1. 全栈程序员必看首页

plsqldeveloper_电脑病毒勒索比特币

全栈程序员-站长 • • 未分类 • 阅读 151

plsqldeveloper_电脑病毒勒索比特币plsql dev引起的数据库被黑勒索比特币实现原理分析和解决方案—-惜分飞

大家好，又见面了，我是你们的朋友全栈君。

数据库启动alert报错

Mon Jul 10 19:51:24 2016
Errors
in
file
e:\app\administrator\diag\rdbms\zhxh\zhxh\trace\zhxh_ora_3584.trc:
ORA-00604: 递归 SQL 级别 1 出现错误
ORA-20313: 你的数据库已被SQL RUSH Team锁死  发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (大小写一致)  之后把你的Oracle SID邮寄地址 sqlrush@mail.com 我们将让你知道如何解锁你的数据库  Hi buddy, your database was hacked by SQL RUSH Team, send 5 bitcoin to address 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (
case
sensitive),  after that send your Oracle SID to mail address sqlrush@mail.com, we will
let
you know how to unlock your database.
ORA-06512: 在
"ZHXH.DBMS_SYSTEM_INTERNAL         "
, line 15
ORA-06512: 在 line 2
Mon Jul 10 19:51:30 2016
OER 7451
in
Load Indicator : Error Code = OSD-04500: 指定了非法选项
O
/S-Error
: (OS 1) 函数不正确。 !
Mon Jul 10 19:51:34 2017
Errors
in
file
e:\app\administrator\diag\rdbms\zhxh\zhxh\trace\zhxh_ora_824.trc:
ORA-00604: 递归 SQL 级别 1 出现错误
ORA-20313: 你的数据库已被SQL RUSH Team锁死  发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (大小写一致)  之后把你的Oracle SID邮寄地址 sqlrush@mail.com 我们将让你知道如何解锁你的数据库  Hi buddy, your database was hacked by SQL RUSH Team, send 5 bitcoin to address 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (
case
sensitive),  after that send your Oracle SID to mail address sqlrush@mail.com, we will
let
you know how to unlock your database.
ORA-06512: 在
"ZHXH.DBMS_SYSTEM_INTERNAL         "
, line 15
ORA-06512: 在 line 2

afterconnect.sql
是plsql dev登录后自动执行脚本，非Oralce官方脚本
1

数据库启动后执行触发器DBMS_SUPPORT_INTERNAL
2
3

DBMS_SUPPORT_INTERNAL主要的意义是：
1. 当数据库创建时间大于1200天之后，开始备份tab$表
2. 删除tab$中除掉owner#为0和38的记录(sys，xdb)
4

3. 通过SYS.DBMS_BACKUP_RESTORE.RESETCFILESECTION清理掉备份信息(v$controlfile_record_section)
4. 然后通过DBMS_SYSTEM.KSDWRT在你的alert日志中写上2046次的提示信息
Hi buddy, your database was hacked by SQL RUSH Team, send 5 bitcoin to address 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (case sensitive), after that send your Oracle SID to mail address sqlrush@mail.com, we will let you know how to unlock your database.
你的数据库已被SQL RUSH Team锁死 发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (大小写一致) 之后把你的Oracle SID邮寄地址 sqlrush@mail.com 我们将让你知道如何解锁你的数据库
5. 再抛出一个前台的和4类似的警告信息
数据库登录触发器DBMS_SYSTEM_INTERNAL
6
7

当你的非SYSTEM,SYSAUX,EXAMPLE之外的所有表的最小统计信息时间大于1200天，而且非C89239.EXE程序，就会报出来” 你的数据库已被SQL RUSH Team锁死 发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (大小写一致) 之后把你的Oracle SID邮寄地址 sqlrush@mail.com 我们将让你知道如何解锁你的数据库 Hi buddy, your database was hacked by SQL RUSH Team, send 5 bitcoin to address 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE
(case sensitive), after that send your Oracle SID to mail address sqlrush@mail.com, we will let you know how to unlock your database.”的信息
数据库登录触发器DBMS_CORE_INTERNAL
8
9
5

这里比较明显，把表名不含$，不含ORACHK，不是cluster的表放到一个游标里面，然后取非SYSTEM,SYSAUX,EXAMPLE之外的表空间的表的最小统计信息收集时间和当前时间比较如果大于1200天就执行truncate table操作，操作完成之后判断如果登录程序不为C89239.EXE，则报出来异常，” 你的数据库已被SQL RUSH Team锁死 发送5个比特币到这个地址 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE (大小写一致) 之后把你的Oracle SID邮寄地址 sqlrush@mail.com 我们将让你知道如何解锁你的数据库 Hi buddy, your database was hacked by SQL RUSH Team, send 5 bitcoin to address 166xk1FXMB2g8JxBVF5T4Aw1Z5JaZ6vrSE
(case sensitive), after that send your Oracle SID to mail address sqlrush@mail.com, we will let you know how to unlock your database.”。

对于这次故障处理方法
1. 如果SELECT NVL(TO_CHAR(SYSDATE-MIN(LAST_ANALYZED)),0) FROM ALL_TABLES WHERE TABLESPACE_NAME NOT IN (‘SYSTEM’,’SYSAUX’,’EXAMPLE’); 小于1200，查询下列语句，然后删除掉(正常库查询为空)

2. 如果SYSDATE-MIN(LAST_ANALYZED)大于1200, SYSDATE-CREATED大于1200天未重启，或者SYSDATE-CREATED小于1200;就是tab$还未被清理,但是表被truncate，这样情况可以通过oracle原厂dul工具恢复

3. 如果SYSDATE-CREATED大于1200天，而且数据库重启过，但是SYSDATE-MIN(LAST_ANALYZED)小于1200天，那可以直接通过把ORACHK’||SUBSTR(SYS_GUID,10)中备份信息插入到$tab中

4. SYSDATE-CREATED大于1200天，而且数据库重启过，但是SYSDATE-MIN(LAST_ANALYZED)大于1200天,Oracle 原厂dul之类工具结合ORACHK’||SUBSTR(SYS_GUID,10)备份表中数据进行恢复
dul

预防策略
1）数据库里面查询下，如果有这些对象，及时给与清理（注意% ‘中间有空格）

select
'DROP TRIGGER '
||owner||
'."'
||TRIGGER_NAME||
'";'
from
dba_triggers
where
TRIGGER_NAME
like 
'DBMS_%_INTERNAL% '
union
all
select
'DROP PROCEDURE '
||owner||
'."'
||a.object_name||
'";'
from
dba_procedures a
where
a.object_name
like
'DBMS_%_INTERNAL% '
;
--注意% '之间的空格

2）建议业务用户尽量限制dba 权限

3）检查相关登陆工具的自动运行脚本 清理掉有风险脚本

sqlplus中的glogin.sql/login.sql
toad中的toad.ini
plsql dev中的login.sql/afterconnect.sql

4）建议从官方下载工具，不要使用绿色版/破解版等

如果不幸数据库被感染此种勒索比特币事件,而且无法自行恢复的,可以联系我们给予技术支持

转载：plsql dev引起的数据库被黑勒索比特币实现原理分析和解决方案    

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/107194.html原文链接：https://javaforall.net

赞 (0)
0 0

关于作者

全栈程序员-站长的头像

全栈程序员-站长

133.5K 文章
3 粉丝
本网站汇聚当前互联网主流语音，持续更新，欢迎关注公众号“全栈程序员社区”
上一篇 2022年4月20日 下午11:00
下一篇 2022年4月20日 下午11:00


相关推荐

  • 京东-n头熊分苹果「建议收藏」

    京东-n头熊分苹果「建议收藏」

    京东-n头熊分苹果「建议收藏」果园里有一堆苹果，一共n头(n大于1小于9)熊来分，第一头为小东，它把苹果均分n份后，多出了一个，它扔掉了这一个，拿走了自己的一份苹果，接着第二头熊重复这一过程，即先均分n份，扔掉一个然后拿走一份，以此类推直到最后一头熊都是这样(最后一头熊扔掉后可以拿走0个，也算是n份均分)。问最初这堆苹果最少有多少个。给定一个整数n,表示熊的个数，返回最初的苹果数。保证有解。测试样例：2返回：3

    全栈程序员-站长的头像 全栈程序员-站长
    2022年10月12日
    4
  • MESI 协议

    MESI 协议

    MESI 协议背景现代处理器为了提高访问数据的效率 在每个 CPU 核心上都会有多级容量小 速度快的缓存 L1cache L2cache 多核心共享 L3cache 等 用于缓存常用的数据 由于从内存取数据要比从缓存取数据慢近 100 倍 数据被修改时也只是先更新 cache 并不是直接写回到主存中 由此造成了缓存中的数据与内存不一致 如果系统是单核处理器 所有线程看到的都是缓存中的最新数据 当然没有问题 但如果系统是多核处理器 同一份主存数据可能会被缓存到多个核心 cache 中 在运行中只要其中一个核心修改了缓存中的值 如

    全栈程序员-站长的头像 全栈程序员-站长
    2026年3月17日
    3
  • GPT-4o：将照片ghibli风格化 gpt

    GPT-4o：将照片ghibli风格化

    GPT-4o：将照片ghibli风格化

    Ai探索者的头像 Ai探索者
    2026年3月15日
    2
  • makefile中的include的作用(makefile中的变量)

    makefile中的include的作用(makefile中的变量)

    1、wildcard:扩展通配符2、notdir：去除路径3、patsubst：替换通配符例子：建立一个测试目录，在测试目录下建立一个名为sub的子目录$mkdirtest$cdtest$mkdirsub在test下，建立a.c和b.c2个文件，在sub目录下，建立sa.c和sb.c2个文件建立一个简单的Makef

    全栈程序员-站长的头像 全栈程序员-站长
    2022年4月18日
    104
  • 腾讯云搭建Socks5多IP代理服务器实现游戏单窗口单IP完美搭建教程附带工具「建议收藏」

    腾讯云搭建Socks5多IP代理服务器实现游戏单窗口单IP完美搭建教程附带工具「建议收藏」

    腾讯云搭建Socks5多IP代理服务器实现游戏单窗口单IP完美搭建教程附带工具「建议收藏」腾讯云搭建Socks5多IP代理服务器实现游戏单窗口单IP腾讯云多IPSocks5搭建教程配合代理工具实现单窗口单IP1.多IP服务器选择2.服务器购买功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年6月21日
    137
  • gcc编译过程

    gcc编译过程

    gcc编译过程1 gcc 编译器的安装工作中 在 Linux 环境下 有过量产项目的公司 gcc 一般都是已经安装好了的 如果需要安装 请从官网下载或网上找资源下载 gcc 官网 https gcc gnu org 此处不赘述安装过程了查看是否安装成功 gcc v 能查到 gcc 版本号 说明安装成功 2 编译过程介绍 最开始学习编程的时候 一般都是用 IDE 去编译的 不管是 IDE 还是 gcc 编译的时候都会有四个过程一个编译过程一般要经过四个过程 预处理编译汇编链接预处理

    全栈程序员-站长的头像 全栈程序员-站长
    2026年3月18日
    3

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号