Oracle勒索病毒东山再起 OG东方厅DAP阻断黑手
颁布功夫 2018-11-24
近日，， ，Oracle 数据库的比特币勒索病毒东山再起，， ，国内已产生多起案例，， ，针对此攻击，， ，OG东方厅数据库安全审计与防护产品可提供检测和防护，， ，具体的安全建议如下：：：
Oracle勒索病毒分析
病毒读取数据库创建功夫，， ，若是大于等于1200天，， ，则对数据库进行分歧水平的粉碎（例如Truncate tab_name和删除tab$中的纪录），， ，重启数据库后会导致用户无法接见所有的数据库对象。�！！！Ｍ�，， ，给出提醒“你的数据库已经被SQL RUSH Team锁死，， ，请发送5个比特币到xxxxxxxxxxx地址，， ，….”等信息，， ，并设置按时工作，， ，若是在期限内不交赎金，， ，就删除所有的表。�！！！＞咛逄嵝研畔⑷缦�：：：
防护规划
利用数据库安全审计与防护产品，， ，发现异常并进行防护
部署OG东方厅数据库审计或者数据库防火墙，， ，用户可自行增长勒索病毒的审政战术，， ，重要的规定如下：：：
1、 、权限最小化限度，， ，对分歧用户凭据角色赐与其最小权限。�！！！�
例如：：：低权限用户限度触发器、 、存储过程的创建和批改。�！！！Ｕ绞跖渲萌缦�：：：
为低权限用户配置一个权限节制集中，， ，对于触发器和存储过程和新建批改和删除操作，， ，一旦执行则进行告警和阻断。�！！！�
2、 、勒索病毒精准节制：：：恶意存储过程、 、触发器创建行为限度。�！！！�
对于高权限账号新建恶意存储过程的操作界说规定，， ，成立阻断战术进行限度，， ，如图：：：
顺次创建四个存储过程DBMS_SUPPORT_INTERNAL、 、DBMS_SYSTEM_INTERNAL、 、DBMS_CORE_INTERNAL、 、DBMS_STANDARD_FUN9和三个触发器DBMS_SUPPORT_INTERNAL、 、DBMS_SYSTEM_INTERNAL、 、DBMS_CORE_INTERNAL的检测规定，， ，针对这些操作规定成立审计和阻断战术。�！！！�
3、 、为了病毒变种，， ，必要加强对来自PL/SQL Dev客户端的操作监管
界说规定，， ，对客户端工具为PL/SQL的所有操作进行纪录，， ，对其存储过程和触发器操作进行告警。�！！！Ｈ缤汲闪⒐娑ú⑺炒窝≡穸杂Φ南煊Ψ绞�，， ，成立审政战术：：：
人为确认病毒入侵痕迹，， ，实时算帐恶意文件
1、 、查抄启动剧本
大无数客户端工具，， ，在接见数据库时，， ，都能够通过剧本进行肯定的职能界说，， ，而这些剧本往往就是安全问题的缝隙之一，， ，以下列出了常见客户端工具的剧本地位，， ，必要查抄这些剧本是否正常，， ，如：：：plsql dev 的login.sql和afterconnect.sql，， ，Toad的toad.ini，， ，sqlplus中的glogin.sql和login.sql等。�！！！�
2、 、在数据库中执行查抄语句
Select * from dba_triggers where TRIGGER_NAME like 'DBMS_%_INTERNAL%';
select from dba_procedures W where W.object_name like 'DBMS_%_INTERNAL% '。�！！！�
以上操作若发现异常，， ，立刻算帐恶意文件，， ，删除已经成立的存储过程和触发器。�！！！�
综上，， ，针对Oracle比特币勒索病毒的防护规划除了对防护工具的合理使用，， ，还有赖于数据库治理人员的安全防备意识。�！！！＝ㄒ橛没Ф嗍褂谜嫒砑�，， ，做好数据库的接见节制和权限治理，， ，对于来自异常IP、 、账号、 、客户端的接见实时措置，， ，关闭病毒习染通道。�！！！Ｒ坏┓⑾植《鞠叭厩胧凳辈扇〈胧�，， ，必要时征询专业安全服务团队寻求支持。�！！！�
Oracle勒索病毒分析
勒索代码被绑缚在Oracle PL/SQL Dev软件中（网络下载版），， ，里面的一个剧本文件Afterconnet.sql被黑客注入了病毒代码。�！！！Ｒ坏┯没褂谜飧鯬L/SQL Dev工具衔接数据库，， ，就会立即执行Afterconnet.sql，， ，创建四个存储过程
（DBMS_SUPPORT_INTERNAL、 、DBMS_SYSTEM_INTERNAL、 、DBMS_CORE_INTERNAL、 、DBMS_STANDARD_FUN9）和三个触发器（DBMS_SUPPORT_INTERNAL、 、DBMS_SYSTEM_INTERNAL、 、DBMS_CORE_INTERNAL）。�！！！�
病毒读取数据库创建功夫，， ，若是大于等于1200天，， ，则对数据库进行分歧水平的粉碎（例如Truncate tab_name和删除tab$中的纪录），， ，重启数据库后会导致用户无法接见所有的数据库对象。�！！！Ｍ�，， ，给出提醒“你的数据库已经被SQL RUSH Team锁死，， ，请发送5个比特币到xxxxxxxxxxx地址，， ，….”等信息，， ，并设置按时工作，， ，若是在期限内不交赎金，， ，就删除所有的表。�！！！＞咛逄嵝研畔⑷缦�：：：
防护规划
利用数据库安全审计与防护产品，， ，发现异常并进行防护
部署OG东方厅数据库审计或者数据库防火墙，， ，用户可自行增长勒索病毒的审政战术，， ，重要的规定如下：：：
1、 、权限最小化限度，， ，对分歧用户凭据角色赐与其最小权限。�！！！�
例如：：：低权限用户限度触发器、 、存储过程的创建和批改。�！！！Ｕ绞跖渲萌缦�：：：
为低权限用户配置一个权限节制集中，， ，对于触发器和存储过程和新建批改和删除操作，， ，一旦执行则进行告警和阻断。�！！！�
2、 、勒索病毒精准节制：：：恶意存储过程、 、触发器创建行为限度。�！！！�
对于高权限账号新建恶意存储过程的操作界说规定，， ，成立阻断战术进行限度，， ，如图：：：
顺次创建四个存储过程DBMS_SUPPORT_INTERNAL、 、DBMS_SYSTEM_INTERNAL、 、DBMS_CORE_INTERNAL、 、DBMS_STANDARD_FUN9和三个触发器DBMS_SUPPORT_INTERNAL、 、DBMS_SYSTEM_INTERNAL、 、DBMS_CORE_INTERNAL的检测规定，， ，针对这些操作规定成立审计和阻断战术。�！！！�
3、 、为了病毒变种，， ，必要加强对来自PL/SQL Dev客户端的操作监管
界说规定，， ，对客户端工具为PL/SQL的所有操作进行纪录，， ，对其存储过程和触发器操作进行告警。�！！！Ｈ缤汲闪⒐娑ú⑺炒窝≡穸杂Φ南煊Ψ绞�，， ，成立审政战术：：：
人为确认病毒入侵痕迹，， ，实时算帐恶意文件
1、 、查抄启动剧本
大无数客户端工具，， ，在接见数据库时，， ，都能够通过剧本进行肯定的职能界说，， ，而这些剧本往往就是安全问题的缝隙之一，， ，以下列出了常见客户端工具的剧本地位，， ，必要查抄这些剧本是否正常，， ，如：：：plsql dev 的login.sql和afterconnect.sql，， ，Toad的toad.ini，， ，sqlplus中的glogin.sql和login.sql等。�！！！�
2、 、在数据库中执行查抄语句
Select * from dba_triggers where TRIGGER_NAME like 'DBMS_%_INTERNAL%';
select from dba_procedures W where W.object_name like 'DBMS_%_INTERNAL% '。�！！！�
以上操作若发现异常，， ，立刻算帐恶意文件，， ，删除已经成立的存储过程和触发器。�！！！�
综上，， ，针对Oracle比特币勒索病毒的防护规划除了对防护工具的合理使用，， ，还有赖于数据库治理人员的安全防备意识。�！！！＝ㄒ橛没Ф嗍褂谜嫒砑�，， ，做好数据库的接见节制和权限治理，， ，对于来自异常IP、 、账号、 、客户端的接见实时措置，， ，关闭病毒习染通道。�！！！Ｒ坏┓⑾植《鞠叭厩胧凳辈扇〈胧�，， ，必要时征询专业安全服务团队寻求支持。�！！！�
京公网安备11010802024551号