式。其中攻击法式会开释出“永恒之蓝”法式，同时搭建web服务器，通过宝运莱官方网站的TSOC-NBA能够发现受害主机工程师站向受害主机操作怨鼐以及OPC服务的445端口提议攻击，被习染病毒的主机向受害主机的web服务器26931端口提议下载要求，
要求内容为MsraReportDataCache32.tlb，该法式会开释出攻击法式以及“挖矿”法式；同时，挖矿过程Trusted Host Services . exe进行挖矿，与矿池xmr.pool. minergate . com: 45560 成立衔接，法式运行期间会接见相应的domain以进行法式更新与矿池衔接，在衔接失败后导致系统蓝屏。
解决规划
1、应急处置：手工断根
2) 关关445，139，135、3389等端口服务；
3) 删除描述为Enable a commin infterace and object xxxx的服务；
4) 删除此服务对应的动态链接库文件；
5) 实现svchost.exe过程（TaskIndexer.exe或dllhostex.exe过程的父过程）；
6) 实现TaskIndexer.exe或dllhostex.exe过程，并删除其文件；
7) 删除C:\Windows\NetworkDistribution目录下所有文件；
8) 装置杀毒软件维持防御开启，实时升级病毒库。
手动装置“永恒之蓝”缝隙补丁请接见以下页面：
https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
http://www.catalog.update.microsoft.com/search.aspx?q=kb4012212
其中WinXP，Windows Server 2003用户请接见：
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
部门工具：
宝运莱官方网站的永恒之蓝热建复工具
宝运莱官方网站PChunter恶意软件手工检测工具
2、工控系统专业查杀工具
工业节造系统在防病毒建设上普遍存在：设备机能普遍偏低、windows老版本操作系统居多、硬件或业务软件在执行防病毒后不得受任何影响、防病毒软件必须可能有效防御病毒等问题，宝运莱官方网站为满足工控行业防病毒需要，研发出景云安全能力轻量化工控防护版。选取全程无驱动无hook、只扫不杀以及过程/网络白名单等切合工控环境的机造，援手工控企业在防御各类新型病毒和蠕虫的攻击的同时，可能两全工控设备的不变运行，保险用户业务。
1) 集中管控：通过景云级联中控平台，提供可伸缩的跨平台病毒防护，集中管控各级各类泛终端，满足企业级用户对防病毒软件统一治理的需要。
2) 海量云查：可为用户按需定造云知识库，智能自运营云端病毒特点，使用户在占有等同于公有云的病毒查杀能力的同时，又通过私有化的方式彻底杜绝数据泄露。
3) 智能鉴毒：将机械进建和大数据步骤融入到防病毒系统中，可能为大型用户实现自动的样本捕获、样本分类、样本特点提取、病毒库更新流程，以便可能急剧响应互联网层出不穷的推算机病毒。
4) 强效机能：在降低用户终端资源亏损同时，结合人为智能和大数据技术，能使病毒查杀更迅速、更精准。可能有效防御最盛行的病毒木马、黑客入侵和0day、APT等未知威胁，更有利于执行，更方便装置和守护。
5) 智能自进建：通过即时取样、汗青数据分析、多规定归并等方式成立过程/网络白名单规定。在设定尺度设备之后，景云支持自动调整规定内容以适应业务系统升级造成的白名单列表扩容等需要，援手用户急剧成立切合自身工控环境的白名单。
3、主机加固
选取宝运莱官方网站的“天珣内网安全风险治理与审计系统”，职能如图：
安全无幼事
向奋斗在一线的应急服务人员致敬！
京公网安备11010802024551号