金蝶服务器抓到的勒索样本Ransom/LockFile.n

ndd200

hsks 发表于 2026-4-27 18:58
（360没有公布详尽的攻击链，以下这些是通过已有信息进行推测的）
根据360的说法，推测是KSCloudPlatfor ...

这台服务器是4月13号在阿里云新买的ECS，公网IP随机分配，内网和其他服务器隔离。14号装的金蝶，26号晚上就下载勒索病毒。
如果是通过公网扫描到，定向投毒，那是我运气不好呢，还是对方扫描的效率高。

看金蝶论坛3月份是集中爆发，我们4月初才第一次中毒，算是比较晚了。第二次多亏火绒拦截了。
不管怎样，这个事情和金蝶脱不开关系，至少也是有漏洞被利用了，金蝶官方到现在也没回复。

最离谱的是，一开始问金蝶官方，他们只看了文件名，一口咬定是正常的文件，让我加信任区。

gsgaosheng

ndd200 发表于 2026-4-28 01:17
这台服务器是4月13号在阿里云新买的ECS，公网IP随机分配，内网和其他服务器隔离。14号装的金蝶，26号晚上 ...

说一个三年前的亲历真实案例，金蝶在国内的竞对‘某友’（上市股票名为‘某友网络’），某友自用的部署测试服务器，被勒索入侵，勒索入侵几天后被{}中{}央{}网{}信{}发现并直接通报，某友内部在这几天被通报前从上到下无人发现，包括大区BOSS、开发、实施，最后借用甲方的服务器先临时蹭用。

勒索入侵的原因是某友开发向服务器人为误传了勒索文件并执行。

与某友内部交流没听说过有专职‘安全’但可能有挂名（某友全国人员众多，不可能都认识），所有人员都围绕项目验收交付为主。报告交差后照旧。估计金蝶情况类似。

papawenbo

细节报告来了  https://news.safe.360.cn/n/13006.html

gtc

解压后蜘蛛干掉了！

bbszy

Xopii 发表于 2026-4-27 10:51
EIS不报

不入库基本就没用

abcd5678

ndd200 发表于 2026-4-27 17:50
这文章里的情况，和我碰到的可能不一样。
我这边的服务器上，甚至还有金蝶自己的日志，下载、执行这个勒 ...

草台班子太多了

c199529

腾讯电脑管家18

---------------------
2026-4-30 00:54:52 MD5:9e26470532eaec05f7817b37e9da1e80
kiscldsrvupd\kiscldsrvupd.exe [Win32.Trojan-Ransom.Gen.Wmhl]
---------------------

原美食小孩

ndd200 发表于 2026-4-27 11:32
金蝶官方，仅仅看了文件路径，说是正常的文件，误报，让我别担心加白名单。
我在虚拟机上运行，实锤是勒索 ...

1、他们客服没明白反馈的意思。2、他们自己放的。

ndd200

原美食小孩 发表于 2026-4-30 23:09
1、他们客服没明白反馈的意思。2、他们自己放的。

4月28日，打了官网上的投诉电话。
有人来收集信息，并丢给我一个升级包。然后等到今天，又没下文了，节后我再问一问。

金蝶官网，查看安全公告，下载补丁都需要账号，软件是他们代{过}{滤}理商安装的，我哪知道最新版本。

WGC_ZY

ESSP（看报毒名是已入库了）：
5/5/2026 10:03:25;Real-time file system protection;file;C:\Users\Zhang\Downloads\kiscldsrvupd\kiscldsrvupd.exe;a variant of Win64/Filecoder.AND trojan;cleaned by deleting