预警！Globelmposter 4.0最新变种来袭，多家企业中招

样本简介
    Globelmposter家族首次出现在2017年5月份，2018年2月全国各大医院受Globelmposter2.0勒索病毒攻击，导致医院系统被加密，严重影响了医院的正常业务，此勒索病毒在去年8月份变种出Globelmposter3.0版本，导致多家等政企单位重要文件被勒索加密。
    Globelmposter勒索病毒今年的安全威胁热度一直居高不下，攻击手法极其丰富，可以通过社会工程，RDP爆破，恶意程序捆绑等方式进行传播，其加密的后缀名也不断变化。


Globelmposter 2.0
Globelmposter2.0使用RSA2048算法加密，加密后文件后缀后缀包括TECHNO、DOC、CHAK、FREEMAN、TRUE，ALC0、ALC02、ALC03、RESERVE等，在被加密的目录下会生成一个名为”how_to_back_files”的html文件，显示受害者的个人ID序列号以及黑客的联系方式等。
相关链接：
紧急预警：Globelmposter勒索最新变种爆发，用户怒怼黑客！

Globelmposter 3.0
Globelmposter3.0家族的变种，变种后缀为以*4444结尾，采用RSA+AES算法加密，目前该勒索样本加密的文件暂无解密工具，文件被加密后会被加上Ox4444、China4444、Help4444、Rat4444 、Tiger4444 、Rabbit4444 、Dragon4444 、Snake4444 、Horse4444、Goat4444 、Monkey4444 、Rooster4444、Dog4444等后缀。在被加密的目录下会生成一个名为”HOW_TO_BACK_FILES”的txt文件，显示受害者的个人ID序列号以及黑客的联系方式等。
相关链接：
紧急预警：Globelmposter再爆3.0变种，大型医院已中招


    某公司安全团队一直持续关注并跟踪此勒索病毒家族，多次发布此勒索病毒相应的预警报告，近期又发现一例最新Globelmposter 4.0变种样本，文件加密后的文件后缀为：.auchentoshan，如下所示：

并生成how_to_open_files.html的超文本文件信息，如下所示：

详细分析
1.运行后会将自身复制到%LOCALAPPDATA%或%APPDATA%目录，如下所示：

2.进行持久化操作，设置自启动项，注册表项为
HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\BrowserUpdateCheck实现开机自启动，如下所示：

3.加密3种类型的磁盘：可移动磁盘，固定磁盘，网络磁盘，如下所示：

4.创建线程，遍历磁盘，加密文件，如下所示：

5.生成勒索信息超文本文件，如下所示：

6.生成BAT，删除磁盘卷影等操作，如下所示：

7.进行自删除操作，如下所示：

解决方案
    针对已经出现勒索现象的用户，由于暂时没有解密工具，建议尽快对感染主机进行断网隔离。某公司提醒广大用户尽快做好病毒检测与防御措施，防范该病毒家族的勒索攻击。

病毒检测查杀
1、某公司为广大用户免费提供查杀工具，可下载如下工具，进行检测查杀。
64位系统下载链接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z

32位系统下载链接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z

2、某公司EDR产品及防火墙等安全产品均具备病毒检测能力，部署相关产品用户可进行病毒检测，如图所示：

病毒防御
某公司安全团队再次提醒广大用户，勒索病毒以防为主，目前大部分勒索病毒加密后的文件都无法解密，注意日常防范措施：
1、及时给电脑打补丁，修复漏洞。
2、对重要的数据文件定期进行非本地备份。
3、不要点击来源不明的邮件附件，不从不明网站下载软件。
4、尽量关闭不必要的文件共享权限。
5、更改账户密码，设置强密码，避免使用统一的密码，因为统一的密码会导致一台被攻破，多台遭殃。
6、如果业务上无需使用RDP的，建议关闭RDP。当出现此类事件时，推荐使用某公司防火墙，或者终端检测响应平台（EDR）的微隔离功能对3389等端口进行封堵，防止扩散！
7、某公司防火墙、终端检测响应平台（EDR）均有防爆破功能，防火墙开启此功能并启用11080051、11080027、11080016规则，EDR开启防爆破功能可进行防御。
8、某公司防火墙客户，建议升级到AF805版本，并开启人工智能引擎Save，以达到最好的防御效果。

最后，建议企业对全网进行一次安全检查和杀毒扫描，加强防护工作。推荐使用某公司安全感知+防火墙+EDR，对内网进行感知、查杀和防护。

针对已经出现勒索现象的用户，由于暂时没有解密工具，建议尽快对感染主机进行断网隔离。某公司提醒广大用户尽快做好病毒检测与防御措施，防范该病毒家族的勒索攻击。