勒索病毒攻击医疗机构网关和VPN事务公告
颁布功夫 2020-04-030x00 事务布景
REvil（别名为Sodinokibi）勒索病毒近日活动频仍，，它积极利用网关和VPN的缝隙在指标组织中站稳脚跟。。成功利用缝隙后，，攻击者在装置勒索软件或其他恶意软件有效负载之前，，会窃取痛处、提升权限，，并在内网横向移动以确维悠久性。。这个排名全球第5大勒索病毒单单在去年就相继入侵提供400家医疗诊地点线备份服务公司 Digital Dental Record、伦敦外汇买卖公司 Travelex，，以及美国数据中心供给商 CyrusOne 的网络并勒索赎金，，导致服务中断和客户数据被加密。。
当前全球笼罩在COVID-19疫情的阴影下，，医疗机构比以往任何时辰都更必要加强对内网的防护措施，，以及更多的关注针对关键系统、可导致敏感信息泄露的攻击活动。。微软也初次针对医疗机构发出安全通知，，关于勒索病毒 REvil 攻击医疗机构的攻击活动。。
微软指出REvil/Sodinokibi去年以来攻击手法多有重叠，，攻击者利用当前COVID-19疫情反复使用同样的技俩、技术和手法（tactics、techniques，，procedure，，TTP）发起新攻击，，根基上没有看到什么技术创新，，最多只是利用人们震惊生理和对信息的需要。。这个勒索病毒背后的黑客组织，，重要锁定目前没有功夫或资源来审视安全防护的机构，，针对其安全弱点发起攻击来获取利益。。
微软没有注明有缝隙的VPN设备厂商，，但最常见的是Pulse VPN。。之前遭黑客攻击的伦敦外汇买卖公司 Travelex，，就疑似是其Pulse VPN缝隙未修补，，而遭到Sodinokibi入侵。。
0x01 措置建议
建 议：：：
● 将所有可用的安全更新利用到VPN和防火墙；；
● 监控并出格把稳可远程接见的系统和服务；；
● 打开削减攻击面的规定，，蕴含阻止凭证偷窃和勒索病毒活动的规定；；
● 若是您有Office 365，，可在Office VBA中打开AMSI。。
一时措施：：：
● 确认互联网可接见的系统和利用更新到最新的补丁，，使用威胁和缝隙治理系统定期审核这些资产的缝隙、谬误配置和可疑事务；；
● 使用Azure多成分身份验证（MFA）等解决规划�；；ぴ冻套烂嫱�。。若是没有MFA网关，，请启用网络级身份验证（NLA）；；
● 尝试最小特权准则，，预防使用域领域的治理级服务帐户，，强制使用随机复杂的本地治理员密码；；
● 监控暴力破解，，查抄过多失败的身份验证尝试（Windows安全事务ID 4625）
● 监控断根事务日志，，出格是安全事务日志和PowerShell操作日志，，Microsoft Defender ATP发出警报“事务日志已断根”，，产生此情况时，，Windows将天生事务ID 1102；；
● 确定特权帐户登录和公开痛处的地位，，监控和调查登录类型属性的登录事务（事务ID 4624），，域治理帐户和其他拥有高级权限的帐户不应呈此刻工作站上；；
● 尽可能利用Windows Defender防火墙和网络防火墙来预防端点之间的RPC和SMB通讯，，可限度内网横向移动和其它的攻击活动。。
0x02 参考链接
https://www.microsoft.com/security/blog/2020/04/01/microsoft-works-with-healthcare-organizations-to-protect-from-popular-ransomware-during-covid-19-crisis-heres-what-to-do/
京公网安备11010802024551号