欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

Petya0627勒索病毒安全预警通告

来源:本站整理 作者:pupiles 时间:2017-06-29 TAG: 我要投稿

北京时间2017年6月27日晚,据外媒消息,乌克兰、俄罗斯、印度、西班牙、法国、英国以及欧洲多国正在遭遇Petya0627勒索病毒袭击,政府、银行、电力系统、通讯系统、企业以及机场都不同程度的受到了影响。
此次黑客使用的是Petya0627勒索病毒,使用的攻击方式和WannaCry相同,由于该病毒是定向投递,所以欧洲感染较多。目前国内感染量较少,但是考虑到其定向性,未来存在较高风险在国内传播。360天擎(企业版)和360安全卫士(个人版)可以查杀该病毒。
据悉,该病毒和勒索软件很类似,都是远程锁定设备,然后索要赎金。据赛门铁克最新发布的消息显示此次攻击时仍然使用了永恒之蓝勒索漏洞,还会获取系统用户名与密码进行内网传播。
360安全监测与响应中心也将持续关注该事件进展,并第一时间为您更新该漏洞信息。
事件信息
事件描述
Petya0627和传统的勒索软件不同,不会对电脑中的每个文件都进行加密,而是通过加密硬盘驱动器主文件表(MFT),使主引导记录(MBR)不可操作,通过占用物理磁盘上的文件名,大小和位置的信息来限制对完整系统的访问,从而让电脑无法启动。如果想要恢复,需要支付价值相当于300美元的比特币。
被感染的机器屏幕会显示如下的告知付赎金的界面:

风险等级
360安全监测与响应中心风险评级为:危急
影响范围
由于本次Petya0627勒索病毒传播使用永恒之蓝漏洞,受永恒之蓝漏洞影响的系统均在该病毒威胁范围之内。使用开源(OpenVAS)或商业漏洞扫描工具检查内网,发现所有开放445 SMB服务端口的被认定存在漏洞终端和服务器,对于Win7及以上版本的系统确认是否安装了MS17-010补丁,如没有安装则受威胁影响;Win7以下的Windows XP/2003如果没有安装KB4012598补丁,则也受漏洞的影响。
处置建议
安全操作提示
从目前掌握的情况来看:
1.有情报显示该样本有可能通过邮件方式投递,具体特征正在确认中,请大家不要轻易打开doc、rtf等后缀的附件,可以安装360天擎(企业版)和360安全卫士(个人版)等相关安全产品进行查杀。
2. 及时更新windows系统补丁,具体修复方案请参考“永恒之蓝”漏洞修复工具。
3.内网中存在使用相同账号、密码情况的机器请尽快修改密码,未开机的电脑请确认口令修改完毕、补丁安装完成后再进行联网操作。
防护工具
360企业安全天擎团队第一时间推出Petya0627勒索病毒的免疫工具,可阻止已知病毒的加密和传播等恶意行为。免疫工具下载地址:
http://b.360.cn/other/petya0627
Petya0627勒索病毒免疫工具使用方法如下:
1.     步骤一:
下载最新版的Petya0627勒索病毒免疫工具。
2.     步骤二:
解压文件,双击运行AntiPetya.exe(win7及win7以上操作系统需要右键以管理员身份运行) ,出现如下弹框表示已经免疫成功。

修复工具
360企业安全天擎团队开发的勒索蠕虫漏洞修复工具,可根本解决勒索蠕虫利用MS17-010漏洞带来的安全隐患。此修复工具集成免疫、SMB服务关闭和各系统下MS17-010漏洞检测与修复于一体。可在离线网络环境下一键式修复系统存在的MS17-010漏洞,工具下载地址:
http://b.360.cn/other/onionwormfix


缓解措施
关闭TCP 135端口
建议在防火墙上临时关闭TCP 135端口以抑制病毒传播行为。
停止服务器的WMI服务
WMI(Windows Management Instrumentation Windows 管理规范)是一项核心的 Windows 管理技术 你可以通过如下方法停止 :
在服务页面开启WMI服务。在开始-运行,输入services.msc,进入服务。
或者,在控制面板,查看方式选择大图标,选择管理工具,在管理工具中双击服务。
在服务页面,按W,找到WMI服务,找到后,双击 ,直接点击停止服务即可,如下图所示:

技术分析
Petya样本分析
样本文件列表
功能说明
MD5
文件名
Mimikatz程序(32位)
2813d34f6197eb4df42c886ec7f234a1
19AEC.exe
Mimikatz程序(64位)
7e37ab34ecdcc3e77e24522ddfd4852d
N/A
Petya主模块
e285b6ce047015943e685e6638bd837e
N/A
Petya主模块
71b6a493388e7d0b40c83ce903bc6b04
perfc.dat
病毒功能分析
样本(MD5:71b6a493388e7d0b40c83ce903bc6b04)为病毒的主要功能模块,该文件为仅有一个名为perfc_1导出函数的DLL文件,此函数为病毒执行起点。执行后进行如下操作:
1)替换系统MBR
首先病毒以物理方式打开硬盘:

读取原始分区信息:

读取原始MBR:

[1] [2] [3] [4]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载