2024年1月2日，Solar应急响应团队（以下简称Solar团队）接到某集团公司的请求，该公司资产于2024年1月1日遭遇黑客攻击，多台服务器上的文件被加密。Solar团队获取了其中一个加密文件，进行了解密尝试。经过分析，确认了该勒索软件属于Phobos家族，为最新变种jopanaxye。通过多种方法，我们的解密专家成功恢复了测试文件。在随后的工作中，Solar团队与安全服务团队合作，对客户的数十台服务器进行了解密和恢复。此过程中Solar团队排查并清理了黑客遗留的系统后门，修复了受损的服务文件，还原了完整的攻击链条，将系统中存在的安全隐患逐一修复，并最终在一周内将所有系统恢复至正常运行状态。
2024年1月3日，Solar应急响应团队到达该集团现场，最终情况如下：
2024年1月3日，根据对现场情况的调研分析，安全专家已梳理出入侵路线. 入口服务器为该集团开放至公网的某品牌ERP系统，该系统于2023年12月被披露存在反序列化漏洞，攻击者在2024年1月1日22:22通过该漏洞获取了入口服务器的权限 2. 进入该集团内网后，攻击者投放了加密工具AntiRecuvaDB.exe，用于扫描内网、爆破弱口令、漏洞利用等 3. 利用RDP弱口令、永恒之蓝漏洞等方式，攻击者共获取了28台内网主机权限，并对上面的数据进行了加密
2024年1月3日，安全专家对现场受害服务器进行了后门排查清理，发现受害主机被添加了自启动注册表项：
提取的AntiRecuvaDB.exe为一个exe文件，大小为62464字节，主要试用逆向工程工具IDA对其进行逆向分析，以及OllyDbg辅助调试，分析结果如下图所示：
该程序初始化状态创建七条线程用于执行不同的任务，主要是用于解密循环，解密文件中存在的字符串和获得系统环境信息。
创建线程之后立即使用CreateMutexW API 创建互斥锁，以确保系统中只有一个恶意软件实例在运行。
Solar团队第一时间对受害机器的相关情况进行了排查，最终成功解密和恢复了被加密的数据文件，同时还对客户的网络安全情况做了全面的评估，并提供了相应的解决方法和建设思路，获得了客户的高度好评。
完成解密后，Solar团队使用专用后门排查工具对客户服务器的自启动项、计划任务、可疑网络连接、账号密码强度、可疑进程等项目进行了排查，并对隐患项提出了安全加固建议，确保不存在遗留后门，并对服务器进行快照及备份处理。下表为安全加固排查总表：
通过对安全现状的梳理和分析，识别安全策略上的不足，结合目标防御、权限最小化、缩小攻击面等一系列参考原则，对设备的相关配置策略进行改进调优，一方面，减低无效或低效规则的出现频次；另一方面，对缺失或遗漏的规则进行补充，实现将安全设备防护能力最优化。
网络安全防护设备、系统防护软件、日志审计与分析设备、安全监测与入侵识别设备。
勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且分支了很多团伙组织，半岛·BOB官方网站导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库及暴力破解进行加密，攻击手法极多防不胜防。
而最好的预防方法就是针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“solar专业应急响应团队”。
团队坚持自主研发及创新，在攻防演练平台、网络安全竞赛平台、网络安全学习平台方面加大研发投入，目前已获得十几项专利及知识产权。团队也先后通过了ISO9001质量管理体系、ISO14000环境管理体系、ISO45001职业安全健康管理体系 、ITSS（信息技术服务运行维护标准四级）等认证，已构建了网络安全行业合格的资质体系；
双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。
安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。
数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。
完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。
客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。
