机窝安全--疫情期间某企业远程办公遭遇XRed病毒攻击

一、概述

受疫情影响，多个省市延长春节假期，一些企事业单位、互联网公司或推迟开工日期，或全员进行远程办公，一部分员工使用个人电脑临时替代工作电脑，增加了企业被感染的风险。[出自:jiwo.org]
近日，腾讯企业安全应急响应中心（下称腾讯安全）接到某互联网公司求助，该公司一位业务主管分享到内部工作群的远程办公工具及电子表格文件被发现感染病毒，导致部门200多名员工电脑被感染，该公司担心系统业务安全受到威胁，希望腾讯安全协助处理。
接到求助后，腾讯安全工程师和该公司密切配合，快速梳理了相关信息，通过溯源发现是该企业在进行远程办公时，某位业务主管使用个人电脑办公，该电脑被XRed病毒感染，致使电脑EXE文件及电子表格文件均被病毒感染，通过内部工作群分享远程办公工具之后，造成该病毒在同事间扩散。
通过分析，腾讯安全专家发现XRed病毒是具备远程控制、信息窃取能力的感染型病毒，可以感染本地EXE文件及xlsx电子表格文件，病毒可通过文件分享和U盘、移动硬盘等媒介传播。
该企业因发现比较及时，使用腾讯电脑管家或腾讯T-sec终端安全管理系统清除病毒后，已完美恢复被感染的文件，本次病毒攻击未对该企业造成重大影响。

二、病毒感染源排查

1.该公司前期内部排查：公司网管注意到某员工通过内部工作群分享的压缩包中远程办公工具exe文件被感染，而公司统一提供的远程办公工具exe则为正常文件。因此基本确认病毒传播源头。
2.腾讯安全工程师对此进行了远程排查，发现怀疑感染病毒的电脑有如下现象：
（1）在该电脑上解压文件，发现解压出来的exe文件对比原始文件大，已被感染

（2）任意复制一个exe文件放到桌面上，exe文件都会被感染，感染后文件描述被修改成触摸板设备驱动程序，据此可以基本确认该病毒为同行已披露过的“Synaptics”蠕虫病毒。

（3）继续检查发现，这台中毒电脑上破解版压缩软件并未发现“供应链污染”类问题。基本可以确认是这台个人电脑更早前某个时刻感染XRed病毒，在本次应急用作工作电脑远程办公使用，对外分享文件时，被该公司IT人员监测发现异常。

三、阻断病毒传播和修复方案

1.该公司IT人员立即对感染病毒的机器进行断网处理，避免进一步扩散。
2.在确认电脑管家云主防可以拦截病原体“Synaptics.exe”之后，立即要求未安装“腾讯T-sec终端安全管理系统”的电脑安装腾讯电脑管家。病原体“Synaptics.exe”有超过2万个变种，最近一次更新是2020年1月，目前仍处于活跃状态，建议企业及时升级杀毒软件，做好防范。
3.对已感染病毒对电脑，使用腾讯电脑管家（或腾讯T-sec终端安全管理系统）进行全盘查杀修复被感染的文件。XRed病毒感染方式相对比较特殊（详情可参见后续“样本详细分析”部分），腾讯电脑管家可以准确识别和完美修复，将被感染文件还原成原始状态。