记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

突发!!Incaseformat蠕虫病毒爆发 工业企业用户无需慌张

2021-01-14 09:47




2021年1月13日,威努特技术服务部接到大量服务过的企业用户电话咨询,咨询内容主要是网络上爆发的Incaseformat蠕虫病毒是否会对企业工业控制系统有影响,已经安装了主机卫士的工程师站、上位机是否能够防御这类病毒。



1


病毒描述


威努特攻防专家团队立即对这类病毒样本进行分析,发现该病毒属于蠕虫病毒,由于被删除文件分区根目录下均存在名为incaseformat.log的空文件,因此网络上才将此病毒命名为Incaseformat病毒。该蠕虫病毒主要通过U盘等方式进行传播,当其感染U盘后,U盘下的原文件夹将被隐藏,病毒会伪装成原文件夹的图标。


当用户插入受感染U盘并点击运行后该蠕虫病毒会自动复制到系统盘Windows目录下,并创建注册表自启动,而一旦用户重启主机,病毒会立即感染除C盘之外其他磁盘上的文件夹,并在指定时间段内删除系统中C盘之外磁盘上的所有数据。


值得注意的是,这并不是一个新病毒,至少是个2014年的老病毒,杀毒软件厂商均将此病毒命名为Worm.Win32.Autorun,通过名称可以判断该病毒是在Windows平台下通过移动介质传播的蠕虫病毒。


该样本作为一个老病毒,直到2021年1月13日才触发删除用户文件,主要原因是该病毒所使用的delphi库中的DateTimeToTimeStamp 函数中 IMSecsPerDay 变量的值错误,最终导致 DecodeDate 计算转换出的系统当前时间错误。不仅如此,该病毒设定的删除日期不止今天(1月13日),最近的下一次删除时间为1月23日。


2


解决方案


经过威努特攻防专家组验证,由于该病毒只有在Windows目录下执行时会触发删除文件行为,而重启是病毒在Windows目录下启动主要途径,因此,已经安装主机卫士的产品可以拦截Incaseformat蠕虫病毒的执行,或通过强制访问控制策略阻止其删除行为,保障工业主机持续稳定运行。

图 1 本地执行

图 2 拦截日志

由于病毒本身只能通过U盘等移动介质进行传播,并无相关网络传播特征,也可以利用主机卫士的移动介质管控功能对U盘的使用进行严格把控,防止因非法滥用导致的病毒引入。

图 3 外设控制

图 4 外设管控日志


3


病毒排查


第一步:
排查工业控制系统内Windows目录下是否存在图标为文件夹的tsay.exe和ttry.exe文件,若存在这两个文件,及时删除即可,删除前切勿对主机执行重启操作。

第二步:
排查工业控制系统Windows的任务管理器是否有tsay.exe或ttry.exe进程,如果有,则可手动关闭。

第三步:
排查工业控制系统Windows目录下是否有驻留的文件tsay.exe和ttry.exe及注册表相关启动项(RunOnce)。

注:已经安装工控主机卫士的企业用户,建议核查相关策略是否正常开启。


4


安全建议


工业控制系统大部分应用于国家关键信息基础设施领域,而工业控制系统内关键工程师站、上位机、数据库中所存储的数据更是对工业控制系统有着重要的价值,一旦被删除,将会导致生产停滞,甚至在各别工业场景中会导致生产安全事故,所以工业企业要尤为重视对于工业主机的安全防护。

威努特工控主机卫士通过“四重锁定,七大核心功能”构建工业主机安全计算环境。



◇ 应用锁定
采用“白名单”防护机制,锁定工业主机上应用程序的运行,阻止任何白名单外的程序运行,避免恶意代码、非法程序的运行,最大限度保障工程师站、操作员站以及服务器等重要设备安全稳定运行。

◇ 系统锁定
通过安全基线管理和强制访问控制功能,锁定工业主机运行环境和资源,确保工业主机上的设置符合安全基线策略要求,并按照设定的主客体制定读写访问控制策略进行访问。

◇ 网络锁定
锁定工业主机的网络访问环境,只允许工业主机和特定的服务器之间进行通信,控制恶意代码的在网络内部的传播、扩散。

◇ 外设锁定
锁定外接输入设备的使用,只有经过认证的安全可信的USB设备才可以在工业主机上运行,防止通过U盘等外接输入设备引入恶意程序导致感染病毒和泄露敏感数据。




咨询与服务

您可以通过以下方式联系我们,获取关于 Incaseformat的免费咨询及支持服务:

1)  服务热线:
4000-680-620

2) 技术服务热线:
陆先生 13810502235

3)  关注【威努特】公众号,留言咨询


威努特简介

北京威努特技术有限公司(以下简称“威努特”), 是国内工控网络安全领军企业、全球六家荣获国际自动化协会安全合规学会ISASecure CRT Tool认证企业之一和亚太地区唯一国际自动化学会(ISA)全球网络安全联盟(GCA)创始成员。

威努特作为国家高新技术企业,以创新的“白环境”整体解决方案为核心,自主研发了5大类30款全系列网络安全专用产品,拥有64项发明专利、64项软件著作权、70项原创漏洞证明等核心知识产权。积极牵头和参与工控网络安全领域国家、行业标准制定,受邀出色完成新中国70周年庆典、中共十九大、全国两会等重大活动的网络安保任务,被授予“国家重大活动网络安保技术支持单位”,得到了中央网信办、公安部、工信部等国家政府部门的高度认可。迄今已成功为电力、轨道交通、石油石化、军工、烟草、市政、智能制造、冶金等国家重要行业1000多家工业企业提供了全面有效的安全保障。

威努特始终以“专注工控,捍卫安全”为使命,致力于为我国关键信息基础设施网络空间安全保驾护航!


渠道合作:张先生 18201311186
市场合作:微信 shushu12121

知识来源: https://mp.weixin.qq.com/s?__biz=MzAwNTgyODU3NQ==&mid=2651075024&idx=1&sn=eba5b2ff45c4d77a446eb1078c2905e8

阅读:7832 | 评论:0 | 标签:病毒

想收藏或者和大家分享这篇好文章→复制链接地址

“突发!!Incaseformat蠕虫病毒爆发 工业企业用户无需慌张”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

❤人人都能成为掌握黑客技术的英雄⛄️

ADS

标签云