一起简单聊一下新GandCrab勒索病毒防护

前次，我通过“GandCrab勒索病毒软件和Ursnif病毒通过MS Word宏传播”介绍了国外安全研究人员最近发现的两个单独的恶意软件活动，一个是Ursnif数据窃取木马和GandCrab勒索病毒软件组合在野外分发，而第二个仅用Ursnif恶意软件对用户设备进行感染。这两个恶意软件活动似乎都是两个独立的网络犯罪集团操纵，但发现其中还是有许多相似之处。这两种攻击都是通过包含嵌入了恶意宏的Microsoft Word文档附件，进行网络钓鱼电子邮件开始，然后使用Powershell提供无文件恶意攻击。其组合方式可以是：MS Docs + VBS宏= Ursnif和GandCrab、MSDocs + VBS宏= Ursnif。

后来我通过“越来越多的黑客使用RDP建立网络隧道来绕过安全保护措施”又对利用RDP攻击的，而也在文章中简单提到了如果GandCrab结合后，产生的恶劣影响会是极其深远的。结合前几天河南卡巴斯基文章与安全圈信息，最近GandCrab勒索病毒有案例出现。针对结合RDP与GandCrab合体攻击情况，我结合“WannaCry”病毒以及常规的安全防护策略，做了一些简单的安全防护描述，现提炼如下，供大家参考！

1、提高口令强度和复杂度，避免弱口令和口令复用；

2、安装专业靠谱的杀毒软件，并开启主动防御功能。并不是所有的杀毒软件都可以防范。

3、结合WannaCry病毒，建议关闭3389、445、139、135等端口，如工作必须开启这些端口，建议采取白名单策略；

4、系统保持更新，及时修补操作系统漏洞；

5、做好数据备份，备份是当下应对勒索病毒的最有效手段之一；

6、保存相关日志，日志的完整保存是分析研判安全事件的原始资料，保存根据法律法规进行相关日志保存与备份等。

友情提示：在等级保护中，日志审计要保护审计进程，避免受到未预期的中断，对审计记录进行保护，避免受到未预期的删除、修改或覆盖。《网络安全法》明确规定，按照规定留存相关的网络日志不少于六个月等，所以日志留存无论是网络安全等级保护制度还是《网络安全法》都对其有要求。合规性是执行网络安全的基础，在合规性基础上无论多认真都不为过。网络安全界流传一句话，意思是所有网络风险隐患都能导致安全事件，只是时间问题。