一、背景介绍

近日，市委网信办技术支撑单位监测到多起TellYouThePass勒索攻击事件。

1.1 风险描述

TellYouThePass勒索攻击事件，均发现与暴露在公网的海康威视综合安防管理平台相关，涉及海康视频、门禁、停车等多个系统。攻击者利用海康威视综合安防管理平台漏洞获得服务器权限，并执行勒索病毒加密文件。

1.2事件分析

TellYouThePass勒索病毒是一款非Raas的勒索病毒，曾使用永恒之蓝、Apache Log4j2等漏洞进行广泛传播，近期，该勒索病毒再次利用海康威视综合安防管理平台漏洞进行攻击。本次勒索病毒执行加密的文件后缀为 locked1，由于使用了RSA+AES的方式进行加密，暂时无法解密。

二、修复建议

2.1受影响平台及版本

iVMS-8700：V2.0.0 - V2.9.2

iSecure Center：V1.0.0 - V1.7.0

2.2自查方法

排查综合安防管理平台相关 web 目录下是否存在异常 jsp 或 jspx 脚本文件：目前已知的 webshell 路径如下：

路径 1：/opt/hikvision/web/components/tomcat85linux64.1/webapps/els/static/

路径 2：/opt/opsmgr/web/components/tomcat85linux64.1/webapps/els/static/

2.3修复建议

1、检查是否存在海康威视综合安防管理平台，并根据上述官方漏洞通告，及时更新平台版本修复漏洞。

2、关闭海康威视综合安防管理平台公网映射。

3、该产品历史上还存在多个漏洞且在互联网公开，建议客户识别并且修复历史漏洞，避免因其他历史漏洞再次被攻击。

4、针对勒索事件，重要数据异地安全备份是在安全事件发生后的有效恢复手段，也需要在演练中尝试已经备份的数据，从而保证备份数据有效性。

5、在网络层面部署流量分析设备APT以及大型内网中架设态势感知威胁预警平台。

海康威视已于6月份发布安全通告，详情请参考：https://www.hikvision.com/cn/support/CybersecurityCenter/SecurityNotices/2023-03/