Oracle勒索病毒卷土沉来 8827太阳集团DAP阻断黑手
颁布功夫 2018-11-24
近日 ，，，，，，，，Oracle 数据库的比特币勒索病毒卷土沉来 ，，，，，，，，国内已产生多起案例 ，，，，，，，，针对此攻击 ，，，，，，，，8827太阳集团数据库安全审计与防护产品可提供检测和防护 ，，，，，，，，具体的安全建议如下：
Oracle勒索病毒分析
病毒读取数据库创建功夫 ，，，，，，，，若是大于蹬宗1200天 ，，，，，，，，则对数据库进行分歧水平的粉碎（例如Truncate tab_name和删除tab$中的纪录） ，，，，，，，，沉启数据库后会导致用户无法接见所有的数据库对象。 。。。。。。。同时 ，，，，，，，，给出提醒“你的数据库已经被SQL RUSH Team锁死 ，，，，，，，，请发送5个比特币到xxxxxxxxxxx地址 ，，，，，，，，….”等信息 ，，，，，，，，并设置按时工作 ，，，，，，，，若是在期限内不交赎金 ，，，，，，，，就删除所有的表。 。。。。。。。具体提醒信息如下：
防护规划
利用数据库安全审计与防护产品 ，，，，，，，，发现异常并进行防护
部署8827太阳集团数据库审计或者数据库防火墙 ，，，，，，，，用户可自行增长勒索病毒的审政战术 ，，，，，，，，重要的规定如下：
1、权限最幼化限度 ，，，，，，，，对分歧用户凭据角色赐与其最幼权限。 。。。。。。。
例如：低权限用户限度触发器、存储过程的创建和批改。 。。。。。。。战术配置如下：
为低权限用户配置一个权限节造集中 ，，，，，，，，对于触发器和存储过程和新建批改和删除操作 ，，，，，，，，一旦执行则进行告警和阻断。 。。。。。。。
2、勒索病毒精准节造：恶意存储过程、触发器创建行为限度。 。。。。。。。
对于高权限账号新建恶意存储过程的操作界说规定 ，，，，，，，，成立阻断战术进行限度 ，，，，，，，，如图：
顺次创建四个存储过程DBMS_SUPPORT_INTERNAL、DBMS_SYSTEM_INTERNAL、DBMS_CORE_INTERNAL、DBMS_STANDARD_FUN9和三个触发器DBMS_SUPPORT_INTERNAL、DBMS_SYSTEM_INTERNAL、DBMS_CORE_INTERNAL的检测规定 ，，，，，，，，针对这些操作规定成立审计和阻断战术。 。。。。。。。
3、为了病毒变种 ，，，，，，，，必要加强对来自PL/SQL Dev客户端的操作监管
界说规定 ，，，，，，，，对客户端工具为PL/SQL的所有操作进行纪录 ，，，，，，，，对其存储过程和触发器操作进行告警。 。。。。。。。如图成立规定并顺次选择对应的响应方式 ，，，，，，，，成立审政战术：
人为确认病毒入侵痕迹 ，，，，，，，，实时算帐恶意文件
1、查抄启动剧本
大无数客户端工具 ，，，，，，，，在接见数据库时 ，，，，，，，，都能够通过剧本进行肯定的职能界说 ，，，，，，，，而这些剧本往往就是安全问题的缝隙之一 ，，，，，，，，以下列出了常见客户端工具的剧本地位 ，，，，，，，，必要查抄这些剧本是否正常 ，，，，，，，，如：plsql dev 的login.sql和afterconnect.sql ，，，，，，，，Toad的toad.ini ，，，，，，，，sqlplus中的glogin.sql和login.sql等。 。。。。。。。
2、在数据库中执行查抄语句
Select * from dba_triggers where TRIGGER_NAME like 'DBMS_%_INTERNAL%';
select from dba_procedures W where W.object_name like 'DBMS_%_INTERNAL% '。 。。。。。。。
以上操作若发现异常 ，，，，，，，，立刻算帐恶意文件 ，，，，，，，，删除已经成立的存储过程和触发器。 。。。。。。。
综上 ，，，，，，，，针对Oracle比特币勒索病毒的防护规划除了对防护工具的合理使用 ，，，，，，，，还有赖于数据库治理人员的安全防备意识。 。。。。。。。建议用户多使用正版软件 ，，，，，，，，做好数据库的接见节造和权限治理 ，，，，，，，，对于来自异常IP、账号、客户端的接见实时措置 ，，，，，，，，关关病毒习染通路。 。。。。。。。一旦发现病毒习染请实时采取措施 ，，，，，，，，必要时征询专业安全服务团队追求支持。 。。。。。。。
Oracle勒索病毒分析
勒索代码被绑缚在Oracle PL/SQL Dev软件中（网络下载版） ，，，，，，，，里面的一个剧本文件Afterconnet.sql被黑客注入了病毒代码。 。。。。。。。一旦用户使用这个PL/SQL Dev工具衔接数据库 ，，，，，，，，就会立即执行Afterconnet.sql ，，，，，，，，创建四个存储过程
（DBMS_SUPPORT_INTERNAL、DBMS_SYSTEM_INTERNAL、DBMS_CORE_INTERNAL、DBMS_STANDARD_FUN9）和三个触发器（DBMS_SUPPORT_INTERNAL、DBMS_SYSTEM_INTERNAL、DBMS_CORE_INTERNAL）。 。。。。。。。
病毒读取数据库创建功夫 ，，，，，，，，若是大于蹬宗1200天 ，，，，，，，，则对数据库进行分歧水平的粉碎（例如Truncate tab_name和删除tab$中的纪录） ，，，，，，，，沉启数据库后会导致用户无法接见所有的数据库对象。 。。。。。。。同时 ，，，，，，，，给出提醒“你的数据库已经被SQL RUSH Team锁死 ，，，，，，，，请发送5个比特币到xxxxxxxxxxx地址 ，，，，，，，，….”等信息 ，，，，，，，，并设置按时工作 ，，，，，，，，若是在期限内不交赎金 ，，，，，，，，就删除所有的表。 。。。。。。。具体提醒信息如下：
防护规划
利用数据库安全审计与防护产品 ，，，，，，，，发现异常并进行防护
部署8827太阳集团数据库审计或者数据库防火墙 ，，，，，，，，用户可自行增长勒索病毒的审政战术 ，，，，，，，，重要的规定如下：
1、权限最幼化限度 ，，，，，，，，对分歧用户凭据角色赐与其最幼权限。 。。。。。。。
例如：低权限用户限度触发器、存储过程的创建和批改。 。。。。。。。战术配置如下：
为低权限用户配置一个权限节造集中 ，，，，，，，，对于触发器和存储过程和新建批改和删除操作 ，，，，，，，，一旦执行则进行告警和阻断。 。。。。。。。
2、勒索病毒精准节造：恶意存储过程、触发器创建行为限度。 。。。。。。。
对于高权限账号新建恶意存储过程的操作界说规定 ，，，，，，，，成立阻断战术进行限度 ，，，，，，，，如图：
顺次创建四个存储过程DBMS_SUPPORT_INTERNAL、DBMS_SYSTEM_INTERNAL、DBMS_CORE_INTERNAL、DBMS_STANDARD_FUN9和三个触发器DBMS_SUPPORT_INTERNAL、DBMS_SYSTEM_INTERNAL、DBMS_CORE_INTERNAL的检测规定 ，，，，，，，，针对这些操作规定成立审计和阻断战术。 。。。。。。。
3、为了病毒变种 ，，，，，，，，必要加强对来自PL/SQL Dev客户端的操作监管
界说规定 ，，，，，，，，对客户端工具为PL/SQL的所有操作进行纪录 ，，，，，，，，对其存储过程和触发器操作进行告警。 。。。。。。。如图成立规定并顺次选择对应的响应方式 ，，，，，，，，成立审政战术：
人为确认病毒入侵痕迹 ，，，，，，，，实时算帐恶意文件
1、查抄启动剧本
大无数客户端工具 ，，，，，，，，在接见数据库时 ，，，，，，，，都能够通过剧本进行肯定的职能界说 ，，，，，，，，而这些剧本往往就是安全问题的缝隙之一 ，，，，，，，，以下列出了常见客户端工具的剧本地位 ，，，，，，，，必要查抄这些剧本是否正常 ，，，，，，，，如：plsql dev 的login.sql和afterconnect.sql ，，，，，，，，Toad的toad.ini ，，，，，，，，sqlplus中的glogin.sql和login.sql等。 。。。。。。。
2、在数据库中执行查抄语句
Select * from dba_triggers where TRIGGER_NAME like 'DBMS_%_INTERNAL%';
select from dba_procedures W where W.object_name like 'DBMS_%_INTERNAL% '。 。。。。。。。
以上操作若发现异常 ，，，，，，，，立刻算帐恶意文件 ，，，，，，，，删除已经成立的存储过程和触发器。 。。。。。。。
综上 ，，，，，，，，针对Oracle比特币勒索病毒的防护规划除了对防护工具的合理使用 ，，，，，，，，还有赖于数据库治理人员的安全防备意识。 。。。。。。。建议用户多使用正版软件 ，，，，，，，，做好数据库的接见节造和权限治理 ，，，，，，，，对于来自异常IP、账号、客户端的接见实时措置 ，，，，，，，，关关病毒习染通路。 。。。。。。。一旦发现病毒习染请实时采取措施 ，，，，，，，，必要时征询专业安全服务团队追求支持。 。。。。。。。
京公网安备11010802024551号