.milovski-G-XXXXXXX--11月新型變種病毒--Mallox勒索病毒家族
- 客戶名稱：國內某公司
- 售前服務顧問：馬顧問
- 恢復工程師：秦工
- 恢復工期：1天
- 恢復范圍：一臺服務器
- 恢復率：100%
近日，91數據恢復技術研究院捕獲一起Mallox勒索病毒攻擊事件，黑客在成功侵入內網后下發勒索病毒文件，勒索病毒運行后迅速加密數據庫文件，在文件名后附加“ .milovski-G-XXXXXX”后綴來重命名所有加密文件，導致文件不可用，影響業務運行，同時還會嘗試在內網中橫向移動，獲取更多設備的權限并進一步擴散。
.milovski-G-XXXXXXX--11月新型變種病毒--Mallox勒索病毒家族
案例簡介：
近日，91數據恢復技術研究院捕獲一起Mallox勒索病毒攻擊事件，黑客在成功侵入內網后下發勒索病毒文件，勒索病毒運行后迅速加密數據庫文件，在文件名后附加“ .milovski-G-XXXXXX”后綴來重命名所有加密文件，導致文件不可用，影響業務運行，同時還會嘗試在內網中橫向移動，獲取更多設備的權限并進一步擴散。
目錄
前言：簡介
一、什么是.milovski-G-XXXXXXX勒索病毒？
二、中了.milovski-G-XXXXXXXXX后綴勒索病毒文件怎么恢復？
三、系統安全防護措施建議：
前言：簡介
近日，91數據恢復技術研究院捕獲一起Mallox勒索病毒攻擊事件，黑客在成功侵入內網后下發勒索病毒文件，勒索病毒運行后迅速加密數據庫文件，在文件名后附加“ .milovski-G-XXXXXX”后綴來重命名所有加密文件，導致文件不可用，影響業務運行，同時還會嘗試在內網中橫向移動，獲取更多設備的權限并進一步擴散。
如果不幸感染了這個勒索病毒，您可添加我們的數據恢復服務號（sjhf91）免費咨詢獲取數據恢復的相關幫助。
這個.milovski-G-XXXXXXX后綴勒索病毒已經是Mallox勒索病毒家族今年的第十幾個升級變種了，同時也是自從今年發現.Mallox勒索病毒至今，短短幾個月時間，這個病毒就升級了4代，從consultraskey-F到consultraskey-R到consultraskey-G再到現在最新的.milovski-G后綴，這其中有什么變化呢？經過我們檢測研究發現，這個病毒比前面三代的加密占比不同，根據文件的加密時間觀察對比，其加密速度也在提升，這將導致數據的恢復難度再一次升級，下面我們來了解看看這個.milovski-G-ID號后綴勒索病毒。
一、什么是.milovski-G-XXXXXXX勒索病毒？
.milovski-G-ID號病毒是一種基于文件勒索病毒代碼的加密病毒，隸屬于國外知名的Mallox勒索病毒家族。這個病毒已在主動攻擊中被發現。
.milovski-G-ID號勒索病毒以某種方式進入計算機后，會更改Windows注冊表、刪除卷影副本、打開/寫入/復制系統文件、生成后臺運行的進程、加載各種模塊等。一旦在入侵后電腦系統上執行加密，并在文件名后附加“ .milovski-G-XXXXXXXXX”擴展名。例如，最初標題為“ 1.jpg ”的文件顯示為“ 1.jpg.milovski-G-XXXXXXXXX”，“ 2.jpg ”顯示為“ 2.jpg.milovski-G-XXXXXXXXX”。
Mallox 勒索病毒家族最新變種的加載器采用C# 編寫，函數名稱嚴重混淆且中間添加了很多垃圾運算指令，這給沙箱自動化分析和人工逆向都帶來了不小的困難。
Mallox 勒索病毒最終加密文件使用的是chacha20 算法，chacha20 算法是salsa20 流密碼的一種變體，該對稱算法可在短時間內加密主機所有文件。
而Mallox勒索病毒的狡猾程度不止于此。調查發現，Mallox家族經歷了多個發展階段，每個階段都會通過改變一些特征來區分受害者并躲避安全人員的追蹤。首先階段，攻擊者在部署Mallox勒索病毒時，會將擴展名命名為被攻擊企業的名稱或其所屬的行業名,如.devicZz，.consultransom，.mallox，.brg，.bozon，.maxoll-ID號，.consultraskey-G-ID號，.elmorenolan29，.bozon3，.FARGO，.FARGO3，.milovski-G等加密后綴名。
.milovski-G-XXXXXXXXX勒索病毒是如何傳播感染的？
經過分析多家公司中毒后的機器環境判斷，.Mallox勒索病毒基本上是通過以下幾種方式入侵，請大家可逐一了解并檢查以下防范入侵方式，畢竟事前預防比事后恢復容易的多。
二、中了.milovski-G-XXXXXXXXX后綴勒索病毒文件怎么恢復？
此后綴病毒文件由于加密算法的原因，每臺感染的電腦服務器文件都不一樣，需要獨立檢測與分析加密文件的病毒特征與加密情況，才能確定最適合的恢復方案。
考慮到數據恢復需要的時間、成本、風險等因素，建議如果數據不太重要，建議直接全盤掃描殺毒后全盤格式化重裝系統，后續做好系統安全防護工作即可。如果受感染的數據確實有恢復的價值與必要性，可添加我們的技術服務號（sjhf91）進行免費咨詢獲取數據恢復的相關幫助。
三、系統安全防護措施建議：
預防遠比救援重要，所以為了避免出現此類事件，強烈建議大家日常做好以下防護措施：
① 及時給辦公終端和服務器打補丁，修復漏洞，包括操作系統以及第三方應用的補丁，防止攻擊者通過漏洞入侵系統。
② 盡量關閉不必要的端口，如139、445、3389等端口。如果不使用，可直接關閉高危端口，降低被漏洞攻擊的風險。
③ 不對外提供服務的設備不要暴露于公網之上，對外提供服務的系統，應保持較低權限。
④ 企業用戶應采用高強度且無規律的密碼來登錄辦公系統或服務器，要求包括數字、大小寫字母、符號，且長度至少為8位的密碼，并定期更換口令。
⑤ 數據備份保護，對關鍵數據和業務系統做備份，如離線備份，異地備份，云備份等， 避免因為數據丟失、被加密等造成業務停擺，甚至被迫向攻擊者妥協。
⑥ 敏感數據隔離，對敏感業務及其相關數據做好網絡隔離。避免雙重勒索病毒在入侵后輕易竊取到敏感數據，對公司業務和機密信息造成重大威脅。
⑦ 盡量關閉不必要的文件共享。
⑧ 提高安全運維人員職業素養，定期進行木馬病毒查殺。
.milovski后綴病毒勒索信RECOVERY INFORMATION !!!.txt說明文件內容：
YOUR FILES ARE ENCRYPTED !!!
TO DECRYPT, FOLLOW THE INSTRUCTIONS:
To recover data you need decrypt tool.
To get the decrypt tool you should:
1.In the letter include your personal ID! Send me this ID in your first email to me!
2.We can give you free test for decrypt few files (NOT VALUE) and assign the price for decryption all files!
3.After we send you instruction how to pay for decrypt tool and after payment you will receive a decryption tool!
4.We can decrypt few files in quality the evidence that we have the decoder.
5.Your key is only kept for seven days beyond which it will never be decrypted!
6.Do not rename, do not use third-party software or the data will be permanently damaged!
7.Do not run any programs after the computer is encrypted. It may cause program damage!
8.If you delete any encrypted files from the current computer, you may not be able to decrypt them!
CONTACT US:
milovski@tutanota.com
If no response is received within 12 hours contact: milovski@onionmail.org
ID:28092037QYpAde8Md52e3fsd9
與該病毒同類的后綴病毒還有以下各種后綴，都是同一個病毒家族的：
.devicZz勒索病毒
.consultransom勒索病毒
.mallox勒索病毒
.bozon勒索病毒
.consultraskey-F-XXXXXX
.consultraskey-R-XXXXXX
.consultraskey-G-XXXXXX
.consultraskey勒索病毒
.elmorenolan29勒索病毒
.bozon3勒索病毒
.FARGO勒索病毒
.FARGO勒索病毒
.FARGO2勒索病毒
.FARGO3勒索病毒
.FARGO4勒索病毒
.milovski-G-XXXXXXX
.milovski勒索病毒
