# GlobeImposter 3.0（"十二生肖"）勒索病毒事件处置与分析报告

> **脱敏声明**：本文由内部事件处置记录整理改写，所有可定位到具体单位、系统、人员的标识均已脱敏处理。文中 IOC（MD5、攻击者邮箱、回联 IP）属于公开威胁情报范畴，予以保留以供社区检索比对。
>
> **原创声明**：首发于技术社区，转载请注明出处。

---

## 摘要（TL;DR）

- **事件定性**：一台承载供应商信息查询业务、带公网映射的服务器遭 GlobeImposter 3.0（俗称"十二生肖"）勒索病毒加密，由终端 EDR 平台自动告警并自动处置。
- **最值得关注的点**：样本**并非新近投递**——结合病毒落地时间与组织活跃时间线研判，该样本约在 **2019 年**已植入目标主机，**潜伏长达 6 年**后才触发加密行为。主机内还发现**历史勒索攻击残留痕迹**，说明该资产此前已被攻陷过至少一次。
- **归因依据**：勒索信联系邮箱 `China.Helper@aol.com` 关联到 GlobeImposter 勒索组织，变种为 3.0 版本。
- **处置结果**：主机已内网隔离，确认无业务流量，闭环完成。
- **与既往事件关系**：本次攻击与同年 10 月处置的另一起勒索事件**分属不同组织**，非同一团伙连续作案。

---

## 一、事件背景

| 项目 | 内容 |
|---|---|
| 受害资产 | 供应商信息查询系统服务器（以下简称"受害主机"），对外存在公网映射 |
| 业务影响 | 系统仅用于供应商商品信息查询，数据敏感度相对可控，未造成核心业务中断 |
| 发现方式 | **终端统一安全响应平台（EDR）自动告警 + 自动处置** |
| 发现时间 | 2025-12-26 14:07 |
| 病毒家族 | GlobeImposter 3.0（"十二生肖"变种） |

> **值得肯定的一点**：本次事件是由 EDR **自动处置**而非人工发现后上报。勒索病毒从落地到执行加密通常只有数分钟窗口，依赖人工巡检几乎不可能在加密前拦截。这次能实现"平台自动处置 + 人工闭环确认"，说明终端侧的检测响应能力是有效的。

---

## 二、事件时间线（Timeline）

```
2019 年            样本植入并长期潜伏（据病毒落地时间 + 组织活跃时间线研判）
   │
   ··············  约 6 年静默期，期间主机疑似曾遭其他勒索软件攻击（残留痕迹）
   │
2025-10-16        本单位处置另一起勒索事件（经研判与本次非同一组织）
   │
2025-12-26 14:07  终端 EDR 平台自动告警并触发处置
   │
   ├─ 14:0x        安全团队介入，启动应急响应流程
   ├─ 样本提取      获取病毒样本，计算 MD5
   ├─ 内存取证      从病毒运行内存中提取勒索信明文
   ├─ 威胁归因      依据勒索信邮箱关联至 GlobeImposter 组织
   ├─ 主机排查      网络连接追踪、历史攻击痕迹分析
   └─ 处置闭环      受害主机执行内网隔离，确认无业务流量
```

---

## 三、检测与发现

本次事件的发现完全依赖**终端统一安全响应平台**的自动化能力：

1. **行为检测**：勒索病毒在加密阶段会产生典型的高频文件读写 + 文件后缀改写行为，EDR 通过行为特征（而非仅依赖特征库）捕获异常。这一点很关键——GlobeImposter 变种迭代频繁，单纯靠哈希特征库很容易漏过。
2. **自动处置**：平台在告警的同时直接执行了处置动作（终止恶意进程 / 隔离），这是本次未造成大范围扩散的核心原因。
3. **人工闭环**：安全团队在接到告警后立即启动应急响应，完成样本提取、研判、归因与隔离加固。

> **经验**：勒索软件防御的黄金法则就是"**行为检测 > 特征检测**"。EDR 的价值不在于认得某个样本，而在于认得"正在批量改写文件"这个行为本身。

---

## 四、样本分析

### 4.1 样本基本信息

| 属性 | 值 |
|---|---|
| 病毒名称 | GlobeImposter 3.0（"十二生肖"变种） |
| **MD5** | `0c0f718b4cd6a1d69c5f2a9e89027212` |
| 勒索信联系邮箱 | `China.Helper@aol.com` |
| 主要针对行业 | 医疗行业（该组织历史攻击偏好） |

### 4.2 关键技术点：从运行内存中提取勒索信

本次分析中有个值得单独拎出来讲的细节——**勒索信内容是从病毒的运行内存（进程空间）中提取的，而非从磁盘文件读取**。

这个做法在勒索软件分析里是标准但重要的手法：

- **为什么这么做**：成熟的勒索样本在释放勒索信后往往会调用自删除，或把勒索信以加密/压缩形式存放，直接从磁盘取证可能拿不到明文。而病毒在运行时，勒索信内容必然以明文形式存在于进程内存中，用于写文件或显示。
- **怎么做**（常规手法，供参考）：
  1. 在样本执行/驻留状态下对目标进程做**内存转储（Process Dump）**；
  2. 对 dump 文件做**字符串提取（strings）**，检索勒索信特征关键字（如邮箱、`README`、`HOW_TO_DECRYPT` 等）；
  3. 定位明文勒索信，进一步提取其中的**联系邮箱、受害者 ID、赎金要求、暗链地址**等关键信息。
- **为什么有价值**：勒索信里的**联系邮箱是归因的第一手线索**——勒索组织通常会在不同变种中复用同一批邮箱，这是把未知样本关联到已知家族的最快路径。本次正是靠 `China.Helper@aol.com` 完成了组织归属确认。

> 实操中进阶一点的做法是上 **Volatility / 沙箱动态分析**，配合静态逆向（IDA / x64dbg）交叉验证。本文重点在事件处置，逆向细节不展开，社区已有完整的 GlobeImposter 逆向分析（见参考链接）。

---

## 五、威胁归因

```
勒索信明文
    │
    ├─ 提取联系邮箱 ──→ China.Helper@aol.com
    │
    └─ 威胁情报关联 ──→ GlobeImposter 勒索组织
                              │
                              └─ 变种判定：GlobeImposter 3.0
                                 威胁情报领域俗称「十二生肖」变种
```

**关于"十二生肖"变种**：这是威胁情报圈对 GlobeImposter 3.0 的俗称，源于该版本加密后会使用十二生肖相关字符串作为文件后缀/标识。该变种在历史活动中呈现明显的**行业定向性**，医疗行业是重灾区。

> **注意区分**：本次攻击经研判与本单位 10 月 16 日处置的勒索事件**并非同一组织**。同期出现多起勒索事件时，不能默认"同一波攻击"，必须通过 IOC（邮箱、后缀、样本哈希、C2）逐项比对后再下结论，否则会误导后续的防御重心。

---

## 六、攻击路径与潜伏期分析（本次最值得警惕的发现）

这是整份报告里**最有价值、也最应该被管理层看到**的部分：

1. **超长潜伏期**：结合病毒落地时间与 GlobeImposter 组织的活跃时间线研判，该样本约在 **2019 年**即已植入目标主机，此后长期静默，**直到 2025 年底才触发加密**。这意味着攻击者可能在 6 年前就已拿到该主机的控制权，并一直保留着访问能力。

2. **主机曾被重复攻陷**：主机内残留有**其他勒索攻击的历史痕迹文件**，可判断该资产**此前至少还遭受过一次勒索软件攻击**。

3. **推断的攻击路径**（基于现有证据的合理推断，初始入侵途径需进一步取证确认）：

```
[初始入侵]  公网暴露面 → 弱口令 / 未修复漏洞 / 远程服务爆破  （具体途径待取证）
     │
     ▼
[落地驻留]  2019 年植入样本，长期潜伏，建立持久化
     │
     ▼
[横向/驻留] 期间主机疑似再次被其他勒索软件攻击（残留痕迹为证）
     │
     ▼
[触发加密]  2025-12-26 样本激活，批量加密文件并释放勒索信
     │
     ▼
[被拦截]    EDR 行为检测命中 → 自动处置 → 人工隔离闭环
```

> **必须直说的两个问题**：
> 1. **公网资产长期缺乏有效管控**：一台承载业务的服务器被植入样本 6 年未被发现，说明期间缺少持续性的主机入侵检测与基线核查。
> 2. **历史受陷主机未做彻底处置**：上一次被勒索攻击后，该主机显然没有经过彻底的重装/根因清除，导致再次沦陷。**受陷主机"清毒"不等于"恢复信任"，重装是最低成本的答案。**

---

## 七、失陷主机网络行为分析（含一次误判排除）

对受害主机的网络连接进行追踪时，定位到一个可疑的外联 IP：

| 可疑外联 | 归属 | 研判结论 |
|---|---|---|
| `157.255.13.233` | 广东省广州市 · 联通 | 经多方确认，为**腾讯 QQ 网络回联地址**，属正常业务通信，**非 C2 通信** |

这个环节值得单独记录，因为它体现了应急响应中一个常见但重要的动作：**外联 IP 不能只看"陌生"就定性为恶意**。

- 应急响应中排查网络连接时，一定会命中大量正常业务进程的外联（IM 软件、更新服务、云同步等）。
- 正确的做法是：对每一个可疑外联做**进程归属 + IP 情报 + 通信内容**三方交叉验证，确认为正常服务后从可疑清单中排除，避免把精力浪费在误报上，也避免误断网影响业务。
- 本次排查后，**未发现样本存在有效的 C2 回联行为**——这与"样本长期潜伏、本地激活加密"的研判是吻合的。

---

## 八、处置措施

| 步骤 | 处置动作 | 说明 |
|---|---|---|
| 1 | **内网隔离**受害主机 | 切断横向移动路径，防止扩散至内网其他资产 |
| 2 | 确认业务流量 | 经确认该主机已无业务流量，隔离不影响业务连续性 |
| 3 | 样本提取与留存 | 提取样本、计算 MD5，纳入 IOC 库长期监控 |
| 4 | 威胁情报归档 | 关联组织信息、邮箱 IOC 入库，用于后续告警规则 |
| 5 | 事件闭环 | 完成处置记录归档 |

**建议补充的后续动作**（原记录未体现，建议补齐）：

- [ ] **主机重装**：鉴于该主机存在 6 年潜伏 + 历史受陷记录，强烈建议**重装系统**而非仅清除病毒，并在重装前完成取证镜像留存。
- [ ] **同网段排查**：以该主机为中心，排查同网段/同业务域主机是否存在相同 IOC 或异常外联。
- [ ] **入口溯源**：排查该主机的公网暴露面（端口、弱口令、未修复漏洞），定位初始入侵途径——这是防止"第三次沦陷"的关键。
- [ ] **备份有效性验证**：确认该主机业务数据是否有可用备份，并验证恢复流程。
- [ ] **规则加固**：将本次 MD5、邮箱 IOC 下发至 EDR / 邮件网关 / 防火墙，形成长期检测能力。

---

## 九、本次处置涉及的技术与工具

| 阶段 | 技术 / 手段 | 作用 |
|---|---|---|
| **检测发现** | 终端统一安全响应平台（EDR） | 行为检测 + 自动告警 + 自动处置，本次事件的第一道防线 |
| **样本获取** | 病毒样本提取 | 从受害主机获取样本文件用于分析 |
| **样本标识** | MD5 哈希 | `0c0f718b4cd6a1d69c5f2a9e89027212`，唯一标识与情报比对 |
| **内存取证** | 进程内存转储 + 字符串提取 | **关键技术点**：从运行内存中提取勒索信明文，获取归因线索 |
| **威胁归因** | 勒索信邮箱 IOC + 威胁情报关联 | 由 `China.Helper@aol.com` 关联至 GlobeImposter 组织 |
| **情报检索** | 安全社区 / 威胁情报平台 | 比对已有分析报告，确认变种版本（3.0 / 十二生肖） |
| **主机排查** | 网络连接追踪 + 历史痕迹分析 | 定位外联行为、发现历史受陷痕迹 |
| **IP 研判** | IP 归属地查询 + 服务识别 | 确认 `157.255.13.233` 为 QQ 正常回联，排除误判 |
| **处置控制** | 网络隔离（内网隔离） | 切断横向扩散路径，完成闭环 |

---

## 十、经验总结与防御建议

### 10.1 三条经验

1. **EDR 行为检测是应对勒索的最后一道有效防线。** 本次能自动处置而不是事后救火，证明了终端行为检测能力的投入是值得的。
2. **"潜伏 6 年"比"被加密"更可怕。** 一次成功的勒索加密，往往意味着攻击者早已控制这台机器很久了。事件处置不能止步于"清毒"，必须追问"他是怎么进来的、进来多久了"。
3. **受陷主机必须重装。** 同一台主机二次被勒索，是本次事件中最应被追责的信号。

### 10.2 四条防御建议

1. **收敛公网暴露面**：核查所有公网映射资产，非必要不开放；必须开放的收敛到最小化端口 + 强认证 + 访问白名单。
2. **补齐主机侧持续检测**：确保所有服务器（尤其是历史遗留系统）纳入 EDR 覆盖，避免出现"检测盲区资产"。
3. **建立 IOC 运营机制**：将本次的 MD5、邮箱等 IOC 常态化下发与监控，并接入外部威胁情报。
4. **备份 + 恢复演练**：勒索防御的底线是**可用备份**。定期验证备份可恢复性，而不是备份了就以为安全。

---

## 附录 A：IOC 清单

```
# 样本哈希
MD5:  0c0f718b4cd6a1d69c5f2a9e89027212

# 勒索组织联系方式（用于归因，勿用于联系）
Email: China.Helper@aol.com

# 家族 / 变种
Family: GlobeImposter
Variant: 3.0（"十二生肖"变种）

# 排查中确认的正常外联（误报排除，供参考）
157.255.13.233  广东省广州市 联通  腾讯 QQ 网络回联地址  非恶意
```

---

脱敏声明：本文由内部事件处置记录整理改写，所有可定位到具体单位、系统、人员的标识均已脱敏处理。文中 IOC（MD5、攻击者邮箱、回联 IP）属于公开威胁情报范畴，予以保留以供社区检索比对。

企业GlobeImposter勒索病毒事件处置思路

安全

运维

新闻资讯

一台承载供应商信息查询的公网服务器遭GlobeImposter3.0（“十二生肖”）勒索病毒加密，由EDR自动告警处置。样本约于2019年植入，潜伏6年后触发，主机曾遭多次攻击。经勒索信邮箱归因至GlobeImposter组织，已隔离闭环。

威胁情报平台

威胁情报

代码解释

服务器

防火墙

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

企业GlobeImposter勒索病毒事件处置思路-腾讯云开发者社区-腾讯云

企业GlobeImposter勒索病毒事件处置思路

企业GlobeImposter勒索病毒事件处置思路

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐