您的位置: 新闻资讯 > 行业动态 > 正文

墨者安全病毒预警:DDos攻击病毒--CC3新变种复活

来源:mozhe 2018-11-16

近日,墨者安全高防技术团队接到多个客户反映,墨者盾提示检测到主机服务器有病毒攻击,但通过一些杀毒软件排查却一无所获。墨者安全技术团队通过一系列的排查,最终确认是感染了Zegost病毒。此病毒从2011年开始活跃,至今已准8年了,是CC3病毒的新变种。

一、排查过程

通过对内存进行扫描发现主要有svchost.exe、rdpclip.exe两个进程关联。通过对rdpclip.exe的分析,发现其进程不与恶意域名进行通信。svchost.exe相关共有3个进程,ID分别是856、412和1372:

这3个进程内存中都存在恶意域名的信息,通过对856和412进程其它信息分析,没有任何发现。但在对1372进程分析时,发现其服务项存在着一个异常服务名。服务名称看上去很诡异(随机),通过服务项发现其启动项也很奇怪。在注册表中找到对应执行文件路径:“C:\ProgramData\Storm\update\%SESSIONNAME%\”,通过沙盒分析确定其为Zegost病毒,cc3的新变种。


二、入侵过程

通过对服务器排查,发现以下几个入侵点:

1、发现主机上有一款第三方的ftp软件,对应软件的历史和近期升级包都含变形病毒攻击(后门、蠕虫)。

2、通过对服务器的日志分析,发现其之前登录日志都已经被删除了,怀疑是攻击者入侵时删除的日志,存在远程桌面(RDP)、域控(NTLM)爆破的可能。


三、防御措施

1、不使用不安全的第三方软件,以防软件存在后门,主机被恶意控制。

2、主机定期更换安全性高的密码,并且密码要与地理信息、单位信息、个人信息无关。

3、及时备份重要文件,面对复杂互联网环境,经常备份以不变应万变。

4、不点击来源不明邮件以及附件。

热门文章

X

7x24 小时

免费客服热线

400-0797-119