一、背景介绍
近日，安全团队（公众号：网安众安）接到用户反馈，称其遭到一款后缀为 .auchentoshan 勒索病毒的攻击。
中毒文件描述
二、病毒特征
通过对病毒样本的提取，已经基本确认其为勒索病毒Globelmposterb的新变种。目前这种病毒已经呈蔓延趋势，希望广大管理员用户加以防范。
病毒文件描述
受此病毒影响的系统，数据库文件及其他普通文档文件都会被加密，且扩展名变成auchentoshan ，勒索信息文件：how_to_open_files.html 。目前国内多家公司服务器已中招，并且有愈演愈烈的趋势，望广大用户做好安全防护，警惕auchentoshan 病毒勒索。
三、威胁级别
威胁级别：【严重】（说明：威胁级别共四级：一般、重要、严重、紧急）
四、影响范围
未及时更新系统补丁或未采取终端安全防护措施的Windows系统（包括个人版和服务器版）。
五、排查和处置
1、检查系统是否安装了最近系统漏洞补丁包；
2、检查系统是否开启了3389端口的RDP网络共享协议，查看日志是否有暴力破解日志；
3、检查系统是否开启了445端口的SMB网络共享协议或者不必要的系统服务端口；
4、检查系统是否存在随即后缀名加密文件；
5、检查桌面是否存在来历不明的图片。
处置方案：
1、隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡;
2、切断传播途径：关闭潜在终端的SMB 445等网络共享端口，关闭异常的外联访问；
3、查找攻击源：手工抓包分析或借助态势感知类产品分析，确认全网感染数量；
4、查杀病毒；
5、设置复杂密码：如果主机账号使用简单密码，建议重置为高强度的密码。
六、安全建议
1、不从不明网站下载相关的软件，不要点击来源不明的邮件以及附件；
2、及时给电脑打补丁，修复漏洞；
3、修改密码：设置主机账号密码为高强度的密码；
4、对重要的数据文件定期进行非本地备份；
5、关闭或通过安全组限制不必要的文件共享权限以及端口，如：445、3389等。
网友评论