该勒索病毒最早在2020年1月份被国外安全研究员发现通过垃圾邮件进行传播,在2020年2月份首次出现在国内,从国内多个受害者日志分析发现,该病毒在国内的主要传播渠道为通过暴力破解远程桌面密码,拿到密码后手动投毒,到目前该勒索病毒已有多个变种,修改文件后缀为makop以及shootlook
上图为勒索信息,该病毒作者极其嚣张,直接在论坛招合作伙伴 以下为收集到的黑客邮箱 下面溯源一次makop勒索病毒攻击 在6月15号凌晨3点58分,客户的服务器上发现有文件被勒索病毒加密,后缀为.shootlock 在溯源过程中发现hacker使用了大量的进程工具,卸载工具来破坏杀软运行 最后杀软停止软件保护 继续排查入侵日志,发现是192.xxx.10.120这个ip爆破成功爆破rdp然后登陆了服务器 我们继续排查这个192.xxx.10.120这个IP地址,发现这个ip地址在防火墙上映射远程桌面出去了,并且改了3389端口,但是这个服务器已经被客户重装了系统,我们不好继续排查,我们推测出是10.120由于改了远程端口,导致AF的防护失效,从公网被爆破远程桌面,到内网横向爆破服务器手动投毒导致服务器被勒索病毒加密 |