【惡意程式防護資訊】勒贖軟體的防護策略-IMSx系列產品的建議設定

趨勢科技近期發現一波新的勒贖軟體攻擊事件。勒贖軟體會將電腦上的檔案加密，被加密的檔案則無法開啟或使用。與之前的勒贖軟體相同，此惡意程式會將自己偽裝成Email附加檔案，也有可能直接從網路上下載來；除此之外，感染勒贖病毒的電腦，會尋找網路芳鄰的共享資料夾或是網路磁碟機，若具有寫入權限的話，也會將這些共享資料夾或是網路磁碟機上的檔案進行加密。部分客戶反映因使用者電腦上C磁 碟機沒有設定存取限制，因此整個C磁碟機遭到感染勒贖病毒的電腦加密。趨勢科技在此提醒您，切勿輕易執行來源不明的檔案。請您隨時保持您的趨勢科技產品病毒碼在最新版本，以維持最完善的防護。

若您目前使用IMSx系列產品可參考下列建議設定，透過IMSx系列產品防護功能避免感染勒索軟體：

1. 先確認是否已安裝對應的hotfix版號以上 ? 若有需要下列hotfix ,請聯絡趨勢科技技術支援部索取.

• IMSS 7.1 Linux, hotfix 17200或更新版
• IMSS 7.1 Windows, hotfix 1563或更新版
• IMSS 7.5 Windows, hotfix 1310或更新版
• IMSVA 8.2, hotfix 17550或更新版
• IMSVA 8.5, hotfix 1618或更新版
• IMSVA 9.0, hotfix 1500或更新版

2. 於IMSx的SPAM功能中開啟WRS功能(New-Born URLs Handling Function是透過WRS的功能來檢查)，(預設)即已經啟用 New-Born URLs Handling Function，不需要做額外設定。

3. 如上，由於預設就已經啟用此功能，若使用者不想使用此功能，需自行修改設定檔來停用此功能：

• 在”/opt/trend/imss/config“資料夾中打開 “imss.ini” 檔案
• 在”general“新增下列設定項目，並且將值設為”no“：
  [general]

                use_new_born_for_spam  = no
                註：預設值為”yes”，代表啟動此功能。

• 儲存後關閉檔案。
• 輸入下列指令重啟服務即可：
  /opt/trend/imss/script/S99IMSS restart

4. 透過IMSx功能阻擋可執行檔下載避免感染勒贖軟體：

設定方式在『Policy → Policy List → 點選Add /others → True file types → 勾選Executable後，點選Save，即可將可執行檔類型檔案進行封鎖。

5. 透過IMSx功能阻擋附檔名為WSF以及 JS 系列的檔案

5.1 阻擋附檔名為WSF的檔案：設定方式在『Policy > Policy List > 點選Add /others > Name or extention >Attachments named ,下方空格內輸入 *.wsf  並點選 ”Save。

5.2 阻擋附檔名為JS 系列的檔案：設定方式在『Policy → Policy List → 點選Add /others → Name or extention → 於『File extensions to scan (recommended)』處勾選 “CLA/CLASS/JS or JSE/VBS/VBE/WSH ”後，點選Save，即可將附檔名為JS系列的檔案進行封鎖。

6. 透過IMSx功能將文件檔案裡面的macro移除，以防止文件夾帶macro病毒進來。

啟用此功能之後，IMSx會將文件檔案裡面的macro移除，信件仍然會寄送給收件者。

6.1 編輯檔案/opt/trend/imss/config/imss.ini

6.2 在IMSVA /opt/trend/imss/config/imss.ini的[virus]底下，增加一行”EnableMacroStrip=1”

6.3 重啟服務即可 (重啟服務指令為 # /opt/trend/imss/script/imssctl.sh restart)

註：壓縮檔案內的文件也會被IMSx掃描過濾，因此若要寄送巨集檔案時必須將檔案壓縮加密碼，以避免被IMSx攔阻掉。

7. 趨勢科技建議您注意下列事項以防護勒贖軟體攻擊事件：

• 保持更新趨勢科技資安產品；
• 隨時妥善備份重要資料；
• 執行任何檔案前確定其安全性；
• 開啟電子郵件前確認寄件者身分；
• 審慎判別電子郵件內容真偽；
• 勿輕易點選電子郵件中的網址連結；
• 確認電腦的使用者權限；
• 保持警覺、提防社交工程郵件攻擊。

資料來源：趨勢科技20151125電子報

Facebook 留言

則留言