Globelmposter 预警及勒索模块简单分析
信安之路应急响应小组
一、Globelmposter 简介
Globelmposter 家族首次出现在 2017 年 5 月份，2018 年 2 月全国各大医
院受 Globelmposter 2.0 勒索病毒攻击，导致医院系统被加密，2018 年 12
月深信服 EDR 安全团队发现加密后缀为 ‘.fuck’ 的 4.0 版本。
二、影响范围
2019 年 3 月 ，感染该勒索病毒事件进一步扩大，目标主要针对医疗机构，
政府、企业、教育等行业均有波及。
三、行为分析
黑客通过入侵目标机构内网后，利用 RDP/SMB 暴力破解、CVE 漏洞利用等
方法在内网环境传播 Globelmposter 勒索病毒，当然也不排除人工投毒的可
能。
1）加密后缀及版本划分
该勒索病毒在感染成功后，受害者主机上的文件将会被加密，文件名会加上后
缀，不同版本加密后缀如下：
① Globelmposter 2.0 后缀：TECHNO、DOC、CHAK、FREEMAN、
TRUE，ALC0、ALC02、ALC03、RESERVE 等；
② Globelmposter 3.0 变种后缀为以*4444 结尾，相对于 Globelmposter 2.0
版本，Globelmposter3.0 采用 RSA+AES 算法加密；
③ Globelmposter 4.0 为以 *.fuck 结尾。
2）勒索模块分析
name: Dragon4444.exe
md5: C8F7EE073176EA98AF44F0FFC924815D
sha1： 60852D02BEBDBE1314AA8E6EB818DE2F316247DC
sha256：BD977050D237D581BAB7673844DA947472010371FDD6C28D2EAC6A1F55716043
石悦
- 粉丝: 20
- 资源: 285
最新资源
- java前后端分离MES生产执行管理系统源码数据库 MySQL源码类型 WebForm
- 【java毕业设计】教师授课管理系统源码（完整前后端+说明文档+LW）.zip
- 基于STM32F103C8T6的智能家居控制系统源码+文档说明（高分毕业设计）
- Windows环境下OpenSSH服务的安装与启动配置指南
- MT4缠论指标免费使用无限制，无需续费及绑定电脑
- 基于STM32F103C8T6的车辆落水报警系统源码+文档说明+原理图（毕业设计）
- 编程不良人ElasticSearch-7.14笔记
- 学之思开源考试系统是一款java+vue的前后端分离的考试系统 主要优点是开发、部署简单快捷、界面设计友好、代码结构清晰 支持web端和微信小程序，能覆盖到pc机和手机等设备 支持多种部署方式
- PHP旅游智能CRM系统源码数据库 MySQL源码类型 WebForm
- 大数据1+x(蓝桥课堂实操231216）解析
资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！
点击此处反馈
评论0