近日,瑞星威胁情报中心捕获到疑似国内病毒团伙利用HFS服务器传播病毒的证据。经分析发现,此次传播的病毒有数个,其中点击量最高的已经过万,病毒不仅会伪装成游戏,还会释放后门及远控木马,因此广大用户需提高警惕。

(资料图)

图:病毒团伙IP地址下的多个恶意文件

通过瑞星HFS服务器监控平台可以看出,此次事件中的病毒团伙利用的IP地址为:119.91.152.xxx:4442,因此猜测该团伙为国内组织。而在这个HFS服务器下,存有多个恶意文件,其中“srys.exe”文件的点击量已经过万,不止释放Farfli后门程序,还释放DarkKomet远控木马。同时,该IP地址下的“梦回沉默M2.exe”、“12_32.exe”和“syswqa.exe”等文件,有的会伪装成游戏迷惑用户,有的会访问恶意地址,而最终均会释放“srys.exe”程序。

图:瑞星HFS服务器监控平台检测到带有恶意文件的IP地址

瑞星安全专家介绍,病毒团伙是利用HFS服务器地址传播恶意程序的,无论是点击该IP地址下哪个程序,最终都会被指向“srys.exe”,而这个点击量已经过万的恶意程序,不仅开启后门程序,还会对受害主机进行控制桌面、记录键盘、截取屏幕、盗取文件及其他远程控制等操作。

由于HFS服务器能够共享文件,任何人都可以访问,因此其危害范围较广,国内用户应提高警惕,加强防范意识,避免受到波及。同时,瑞星安全专家建议广大用户做到以下两点:

1. 部署EDR、NDR类产品。

可利用威胁情报追溯威胁行为轨迹,帮助用户进行威胁行为分析、定位威胁源和目的,追溯攻击的手段和路径,从源头解决网络威胁,最大范围内发现被攻击的节点,帮助企业更快响应和处理。

2. 安装有效的杀毒软件,拦截查杀恶意文档和木马病毒。

杀毒软件可拦截恶意文档和木马病毒,如果用户不小心下载了恶意文件,杀毒软件可拦截查杀,阻止病毒运行,保护用户的终端安全。

图:瑞星ESM防病毒终端安全防护系统查杀此次事件中的病毒