Mallox病毒家族：从FARGO一直升级到.FARGO4后缀勒索病毒

Mallox病毒家族：从FARGO到.FARGO4后缀勒索病毒的解析

Mallox病毒家族近期再次升级，推出了最新的.FARGO4后缀勒索病毒。该病毒主要针对企业的Web应用和数据库服务器发起攻击，包括Spring Boot、Weblogic、OA、财务软件等，对企业数据安全构成严重威胁。

一、.FARGO4勒索病毒概述

.FARGO4是Mallox勒索病毒家族旗下的最新病毒之一。该病毒会扫描计算机以查找图像、数据库、视频和重要的生产力文档和文件，例如.doc、.docx、.xls、.mdf、.ldf和.pdf等。当检测到这些文件时，勒索软件会对它们进行加密，并将其扩展名更改为“.FARGO4”，导致用户无法再打开这些文件。例如，原本名为“1.jpg”的文件会显示为“1.jpg.FARGO4”，以此类推。

二、.FARGO4勒索病毒的传播方式

1. RDP/弱口令：远程桌面协议（RDP）主要用于用户远程连接并控制计算机。攻击者可以通过工具对攻击目标进行端口扫描，如果用户开启了3389端口，并且使用弱密码，攻击者可以进行远程连接并通过字典尝试多种方式组合，暴力破解用户名密码。一旦拥有登录权限，就可以直接投放勒索病毒并进一步横向渗透扩大影响面。

2. 安全漏洞利用：漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷。攻击者可以利用这些漏洞进行攻击。在过去的一年里，由于远程办公工具的兴起，远程工具相关漏洞利用攻击事件显著增加。如果用户没有及时修复相关漏洞，很可能遭受攻击。

3. 利用钓鱼邮件：垃圾邮件或钓鱼邮件是携带附件的电子邮件，邮件内容多为交货收据、退税单或票证发票，然后提示受害者必须打开附件才能收到货物或收取款项。如果受害者运行了附件内容，其附件多为Word文档、JavaScript脚本文件或者伪装后的可执行文件，这可能导致计算机文件被勒索或者被攻击者远程控制。

三、中了.FARGO4后缀勒索病毒文件的恢复

由于加密算法的原因，每台感染的电脑服务器文件都不一样，需要独立检测与分析加密文件的病毒特征与加密情况，才能确定最适合的恢复方案。如果数据不太重要，建议直接全盘扫描杀毒后全盘格式化重装系统，并做好系统安全防护工作。如果受感染的数据确实有恢复的价值与必要性，可以寻求专业的数据恢复服务。

以下是一个恢复案例的介绍：

• 被加密数据情况：一台服务器被加密的文件数据量达到19万+个，主要是需要恢复速达软件的数据库文件。
• 数据恢复完成情况：数据完成恢复，19万多个文件均全部100%恢复。恢复完成的文件均可以正常打开及使用。

四、系统安全防护措施建议

为了预防此类勒索病毒事件，强烈建议大家日常做好以下防护措施：

1. 及时打补丁：及时给办公终端和服务器打补丁，修复漏洞，包括操作系统以及第三方应用的补丁，防止攻击者通过漏洞入侵系统。

2. 关闭不必要的端口：尽量关闭不必要的端口，如139、445、3389等端口。如果不使用，可直接关闭高危端口，降低被漏洞攻击的风险。

3. 设备不暴露于公网：不对外提供服务的设备不要暴露于公网之上。对外提供服务的系统，应保持较低权限。

4. 采用高强度密码：企业用户应采用高强度且无规律的密码来登录办公系统或服务器，要求包括数字、大小写字母、符号，且长度至少为8位的密码，并定期更换口令。

5. 数据备份保护：对关键数据和业务系统做备份，如离线备份、异地备份、云备份等，避免因为数据丢失、被加密等造成业务停摆。

6. 敏感数据隔离：对敏感业务及其相关数据做好网络隔离，避免勒索病毒在入侵后轻易窃取到敏感数据。

7. 关闭不必要的文件共享：尽量关闭不必要的文件共享功能，以减少病毒传播的风险。

8. 提高安全运维人员职业素养：定期进行木马病毒查杀和安全培训，提高安全运维人员的职业素养和应对能力。

综上所述，Mallox病毒家族的.FARGO4后缀勒索病毒是一种极具破坏性的恶意软件。为了保障企业数据的安全，必须采取有效的防护措施并加强安全意识培训。