搜索

[11507] 2017-06-28_Petya勒索软件新变种详细分析报告

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-06-28_Petya勒索软件新变种详细分析报告 P e t y a 勒 索 软 件 新 变 种 详 细 分 析 报 告 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 6 - 2 8 目 录 目 录 P e t y a 勒 索 软 件 新 变 种 详 细 分 析 报 告 P e t y a 新 变 种 简 介 传 播 渠 道 分 析 可 能 传 播 渠 道 - 邮 箱 传 播 可 能 传 播 渠 道 - M e D o c 详 细 功 能 分 析 感 染 过 程 分 析 磁 盘 加 密 和 勒 索 细 节 安 全 建 议 参 考 资 料 P e t y a 新 变 种 简 介 新 变 种 简 介 据 据 t w i t t e r 爆 料 ， 乌 克 兰 政 府 机 构 遭 大 规 模 攻 击 ， 其 中 乌 克 兰 副 总 理 的 电 脑 均 遭 受 攻 击 ， 目 前 腾 讯 电 脑 管 家 已 经 爆 料 ， 乌 克 兰 政 府 机 构 遭 大 规 模 攻 击 ， 其 中 乌 克 兰 副 总 理 的 电 脑 均 遭 受 攻 击 ， 目 前 腾 讯 电 脑 管 家 已 经 确 认 该 病 毒 为 确 认 该 病 毒 为 P e t y a 勒 索 病 毒 变 种 。 勒 索 病 毒 变 种 。 P e t y a 勒 索 病 毒 变 种 中 毒 后 会 扫 描 内 网 的 机 器 ， 通 过 永 恒 之 蓝 漏 洞 自 传 播 到 勒 索 病 毒 变 种 中 毒 后 会 扫 描 内 网 的 机 器 ， 通 过 永 恒 之 蓝 漏 洞 自 传 播 到 内 网 的 机 器 ， 达 到 快 速 传 播 的 目 的 。 内 网 的 机 器 ， 达 到 快 速 传 播 的 目 的 。 有 国 外 安 全 研 究 人 员 认 为 ， P e t y a 勒 索 病 毒 变 种 会 通 过 邮 箱 附 件 传 播 ， 利 用 携 带 漏 洞 的 D O C 文 档 进 行 攻 击 。 中 毒 后 ， 病 毒 会 修 改 系 统 的 M B R 引 导 扇 区 ， 当 电 脑 重 启 时 ， 病 毒 代 码 会 在 W i n d o w s 操 作 系 统 之 前 接 管 电 脑 ， 执 行 加 密 等 恶 意 操 作 。 电 脑 重 启 后 ， 会 显 示 一 个 伪 装 的 界 面 ， 此 界 面 实 际 上 是 病 毒 显 示 的 ， 界 面 上 假 称 正 在 进 行 磁 盘 扫 描 ， 实 际 上 正 在 对 磁 盘 数 据 进 行 加 密 操 作 。 当 加 密 完 成 后 ， 病 毒 要 求 受 害 者 支 付 价 值 3 0 0 美 元 的 比 特 币 之 后 ， 才 会 回 复 解 密 密 钥 。
传 播 渠 道 分 析 传 播 渠 道 分 析 可 能 传 播 渠 道 可 能 传 播 渠 道 - 邮 箱 传 播 邮 箱 传 播 根 据 乌 克 兰 C E R T 官 方 消 息 ， 邮 件 附 件 被 认 为 该 次 病 毒 攻 击 的 传 播 源 头 ， 邮 箱 附 件 是 一 个 D O C 文 档 ， 文 档 通 过 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 来 触 发 攻 击 ， 电 脑 管 家 也 溯 源 到 了 国 内 类 似 邮 件 攻 击 最 早 发 生 在 6 月 2 7 日 早 上 。 在 实 际 测 试 过 程 中 ， 并 没 有 完 整 重 现 整 个 攻 击 过 程 。 可 能 传 播 渠 道 可 能 传 播 渠 道 - M e D o c 很 多 安 全 研 究 机 构 认 为 ， 这 次 P e t y a 的 攻 击 源 是 由 于 M e D o c 软 件 的 更 新 服 务 被 劫 持 导 致 。 详 细 功 能 分 析 详 细 功 能 分 析
感 染 过 程 分 析 感 染 过 程 分 析 1 ， 写 ， 写 M B R 0 ~ 0 x 2 1 扇 区 保 存 的 是 病 毒 的 M B R 和 微 内 核 代 码 数 据 ， 而 原 始 的 M B R 被 加 密 保 存 在 第 0 x 2 2 扇 区 。 2 ， 加 密 文 件 ， 加 密 文 件 1 ） 遍 历 分 区 2 ） 要 加 密 的 文 件 类 型 3 ） 文 件 加 密 过 程
3 、 传 播 方 式 、 传 播 方 式 1 ） 可 能 通 过 管 理 共 享 在 局 域 网 内 传 播 ， 而 后 通 过 w m i c 来 实 现 远 程 命 令 执 行 。 C : W i n d o w s d l l h o s t . d a t   1 0 . 1 4 1 . 2 . 2 6   - a c c e p t e u l a   - s   - d   C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2 . e x e “ C : W i n d o w s p e r f c . d a t ” , # # 1   6 0   “ R C A D r y n g a r u s . e x t : F i m M e 2 1 P a s s ! r o y 4 ” ” R C A D s v c o m a c t i o n s : 3 G f m G e i f ” c : w i n d o w s s y s t e m 3 2 w b e m w m i c . e x e   / n o d e : ” I P _ A D D R ”   / u s e r : ” U s e r ”   / p a s s w o r d : ” P W D ”   p r o c e s s   c a l l   c r e a t e “ c : w i n d o w s s y s t e m 3 2 r u n d l l 3 2 . e x e ”   ” c : w i n d o w s p e r f c . d a t ”   # 1 2 ） 通 过 E t e r n a l B l u e 和 E t e r n a l R o m a n c e 漏 洞 传 播 。 程 序 发 动 攻 击 前 ， 先 尝 试 获 取 到 可 攻 击 的 I P 地 址 列 表 ：
依 次 获 取 ： 已 建 立 T C P 连 接 的 I P 、 本 地 A R P 缓 存 的 I P 以 及 局 域 网 内 存 在 的 服 务 器 I P 地 址 。 收 集 完 这 些 地 址 后 ， 便 进 行 进 一 步 攻 击 。 磁 盘 加 密 和 勒 索 细 节 磁 盘 加 密 和 勒 索 细 节 主 要 功 能 描 述 ： 主 要 功 能 描 述 ： 1 、 系 统 重 启 ， 恶 意 M B R 加 载 ； 2 、 检 测 磁 盘 是 否 被 加 密 ， 如 果 没 有 则 显 示 伪 造   的 检 测 磁 盘 界 面 、 并 加 密 M F T ； 3 、 显 示 红 色 的 勒 索 界 面 ， 让 用 户 输 入 秘 钥 ； 细 节 分 析 ： 细 节 分 析 ： M B R 启 动 后 ， 将 1 - 2 1 扇 区 数 据 复 制 到 8 0 0 0 地 址   处 ， 然 后 J m p 执 行 8 0 0 0 地 址 代 码 通 过 读 取 标 记 位 判 断 磁 盘 已 经 被 加 密 若 磁 盘 没 有 加 密 ， 则 显 示 伪 造 的 检 测 磁 盘 界 面 ， 并 加 密 M F T
加 密 完 成 后 ， 读 取 扇 区 后 面 的 勒 索   语 句 将 获 取 到 的 语 句 显 示 到 屏 幕 上 从 屏 幕 获 取 秘 钥 并 验 证 安 全 建 议 安 全 建 议 1 ，   及 时 下 载 安 装 腾 讯 电 脑 管 家 ， 并 使 用 勒 索 病 毒 免 疫 工 具 ， 防 患 于 未 然 。 （ 免 疫 工 具 下 载 地 址
h t t p : / / d l i e d 6 . q q . c o m / i n v c / x f s p e e d / q q p c m g r / d o w n l o a d / P e t y a F i x _ 2 _ 0 _ 7 6 6 _ 1 2 7 . e x e   ） 2 ，   及 时 使 用 电 脑 管 家 将 补 丁 打 全 。 3 ，   遇 到 可 疑 文 件 ， 特 别 是 陌 生 邮 件 中 的 附 件 ， 不 要 轻 易 打 开 ， 首 先 使 用 电 脑 管 家 进 行 扫 描 ， 或 上 传 至 哈 勃 分 析 系 统 （ h t t p s : / / h a b o . q q . c o m / ） 对 文 件 进 行 安 全 性 检 测 。 参 考 资 料 参 考 资 料 1 ，   h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 3 8 5 6 7 . h t m l 2 ，   h t t p s : / / s e c u r e l i s t . c o m / s c h r o e d i n g e r s - p e t y a / 7 8 8 7 0 / 3 ，   h t t p s : / / w w w . m a l w a r e t e c h . c o m / 2 0 1 7 / 0 6 / p e t y a - r a n s o m w a r e - a t t a c k - w h a t s - k n o w n . h t m l 4 ， h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 7 / 0 6 / p e t y a - r a n s o m w a r e - s p r e a d i n g - v i a - e t e r n a l b l u e - e x p l o i t . h t m l 5 ，   h t t p : / / b l o g . c h e c k p o i n t . c o m / 2 0 1 7 / 0 6 / 2 7 / g l o b a l - r a n s o m w a r e - a t t a c k - s p r e a d i n g - f a s t / 6 ，   h t t p s : / / g i s t . g i t h u b . c o m / v u l n e r s C o m / 6 5 f e 4 4 d 2 7 d 2 9 d 7 a 5 d e 4 c 1 7 6 b a b a 4 5 7 5 9 *   本 文 作 者 ： 腾 讯 电 脑 管 家 （ 企 业 帐 号 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理