【数据恢复】升级4代后最终活跃传播的.FARGO3勒索病毒

客户名称：国内某公司
售前服务顾问：吴顾问
恢复工程师：魏工
恢复工期：1天
恢复范围：一批数据库
恢复率：100%

近日，我们收到有企业受到 .FARGO3勒索病毒的加密攻击求助。该病毒主要针对企业的Web应用和数据库服务器发起攻击，攻击者一直在使用 FARGO 勒索软件（也称为 Mallox 和 TargetCompany）攻击易受攻击的Microsoft SQL 服务器. FARGO 勒索软件感染始于使用 cmd.exe 和 powershell.exe 下载 .NET 文件，这有助于额外的恶意软件和储物柜检索，以及生成和执行负责进程和服务终止的 BAT 文件。当恶意软件执行恢复停用命令时，FARGO 勒索软件并未加密关键软件和目录，包括 Microsoft Windows 系统目录、Tor 浏览器、Internet Explorer、启动文件、调试日志文件和缩略图数据库，以及用户自定义和设置。然后使用“.Fargo3”重命名所有加密文件。

微信

【数据恢复】升级4代后最终活跃传播的.FARGO3勒索病毒

案例简介：

前言：简介

一、什么是.FARGO3勒索病毒？

二、中了.FARGO3后缀勒索病毒文件怎么恢复？

三、恢复案例介绍：

四、系统安全防护措施建议：

前言：简介

之前短短1个月时间，这个病毒就升级了4代，从FARGO到FARGO2到FARGO3直到FARGO4，最后该勒索病毒组织选择持续使用.FARGO3后缀，让我们来看看这个后缀的入侵与加密的方式。

如果不幸感染了这个勒索病毒，您可添加我们的数据恢复服务号（shujuxf）免费咨询获取数据恢复的相关帮助。

一、什么是.FARGO3勒索病毒？

我们发现，.FARGO3是近期比较流行的勒索软件之一，主要针对 Microsoft SQL 服务器。勒索软件感染首先使用 powershell.exe 和 cmd.exe 将 .NET 文件下载到受感染的机器上。在有效负载获取其他恶意软件后，.BAT 文件会终止某些进程和服务。为确保企业无法恢复其数据，FARGO 会在启动加密之前执行恢复停用命令并终止进程。加密完成后，FARGO 使用“.Fargo3”扩展名重命名锁定的文件。

策略：初始访问和持久性

T1078 有效账户

.FARGO3攻击者使用通过暴力攻击获得的凭据获得对目标机器的初始访问权限。

战术：执行

T1059 命令和脚本解释器

初次访问后，.FARGO3攻击者会将其他恶意软件转移到受感染的网络。该恶意软件生成并执行 BAT 文件以关闭某些进程和服务。

vssadmin.exe 删除阴影 /all /quiet bcdedit /set {current} bootstatuspolicy ignoreallfailures bcdedit /set {current} recoveryenabled no

示例 1：用于禁止系统恢复的命令 [3]

fdhost.exe

msmdsrv.exe

oracle.exe

sqlwrite.exe

fdlauncher.exe

mysql.exe

ReportingServicesService.exe

MsDtsSrvr.exe

ntdbsmgr.exe

sqlserv.exe

表 3：.FARGO3攻击者关闭的进程和服务列表

策略：权限提升

T1134 访问令牌操作

FARGO组使用secedit.exe为其进程分配“ SeDebugPrivilege ”和“ SeTakeOwnershipPrivilege ”。此方法通常用于提升已分配进程的权限。

战术：防御规避

T1055 工艺注入

.FARGO3勒索病毒通过进程注入到已运行的名为AppLaunch.exe的进程中执行。

T1112 修改注册表

.FARGO3勒索病毒删除了流行的勒索软件保护工具 Raccine 的注册表项。

T1562.001 削弱防御：禁用或修改工具

.FARGO3勒索病毒删除以下注册表项以禁止使用vssadmin.exe、wmic.exe、wbadmin.exe、bcdedit.exe、powershell.exe、diskshadow.exe、net.exe和taskkil.exe。