勒索病毒攻击医疗机构网关和VPN事务公告
颁布功夫 2020-04-030x00 事务布景
REvil（别名为Sodinokibi）勒索病毒近日活动频仍 ，它积极利用网关和VPN的缝隙在指标组织中站稳脚跟 。成功利用缝隙后 ，攻击者在装置勒索软件或其他恶意软件有效负载之前 ，会窃取痛处、提升权限 ，并在内网横向移动以确维悠久性 。这个排名全球第5大勒索病毒单单在去年就相继入侵提供400家医疗诊地点线备份服务公司 Digital Dental Record、伦敦表汇买卖公司 Travelex ，以及美国数据中心供给商 CyrusOne 的网络并勒索赎金 ，导致服务中断和客户数据被加密 。
当前全球笼罩在COVID-19疫情的阴影下 ，医疗机构比以往任何时辰都更必要加强对内网的防护措施 ，以及更多的关注针对关键系统、可导致敏感信息泄露的攻击活动 。微软也初次针对医疗机构发出安全通知 ，关于勒索病毒 REvil 攻击医疗机构的攻击活动 。
微软指出REvil/Sodinokibi去年以来攻击手法多有沉叠 ，攻击者利用当前COVID-19疫情沉复使用同样的技俩、技术和手法（tactics、techniques ，procedure ，TTP）发起新攻击 ，根基上没有看到什么技术创新 ，最多只是利用人们震惊生理和对信息的需要 。这个勒索病毒背后的黑客组织 ，重要锁定目前没有功夫或资源来审视安全防护的机构 ，针对其安全弱点发起攻击来获取利益 。
微软没有注明有缝隙的VPN设备厂商 ，但最常见的是Pulse VPN 。之前遭黑客攻击的伦敦表汇买卖公司 Travelex ，就疑似是其Pulse VPN缝隙未建补 ，而遭到Sodinokibi入侵 。
0x01 措置建议
建 议：
● 将所有可用的安全更新利用到VPN和防火墙；
● 监控并出格把稳可远程接见的系统和服务；
● 打开削减攻击面的规定 ，蕴含阻止凭证偷窃和勒索病毒活动的规定；
● 若是您有Office 365 ，可在Office VBA中打开AMSI 。
一时措施：
● 确认互联网可接见的系统和利用更新到最新的补丁 ，使用威胁和缝隙治理系统定期审核这些资产的缝隙、谬误配置和可疑事务；
● 使用Azure多成分身份验证（MFA）等解决规划�；ぴ冻套烂嫱� 。若是没有MFA网关 ，请启用网络级身份验证（NLA）；
● 尝试最幼特权准则 ，预防使用域领域的治理级服务帐户 ，强造使用随机复杂的本地治理员密码；
● 监控暴力破解 ，查抄过多失败的身份验证尝试（Windows安全事务ID 4625）
● 监控断根事务日志 ，出格是安全事务日志和PowerShell操作日志 ，Microsoft Defender ATP发出警报“事务日志已断根” ，产生此情况时 ，Windows将天生事务ID 1102；
● 确定特权帐户登录和公开痛处的地位 ，监控和调查登录类型属性的登录事务（事务ID 4624） ，域治理帐户和其他拥有高级权限的帐户不应呈此刻工作站上；
● 尽可能利用Windows Defender防火墙和网络防火墙来预防端点之间的RPC和SMB通讯 ，可限度内网横向移动和其它的攻击活动 。
0x02 参考链接
https://www.microsoft.com/security/blog/2020/04/01/microsoft-works-with-healthcare-organizations-to-protect-from-popular-ransomware-during-covid-19-crisis-heres-what-to-do/
京公网安备11010802024551号