疑似借助用友畅捷通T+的勒索攻击爆发 火绒安全可查杀
https://www.huorong.cn/info/1661778944884.html
2022-08-29
1576次阅读
火绒安全实验室监测，疑似借助用友畅捷通T+传播的勒索病毒模块异常活跃（FakeTplus病毒）。火绒工程师排查某勒索现场时发现，病毒模块的投放时间与受害者使用的用友畅捷通T+软件模块升级时间相近，不排除黑客通过供应链污染或漏洞的方式进行投毒。火绒安全软件可成功查杀该病毒。
火绒安全查杀图
排查发现，黑客首先会通过漏洞或其他方式向受害者终端投放后门病毒模块。黑客可以通过访问后门模块（Load.aspx）来执行任意恶意模块（恶意模块数据被AES算法加密的）。之后通过后门模块在内存中加载执行勒索病毒，根据火绒威胁情报系统统计得出病毒传播趋势，如下图所示：
FakeTplus病毒传播趋势图
在被投毒的现场中可以看到，后门病毒模块位于用友畅捷通T+软件的bin目录中，相关文件情况如下图所示：
被投毒现场后门病毒模块文件位置情况
某被投毒现场中，后门病毒模块的被投放时间，与受害用户使用的用友畅捷通T+软件模块升级时间相近，畅捷通T+软件更新的文件和恶意模块的时间对比图，如下图所示：
时间对比图
被勒索后，需要支付0.2个比特币（目前大概27439人民币），黑客留下的勒索信，如下图所示：
勒索信
后门模块代码逻辑
附录
病毒 HASH：
【推荐】国内首个AI IDE，深度理解中文开发场景，立即下载体验Trae
【推荐】编程新体验，更懂你的AI，立即体验豆包MarsCode编程助手
【推荐】抖音旗下AI助手豆包，你的智能百科全书，全免费不限次数
【推荐】轻量又高性能的 SSH 工具 IShell：AI 加持，快人一步
· 全程不用写代码，我用AI程序员写了一个飞机大战
· MongoDB 8.0这个新功能碉堡了，比商业数据库还牛
· 记一次.NET内存居高不下排查解决与启示
· 白话解读 Dapr 1.15：你的「微服务管家」又秀新绝活了
· DeepSeek 开源周回顾「GitHub 热点速览」
2021-08-30 ARP协议原理——地址解析协议， 用于实现从 IP 地址到 MAC 地址的映射，即询问目标IP对应的MAC地址，ARP整个完整交互过程仅需要两个包，一问一答即可搞定
2021-08-30 LaZagne — 一键抓取目标机器上的所有明文密码，todo，自己手动试试效果
2021-08-30 SSH加密隧道流量攻击与检测技术——这玩意和思科加密流量检测没有本质区别啊，可借鉴CNN图像
2021-08-30 bt2——基于telegram的C2
2021-08-30 通过gmail进行C2控制——看了下源码，本质上和dropbox c2架构一样，都是去轮训邮件，将c2攻击的东西以邮件形式发送，结果也发到邮箱里
2019-08-30 Python 3 新特性：类型注解——类似注释吧，反正解释器又不做校验
2019-08-30 python deque的内在实现 本质上就是双向链表所以用于stack、队列非常方便