Tellyouthepass勒索病毒利用永恒之蓝漏洞来袭，已有企业受害

2020-07-22 来源：原创作者：腾讯电脑管家

我要分享

【文章摘要】腾讯安全威胁情报中心在例行风险文件排查过程中，发现Tellyouthepass勒索病毒变种活跃。攻击者利用压缩工具打包exe的方式，将ms16-032内核提权漏洞利用模块、永恒之蓝内网扩散模块集成到勒索攻击包中，以实现内网蠕虫式病毒传播。若企业未及时修补漏洞，可能造成严重损失。腾讯电脑管家可查杀Tellyouthepass勒索病毒。

一、概述

腾讯安全威胁情报中心在例行风险文件排查过程中，发现Tellyouthepass勒索病毒变种活跃。攻击者利用压缩工具打包exe的方式，将ms16-032内核提权漏洞利用模块、永恒之蓝内网扩散模块集成到勒索攻击包中，以实现内网蠕虫式病毒传播。若企业未及时修补漏洞，可能造成严重损失。众所周知，WannaCry病毒事件就是勒索病毒利用永恒之蓝漏洞进行蠕虫化传播制造的网络灾难。只是幸运的是，永恒之蓝漏洞毕竟已经修补3年多了，未修复该漏洞的Windows系统只占少数。

查看Tellyouthepass勒索病毒用于交易的比特币钱包地址，发现近期已产生多笔交易，钱包当前余额0.69比特币。由于该勒索病毒使用了RSA+AES的方式对文件进行加密，被病毒加密后文件暂无法解密。同时具备蠕虫病毒攻击能力的勒索病毒极易在存在弱点的企业内网广泛传播，我们提醒各政企机构高度警惕。腾讯电脑管家可查杀Tellyouthepass勒索病毒。

二、安全建议

根据该勒索病毒的特性，腾讯安全专家建议相关企业和个人用户参考以下建议强化网络抗攻击能力，修复高危漏洞，避免内网遭遇攻击而造成无法挽回的损失：

企业用户：

1、尽量关闭不必要的端口，如：445、135，139等，对3389，5900等端口可进行白名单配置，只允许白名单内的IP连接登录。

2、尽量关闭不必要的文件共享，如有需要，请使用ACL和强密码保护来限制访问权限，禁用对共享文件夹的匿名访问。

3、采用高强度的密码，避免使用弱口令密码，并定期更换密码。建议服务器密码使用高强度且无规律密码，并且强制要求每个服务器使用不同密码管理。

4、对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。

5、对重要文件和数据（数据库等数据）进行定期非本地备份。

6、教育终端用户谨慎下载陌生邮件附件，若非必要，应禁止启用Office宏代码。

7、在终端/服务器部署专业安全防护软件，Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务。

8、建议全网安装腾讯T-Sec终端安全管理系统（御点）（https://s.tencent.com/product/yd/index.html）。御点终端安全管理系统具备终端杀毒统一管控、修复漏洞统一管控，以及策略管控等全方位的安全管理功能，可帮助企业管理者全面了解、管理企业内网安全状况、保护企业安全。

个人用户：

1、启用腾讯电脑管家（https://guanjia.qq.com/），勿随意打开陌生邮件，关闭Office执行宏代码；

2、使用腾讯电脑管家或Windows Update扫描修复系统漏洞；

3、启用腾讯电脑管家的文档守护者功能，利用磁盘冗余空间自动备份数据文档，即使发生意外，数据也可有备无患。

三、样本分析

完整攻击利用包是一个使用压缩工具打包的exe执行程序，运行后会首先执行其包中的run_update.bat脚本。

run_update.bat脚本则进一步以awindows_privedge.exe作为父进程启动其它两模块

awindows_privedge.exe为ms16-032内核提权漏洞利用程序，攻击者试图以SYSTEM权限执行其它攻击模块，从而达到勒索加密文件覆盖面更广，内网扩散攻击过程更稳定的效果。

Lantools_exp.exe是一个Python打包的exe程序，解包反编译后可知该模块为针对smb进行攻击利用的工具集，其中包含了对smb服务的远程探测，smb登录psexec命令执行，端口扫描，http服务搭建等功能，同时该工具包含了永恒之蓝漏洞高危漏洞（MS17-010）的攻击利用，该模块运行后将进行内网蠕虫扩散debug.exe病毒模块。