用友畅捷通T+遭遇勒索攻击 用户及时做好病毒防范是关键

来源:猎鹰安全

一、事件简介

  2022年8月29日，猎鹰安全实验室发现恶意攻击者借助用友畅捷通T+传播的勒索病毒模块异常活跃（CryptFakeTP病毒）。实验室病毒分析人员发现，病毒模块的投放时间与受害者使用的用友畅捷通T+软件模块升级时间相近，疑似黑客通过供应链污染或漏洞的方式进行投毒。目前该病毒可通过猎鹰安全旗下终端安全系统V9进行查杀。

二、病毒分析

排查发现，黑客首先会通过漏洞或其他方式向受害者终端投放后门病毒模块。黑客可以通过访问后门模块（Load.aspx）来执行任意恶意模块（恶意模块数据被AES算法加密的）。之后通过后门模块在内存中加载执行勒索病毒，在被投毒的现场中可以看到，后门病毒模块位于用友畅捷通T+软件的bin目录中。

在被投毒现场中，病毒模块的被投放时间，与受害用户使用的用友畅捷通T+软件模块升级时间相近.被勒索后，需要支付0.2个比特币（目前大概27439人民币）

三、解决方案

1、部署终端安全系统V9

2、病毒库版本升级至2022.8.29.23

3、对用友系统服务器进行全盘扫描 

4、对用友系统中的数据定期进行非本地备份。