注册
登录
| 关键词： 脚本 Vollgar 攻击 运行 executionpolicy 自查 系统 恶意 Windows PowerShell |
 一、威胁概述4月1日，Guardicore Labs团队发布了一份长期攻击活动的分析报告，此攻击活动主要针对运行MS-SQL服务的Windows系统。分析报告称，此攻击活动至少从2018年5月开始，攻击者会针对目标的MS-SQL进行暴力猜解，成功登录目标系统后，再在系统中部署后门并运行远控工具等恶意程序。这一系列的攻击活动被命名为“Vollgar”。  通过暴力破解账户登陆系统再植入恶意程序是一种十分普遍的攻击手法，但报告中称，每天仍有2-3千个数据库在Vollgar攻击活动中被攻陷，其中包括中国、印度、韩国、土耳其和美国等国家，受影响的行业涵盖医疗、航空、IT、电信、教育等多个领域。 二、影响范围存在MS-SQL弱口令的Windows系统 三、风险排查3.1 detect_vollgar.ps1脚本自查Guardicore Labs提供了PowerShell自查脚本Script – detect_vollgar.ps1，自查脚本detect_vollgar.ps1可实现本地攻击痕迹检测，检测内容如下：
脚本下载链接： https://github.com/guardicore/labs_campaigns/tree/master/Vollgar 检测步骤： 1、下载自查脚本detect_vollgar.ps1至本地，脚本内容详见地址https://github.com/guardicore/labs_campaigns/blob/master/Vollgar/detect_vollgar.ps1 2、“Windows”+“R”，在弹出的运行界面搜索PowerShell。 3、运行脚本。如果回显中包含“Evidence for Vollgar campaign has been found on this host.”字样，则说明当前系统可能已被感染。  若存在感染情况，请参考下列方法进行处理：
注：若出现直接运行PowerShell时提示“无法加载文件ps1，因为在此系统中禁止执行脚本。有关详细信息，请参阅 “get-help about_signing”。此提示是由于没有权限执行该脚本。可运行如下命令查看当前执行策略： get-executionpolicy 1 get-executionpolicy 如果显示“Restricted”则为不允许执行任何脚本。 通过运行以下命令可修改其策略： set-executionpolicy remotesigned 1 set-executionpolicy remotesigned 修改成功后即可使用PowerShell执行脚本 如需撤销对其策略的修改，可通过运行以下命令进行恢复。 set-executionpolicy Restricted 1 set-executionpolicy Restricted 3.2 常规防护建议
|
| 本文出处： https://www.toutiao.com/a6811373926447317508/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
