Petya勒索病毒安全预警通告-第二次更新

2017-06-28 06:26:00 作者:ym 分类 : 比特网

  第1章 安全通告

  尊敬的客户:

  北京时间2017年6月27日晚,据外媒消息,乌克兰、俄罗斯、印度、西班牙、法国、英国以及欧洲多国正在遭遇Petya勒索病毒袭击,政府、银行、电力系统、通讯系统、企业以及机场都不同程度的受到了影响。

  此次黑客使用的是Petya勒索病毒的变种Petwarp,使用的攻击方式和WannaCry相同,由于该病毒是定向投递,所以欧洲感染较多。目前国内感染量较少,但是考虑到其定向性,未来存在较高风险在国内传播。360天擎(企业版)和360安全卫士(个人版)可以查杀该病毒。

  据悉,该病毒和勒索软件很类似,都是远程锁定设备,然后索要赎金。据赛门铁克最新发布的消息显示此次攻击时仍然使用了永恒之蓝勒索漏洞,还会获取系统用户名与密码进行内网传播。

  360安全监测与响应中心也将持续关注该事件进展,并第一时间为您更新该漏洞信息

  第2章 事件信息

  2.1 事件描述

  Petya和传统的勒索软件不同,不会对电脑中的每个文件都进行加密,而是通过加密硬盘驱动器主文件表(MFT),使主引导记录(MBR)不可操作,通过占用物理磁盘上的文件名,大小和位置的信息来限制对完整系统的访问,从而让电脑无法启动。如果想要恢复,需要支付价值相当于300美元的比特币。

  被感染的机器屏幕会显示如下的告知付赎金的界面:

  2.2 风险等级

  360安全监测与响应中心风险评级为:危急

  2.3 影响范围

  由于本次Petya勒索病毒传播使用永恒之蓝漏洞,受永恒之蓝漏洞影响的系统均在该病毒威胁范围之内。使用开源(OpenVAS)或商业漏洞扫描工具检查内网,发现所有开放445 SMB服务端口的被认定存在漏洞终端和服务器,对于Win7及以上版本的系统确认是否安装了MS17-010补丁,如没有安装则受威胁影响;Win7以下的Windows XP/2003如果没有安装KB4012598补丁,则也受漏洞的影响。

  第3章 处置建议

  3.1 安全操作提示

  从目前掌握的情况来看:

  1. 有情报显示该样本有可能通过邮件方式投递,具体特征正在确认中,请大家不要轻易打开doc、rtf等后缀的附件,可以安装360天擎(企业版)和360安全卫士(个人版)等相关安全产品进行查杀。

  2. 及时更新windows系统补丁,具体修复方案请参考“永恒之蓝”漏洞修复工具。

  3. 内网中存在使用相同账号、密码情况的机器请尽快修改密码,未开机的电脑请确认口令修改完毕、补丁安装完成后再进行联网操作。

  3.2 修复工具

  360企业安全天擎团队开发的勒索蠕虫漏洞修复工具,可根本解决勒索蠕虫利用MS17-010漏洞带来的安全隐患。此修复工具集成免疫、SMB服务关闭和各系统下MS17-010漏洞检测与修复于一体。可在离线网络环境下一键式修复系统存在的MS17-010漏洞,工具下载地址:

  http://b.360.cn/other/onionwormfix

说明: C:\Users\jiangaijun.INTRA\Documents\Lanxin_se\ScreenCapture\56A5D9AD-15A8-4957-91B0-EDB8BD8A0EB0.jpeg

  3.3 缓解措施

  关闭TCP 135端口

  建议在防火墙上临时关闭TCP 135端口以抑制病毒传播行为。

  停止服务器的WMI服务

  WMI(Windows Management Instrumentation Windows 管理规范)是一项核

  心的 Windows 管理技术 你可以通过如下方法停止 :

  在服务页面开启WMI服务。在开始-运行,输入services.msc,进入服务。

  或者,在控制面板,查看方式选择大图标,选择管理工具,在管理工具中双击服务。

  在服务页面,按W,找到WMI服务,找到后,双击 ,直接点击停止服务即可,如下图所示:

  第4章 技术分析

  4.1 Petya样本分析

  1.

  2.

  2.1.

  样本文件列表

  功能说明

  MD5

  文件名

  Mimikatz程序(32位)

  2813d34f6197eb4df42c886ec7f234a1

  19AEC.exe

  Mimikatz程序(64位)

  7e37ab34ecdcc3e77e24522ddfd4852d

  N/A

  Petya主模块

  e285b6ce047015943e685e6638bd837e

  N/A

  Petya主模块

  71b6a493388e7d0b40c83ce903bc6b04

  perfc.dat

  病毒功能分析

  样本(MD5:71b6a493388e7d0b40c83ce903bc6b04)为病毒的主要功能模块,该文件为仅有一个名为perfc_1导出函数的DLL文件,此函数为病毒执行起点。执行后进行如下操作:

  1)替换系统MBR

  首先病毒以物理方式打开硬盘:

  读取原始分区信息:

  读取原始MBR:

  然后将原始mbr加密保存,加密方式为与7异或。

  然后分配200字节给病毒的mbr数据,然后将病毒的mbr写入缓存区:

  MBR入口代码:

  再分配22b1字节给引导区代码,将病毒的引导区代码写入缓存:

  引导区代码如下:

  最后把缓存区数据写入磁盘

  2)创建重启计划任务

  病毒根据自身运行TickCount计算一个时间差,在这段时间差后采用计划任务的方式执行重启操作:

  机器重启后控制权被改写后的MBR代码接管,伪造的MBR代码加密MFT,并阻止系统正常启动,提示用户支付赎金。

  3)网络嗅探

  病毒使用DHCP系列API遍历DHCP池中内网地址

  并通过Socket尝试建立连接判断地址是否可以联通

  病毒还使用NetServerEnum API遍历域控环境内的域控服务器:

  通过此过程初步嗅探感染主机的内网环境,生成可感染内网主机列表,为下一步局域网感染做准备。

  4)释放并执行Mimikatz

  病毒解压缩ID为0的资源文件,写入临时目录,释放的文件为exe,该文件为Mimikatz代码移植而来,主要功能不变。病毒在执行该exe前创建命名管道,通过管道读取子进程数据输出:

  5)释放Psexec

  病毒紧接着解压缩ID为3的资源文件,写入Windows目录,命名为dllhost.dat,该文件位PsExec.exe:

  6)枚举网络资源

  病毒通过WNet系列API枚举网络资源,并使用CreadEnumerate API遍历系统保存的凭据,过滤类型位“TERMSRV”的凭据加入本地字典:

  并使用此账号密码列表尝试访问之前的网络WebDav资源,并尝试写入自身:

  随后构造命令行:

  C:\Windows\Wbem\wmic.exe /node: /user: /password: process call create “C:\Windows\System32\rundll32.exe C:\windows\ #1

  该命令使用上步尝试成功的口令远程对名为NodeName的主机执行命令,该命令使用rundll32加载自身dll,执行入口导出函数,完成局域网的感染:

  7)永恒之蓝传播

  病毒随后开启线程进入利用永恒之蓝漏洞传播代码,病毒使用伪随机算法生成IP:

  随后使用EternalBlue漏洞进行自身传播,此样本与Wannacry漏洞利用代码基本一致,不一样的地方在于,使用简单异或算法加密过程中用到的特征数据,减少特征数据。

  8)本地文件加密勒索

  紧接着病毒使用内嵌证书解密勒索功能配置,并初始化必要算法句柄后开始进入磁盘文件遍历循环,遇到指定后缀文件后开始加密:

  加密完成后在分区根目录写README.txt说明文档:

芥末视频

最近更新
科普

科普图集
带着朋友和机器人上月亮散步

带着朋友和机器人上月亮散步>>详情

邮件订阅

软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯,最新的软件技巧,最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中,与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊!
网络周刊
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧,帮助网管答疑解惑,成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一,主要关注x86服务器,RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析,让您第一时间了解服务器行业的趋势。
存储周刊
比特存储周刊长期以来,为读者提供企业存储领域高质量的原创内容,及时、全面的资讯、技术、方案以及案例文章,力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
安全周刊
比特安全周刊通过专业的信息安全内容建设,为企业级用户打造最具商业价值的信息沟通平台,并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比,比特安全周刊运作模式更加独立,对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事,为企业级用户打造重点突出,可读性强,商业价值高的信息共享平台;同时为互联网、IT业界及通信厂商提供一条精准快捷,渗透力强,覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展,全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托,汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台,并持续提供丰富的资讯和服务,探讨信息化建设,推动中国信息化发展引领CIO未来职业发展。
IT专家网
IT专家新闻邮件长期以来,以定向、分众、整合的商业模式,为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容,包括IT新闻、评论、专家答疑、技巧和白皮书。此外,IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊
X周刊是一份IT人的技术娱乐周刊,给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍,同时用户还能参与我们推荐的互动游戏,给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。