事件概述

欧洲地区爆发新型勒索病毒Bad Rabbit（坏兔子），感染范围包含俄罗斯、乌克兰、德国等多个东欧国家。Bad Rabbit（坏兔子）通过“水坑站点”进行传播，主要通过伪装成Adobe Flash的安装程序，诱使用户安装，从而感染用户主机。

病毒传播过程

Bad Rabbit（坏兔子）勒索病毒与5月份和6月份爆发的WannaCry和NotPetya攻击方式类似。比如，使用弱口令尝试登陆共享服务，通过内网共享和弱密码在局域网中扩散，最后加密系统文件，关机重启后提示通过支付比特币解密。

但是Bad Rabbit（坏兔子）勒索病毒并没有利用之前的微软操作系统“永恒之蓝”的漏洞，而主要通过水坑站点进行传播。

据分析，Bad Rabbit（坏兔子）勒索病毒目前针对的俄罗斯和其它东欧国家，主要通过在已被黑站点展示虚假的Adobe Flash更新通知。当用户点击这些通知消息时，它就会下载一个名为install_flash_player.exe的文件。一旦虚假的安装包被点击，其会生成infpub.dat和dispci.exe两个加密文件，这两个文件用于加密磁盘文件。“坏兔子”通过以上三步骤来完成其勒索流程，感染勒索界面如下图所示：

一旦上述步骤完成，Bad Rabbit（坏兔子）勒索病毒将利用本机口令和弱口令在局域网中进行传播，感染其他主机，对企业用户危害极大。

目前已知的被加密文件后缀名有：

.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf .cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp .hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm .odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1 .pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs .vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip

加密文件后会在系统根目录下留一个Readme.txt的文件，里面就是勒索病毒提示支付赎金的信息。

解决方案

1、关闭WMI服务，避免恶意软件通过网络传播；

2、关闭Windows主机135/139/445等共享服务端口，禁用方法参考：

https://jingyan.baidu.com/article/d621e8da0abd192865913f1f.html

3、局域网共享PC使用复杂密码；

4、及时更新杀毒软件病毒库，以便能检测到该勒索病毒；

5、可使用僵尸网络查杀工具SfabAntiBot 进行查杀（请保持联网并及时更新到最新版本）

僵尸网络查杀工具的更新下载地址为：http://edr.sangfor.com.cn/tool/SfabAntiBot.zip

目前该病毒样本已公开，且在国内并无大规模传播，数据湾IDC数据安全中心将持续跟踪此病毒及其变种，保障用户网络安全。