【警惕】 MsraMiner挖矿病毒熏染多个重要行业 东森平台推出工控网络宁静加固方案
宣布时间 2019-03-20
近期，MsraMiner变种再次在网上流传，已在多个省份一些重要行业泛起熏染情况，如医院、区域数据中心等 。
3月上旬，接到用户的电话，其OPC服务器、操作站、工程师站泛起重复重启、事情不正常状态，经过对部门服务器修复后针对日志分析，发现这些服务器、操作站、工程师站被熏染了MsraMiner挖矿病毒，后经专业查杀软件，也证实了确实是该病毒 。
MsraMiner挖矿病毒流传过程分析
经过溯源分析，MsraMiner病毒，利用永恒之蓝漏洞来熏染，通过 SMB 445 端口流传，从而致使被熏染的计算机、服务器、操作站、工程师站等CPU占用过高不能正常事情，导致DCS系统瘫痪 。病毒突破界限防御后，蠕虫式流传：样本自带 Web Server提供自身恶意代码下载 。样本扩散主要靠失陷主机之间的 Web Server 或 Socket 传输，同时提供了 C&C 端获取样本作为后备机制 。
由此可以分析，切合以下特征的机构将更容易遭到攻击者的侵害：Windows服务器、终端未部署或未及时更新宁静加固和杀毒软件 。
MsraMiner挖矿病毒流传途径
● OA企业网服务器被熏染的可能途径
1） 企业级的Internet防火墙被攻击，穿透企业防火墙传入内网；
2） 外部U盘被熏染后传入内网；
3） 通过邮件携带病毒或恶意邮件被传入；
4） 外部文件熏染或内置被传入 。
● OA网传入生产控制网途径
1） 办公网通过MES隔离设备，如工业防火墙，由于开放了445端口被传入；
2） 外设，如U盘或者移动硬盘被熏染后被带入；
3） 人为私自外联、私自接纳无线热点传入 。
紧急解决方案
针对本次攻击事件，建议的紧急解决方案如下：
1) 对于已被病毒熏染的服务器、操作站等尽快下线隔离，并联系专业技术服务机构进行日志及样天职析；
2) 在企业级防火墙、OA、MES以及生产控制网等网络界限工业防火墙上全局关闭445端口或445端口只对特定IP开放；
3) 开启Windows防火墙，尽量关闭3389、445、139、135等不用的高危端口；
4) 每台服务器设置唯一口令，且庞大度要求接纳巨细写字母、数字、特殊符号混合的组合结构，口令位数足够长（15位、两种组合以上） 。
工控网络宁静整改加固参考要领
1、主机宁静加固措施
● 对办公网等服务器、终端防护
1) 所有服务器、终端应强行实施庞大密码计谋，杜绝弱口令；
2) 杜绝使用通用密码管理所有机器；
3) 安装杀毒软件、终端宁静管理软件并及时更新病毒库；
4) 及时安装漏洞补� �；
5) 开启Windows防火墙，尽量关闭3389、445、139、135等不用的高危端口；
6) 服务器开启要害日志收集功效，为宁静事件的追踪溯源提供基础 。
● 对生产控制网等服务器、终端、操作站、工程师站防护
1) 所有OPC服务器、操作站、工程师站、终端强行实施庞大密码计谋，杜绝弱口令，且杜绝使用通用密码管理所有机器；
2) 在重要的服务器、操作站、工程师站上安装进过宁静验证以及可用性验证的终端宁静防护与杀毒软件、终端宁静管理软件并及时更新须要的病毒库（须要时需经过DCS厂家认可的病毒库）；
3) 安装经过测试验证，须要时需经过DCS厂家认可的重要漏洞补� �；
4) 开启Windows防火墙，尽量关闭3389、445、139、135等不用的高危端口；
5) 服务器开启要害日志收集功效，为宁静事件的追踪溯源提供基础 。
2、全方位的宁静防护计谋
工控网络宁静是一项系统工程，需要多方协同加入，在整个工控系统生命周期中连续实施、不停革新 。实现对工控网络宁静实现全方位的防护计谋：
1. 建立健全的工控宁静生产责任制，不停完善企业工控宁静管理制度、加强企业人员管理、供应链管理及系统运维管理；
2.认真研究和讨论IEC 62443 尺度和《工业控制系统信息宁静防护指南》，检查企业的工控系统，对工厂整体的运行情况进行评估，发现可能存在的隐含漏洞，和工控网络宁静团队一起讨论信息宁静计谋和解决方案；
3. 从工控系统全生命周期做好宁静防护 。由于工业生产各业务环节及相关系统之间的连接越来越紧密，工业控制系统在设计、选型、建设、测试、运行、检修、废弃各阶段均需要做好防护事情，防护措施应当贯穿工控系统整个生命周期；
4. 从系统与设备宁静、网络宁静、主机宁静和数据宁静方面建立综合防护能力 。传统的围堵查杀被动式防护已经不能应对日益严峻的宁静形势，要在工控系统与设备、工业网络、工业主机、工业数据各核心要素上都建立主动防护能力，大幅提高黑客攻击工控系统的难度 。
东森平台的专有工具
景云个人版
http://www.v-secure.cn/?v=ktools
景云个人版升级包下载
http://www.v-secure.cn/?v=upgrade
3月上旬，接到用户的电话，其OPC服务器、操作站、工程师站泛起重复重启、事情不正常状态，经过对部门服务器修复后针对日志分析，发现这些服务器、操作站、工程师站被熏染了MsraMiner挖矿病毒，后经专业查杀软件，也证实了确实是该病毒 。
MsraMiner挖矿病毒流传过程分析
经过溯源分析，MsraMiner病毒，利用永恒之蓝漏洞来熏染，通过 SMB 445 端口流传，从而致使被熏染的计算机、服务器、操作站、工程师站等CPU占用过高不能正常事情，导致DCS系统瘫痪 。病毒突破界限防御后，蠕虫式流传：样本自带 Web Server提供自身恶意代码下载 。样本扩散主要靠失陷主机之间的 Web Server 或 Socket 传输，同时提供了 C&C 端获取样本作为后备机制 。
由此可以分析，切合以下特征的机构将更容易遭到攻击者的侵害：Windows服务器、终端未部署或未及时更新宁静加固和杀毒软件 。
MsraMiner挖矿病毒流传途径
● OA企业网服务器被熏染的可能途径
1） 企业级的Internet防火墙被攻击，穿透企业防火墙传入内网；
2） 外部U盘被熏染后传入内网；
3） 通过邮件携带病毒或恶意邮件被传入；
4） 外部文件熏染或内置被传入 。
● OA网传入生产控制网途径
1） 办公网通过MES隔离设备，如工业防火墙，由于开放了445端口被传入；
2） 外设，如U盘或者移动硬盘被熏染后被带入；
3） 人为私自外联、私自接纳无线热点传入 。
紧急解决方案
针对本次攻击事件，建议的紧急解决方案如下：
1) 对于已被病毒熏染的服务器、操作站等尽快下线隔离，并联系专业技术服务机构进行日志及样天职析；
2) 在企业级防火墙、OA、MES以及生产控制网等网络界限工业防火墙上全局关闭445端口或445端口只对特定IP开放；
3) 开启Windows防火墙，尽量关闭3389、445、139、135等不用的高危端口；
4) 每台服务器设置唯一口令，且庞大度要求接纳巨细写字母、数字、特殊符号混合的组合结构，口令位数足够长（15位、两种组合以上） 。
工控网络宁静整改加固参考要领
1、主机宁静加固措施
● 对办公网等服务器、终端防护
1) 所有服务器、终端应强行实施庞大密码计谋，杜绝弱口令；
2) 杜绝使用通用密码管理所有机器；
3) 安装杀毒软件、终端宁静管理软件并及时更新病毒库；
4) 及时安装漏洞补� �；
5) 开启Windows防火墙，尽量关闭3389、445、139、135等不用的高危端口；
6) 服务器开启要害日志收集功效，为宁静事件的追踪溯源提供基础 。
● 对生产控制网等服务器、终端、操作站、工程师站防护
1) 所有OPC服务器、操作站、工程师站、终端强行实施庞大密码计谋，杜绝弱口令，且杜绝使用通用密码管理所有机器；
2) 在重要的服务器、操作站、工程师站上安装进过宁静验证以及可用性验证的终端宁静防护与杀毒软件、终端宁静管理软件并及时更新须要的病毒库（须要时需经过DCS厂家认可的病毒库）；
3) 安装经过测试验证，须要时需经过DCS厂家认可的重要漏洞补� �；
4) 开启Windows防火墙，尽量关闭3389、445、139、135等不用的高危端口；
5) 服务器开启要害日志收集功效，为宁静事件的追踪溯源提供基础 。
2、全方位的宁静防护计谋
工控网络宁静是一项系统工程，需要多方协同加入，在整个工控系统生命周期中连续实施、不停革新 。实现对工控网络宁静实现全方位的防护计谋：
1. 建立健全的工控宁静生产责任制，不停完善企业工控宁静管理制度、加强企业人员管理、供应链管理及系统运维管理；
2.认真研究和讨论IEC 62443 尺度和《工业控制系统信息宁静防护指南》，检查企业的工控系统，对工厂整体的运行情况进行评估，发现可能存在的隐含漏洞，和工控网络宁静团队一起讨论信息宁静计谋和解决方案；
3. 从工控系统全生命周期做好宁静防护 。由于工业生产各业务环节及相关系统之间的连接越来越紧密，工业控制系统在设计、选型、建设、测试、运行、检修、废弃各阶段均需要做好防护事情，防护措施应当贯穿工控系统整个生命周期；
4. 从系统与设备宁静、网络宁静、主机宁静和数据宁静方面建立综合防护能力 。传统的围堵查杀被动式防护已经不能应对日益严峻的宁静形势，要在工控系统与设备、工业网络、工业主机、工业数据各核心要素上都建立主动防护能力，大幅提高黑客攻击工控系统的难度 。
东森平台的专有工具
景云个人版
http://www.v-secure.cn/?v=ktools
景云个人版升级包下载
http://www.v-secure.cn/?v=upgrade
京公网安备11010802024551号