近年來，隨著區(qū)塊鏈的火爆，挖礦病毒已經(jīng)成為不法分子利用最為頻繁的攻擊方式之一。據(jù)調(diào)查，2018上半年惡意挖礦病毒利用率從13%上升到28%，攻擊者向目標(biāo)設(shè)備展開攻擊并植入挖礦程序，來盜取其計算資源進(jìn)而獲取加密貨幣的案例屢見不鮮，為網(wǎng)絡(luò)安全環(huán)境帶來很大威脅。
近日，就有一家深圳大型制造企業(yè)的運維部門向浙大網(wǎng)新求助，該公司的300多臺作業(yè)機器感染了名為DeviceConfigManager的蠕蟲病毒，病毒通過可移動存儲設(shè)備和網(wǎng)絡(luò)驅(qū)動器等方式進(jìn)行傳播傳播。感染后，病毒會將移動設(shè)備、網(wǎng)絡(luò)驅(qū)動器內(nèi)的原有文件隱藏起來，并創(chuàng)建一個與磁盤名稱、圖標(biāo)完全相同的快捷方式，誘導(dǎo)用戶點擊，從而執(zhí)行勒索、挖礦等破壞行為。
接到任務(wù)，浙大網(wǎng)新連夜派出網(wǎng)新恒天
SEG（系統(tǒng)安全檢測服務(wù)）、白盾（企業(yè)白名單安全產(chǎn)品）、IMS（專業(yè)運維）6人團(tuán)隊，對機房進(jìn)行病毒查殺。安全工程師們發(fā)現(xiàn)病毒作者十分狡猾，對蠕蟲病毒及其下載的全部病毒模塊使用了混淆器，很難被檢測到。同時，其下載的挖礦病毒只會在用戶電腦空閑時進(jìn)行挖礦，并且占用CPU資源很低，隱蔽性非常強，市面上的安全產(chǎn)品對該病毒都無可奈何。
團(tuán)隊意識到問題的嚴(yán)峻性：客戶方明令要求不能停止生產(chǎn)，如果無法同時全部查殺，一旦有人使用局域網(wǎng)，病毒就會卷土重來，因此查殺的第一步就是控制傳播，并在短時間內(nèi)對300臺機器同時查殺。
網(wǎng)新安全團(tuán)隊連夜討論出2種解決方案：
1、偷天換日：將共享文件夾的可執(zhí)行權(quán)限收回，替換成干凈的同名文件，防止用戶啟動病毒。
2、隔離圍剿：將蠕蟲新建的文件夾可執(zhí)行權(quán)限收回，保護(hù)未感染用戶，再對病毒進(jìn)行逐一排查。
圖1：網(wǎng)新安全工程師穿著防護(hù)服工作
生產(chǎn)要求無菌環(huán)境，團(tuán)隊成員均穿著防化服，為工作加大了難度。為不影響生產(chǎn)進(jìn)度，6位工程師在非工作日，對300多臺電腦逐一排查、重啟，終于在8個小時內(nèi)查殺完畢，同時對企業(yè)員工的移動存儲設(shè)備使用情況進(jìn)行徹查，避免病毒死灰復(fù)燃。
“后續(xù)我們也安排了一名運維人員駐場進(jìn)行收尾工作，也提醒企業(yè)提高安全意識，不要讓機器‘裸奔’?！本W(wǎng)新恒天SEG負(fù)責(zé)人劉傳興說道。
此項目持續(xù)時長3周，浙大網(wǎng)新為客戶方提供包括咨詢、檢測、查殺、運維在內(nèi)的整體解決方案，在保證不影響生產(chǎn)環(huán)境的情況下同時查殺，以豐富的業(yè)務(wù)經(jīng)驗和領(lǐng)先的技術(shù)水平，結(jié)合針對病毒快速制定解決方案，積極調(diào)動公司資源，幫助企業(yè)重新部署安全防火墻，及時遏制住病毒的進(jìn)一步爆發(fā)，提高了企業(yè)基層的生產(chǎn)安全意識。這也是浙大網(wǎng)新安全團(tuán)隊與挖礦病毒的首次正面交鋒，未來我們將更多地投入研究針對此類病毒的安全解決方案，為企業(yè)安全保駕護(hù)航。
關(guān)于白盾
白盾是浙大網(wǎng)新(上海證交所600797)打造的一款計算機安全管理軟件，采用創(chuàng)新機制嚴(yán)格、精準(zhǔn)控制程序的運行。區(qū)別于傳統(tǒng)安全和防病毒軟件只能防護(hù)已知風(fēng)險，白盾采用白名單機制管理可執(zhí)行程序(EXE)、操作系統(tǒng)內(nèi)核模塊(SYS)、以及動態(tài)鏈接庫文件(DLL)，所有其余未許可的執(zhí)行動作一律攔截。白盾通過對操作系統(tǒng)執(zhí)行機制的深入理解和管控，可以保障計算機安全運行可信程序，杜絕“零日攻擊”的威脅。白名單可智能區(qū)分正常更新與惡意篡改，白名單可自動更新，維護(hù)簡單、安全可靠，是企業(yè)計算機安全的保護(hù)盾。
