搜索

[11509] 2017-06-28_有关Petya勒索软件，你想知道的都在这里

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-06-28_有关Petya勒索软件，你想知道的都在这里 有 关 P e t y a 勒 索 软 件 ， 你 想 知 道 的 都 在 这 里 S p h i n x   F r e e B u f   2 0 1 7 - 0 6 - 2 8 昨 晚 昨 晚 2 1 时 左 右 ， 乌 克 兰 遭 受 时 左 右 ， 乌 克 兰 遭 受 P e t y a 勒 索 程 序 大 规 模 攻 击 。 包 括 首 都 基 辅 的 鲍 里 斯 波 尔 国 际 机 场 、 乌 克 兰 国 家 储 蓄 银 行 、 船 舶 公 司 、 俄 罗 斯 石 油 公 司 和 乌 克 兰 一 些 商 业 银 行 以 及 部 分 私 人 勒 索 程 序 大 规 模 攻 击 。 包 括 首 都 基 辅 的 鲍 里 斯 波 尔 国 际 机 场 、 乌 克 兰 国 家 储 蓄 银 行 、 船 舶 公 司 、 俄 罗 斯 石 油 公 司 和 乌 克 兰 一 些 商 业 银 行 以 及 部 分 私 人 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 。 实 际 上 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 。 实 际 上 P e t y a 波 及 的 国 家 还 包 括 英 国 、 印 度 、 荷 兰 、 西 班 牙 、 丹 麦 等 。 波 及 的 国 家 还 包 括 英 国 、 印 度 、 荷 兰 、 西 班 牙 、 丹 麦 等 。 P e t y a 看 来 大 有 与 前 不 久 W a n n a C r y 争 辉 的 意 思 。 这 款 病 毒 到 底 有 什 么 特 性 能 够 让 乌 克 兰 乃 至 全 球 的 众 多 商 业 银 行 以 及 部 分 私 人 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 呢 ？ P e t y a 都 干 了 些 什 么 ？ 都 干 了 些 什 么 ？ 部 分 安 全 公 司 ， 包 括 赛 门 铁 克 都 认 为 ， 这 次 的 勒 索 程 序 就 是 去 年 出 现 的 P e t y a 的 一 个 变 种 。 不 过 卡 巴 斯 基 实 验 室 的 研 究 指 出 ， 该 勒 索 程 序 不 能 认 为 是 P e t y a 的 变 种 ， 它 只 是 与 P e t y a 在 字 符 串 上 有 所 相 似 ， 所 以 卡 巴 斯 基 为 其 取 名 为 “ E x P e t r ” （ 还 有 部 分 研 究 人 员 将 其 命 名 为 N o t e P e t y a 、 P e n t a 或 者 S o r t a P e t y a ） 。 卡 巴 斯 基 在 其 报 告 中 指 出 未 来 还 会 对 E x P e t r 进 行 更 为 深 入 的 分 析 。 鉴 于 绝 大 部 分 媒 体 和 许 多 安 全 公 司 仍 然 称 其 为 P e t y a ， 本 文 也 不 对 两 者 作 区 分 。 去 年 P e t y a 出 现 时 ， 我 们 就 曾 报 道 过 这 款 勒 索 软 件 ， 至 少 从 其 行 为 模 式 来 看 与 本 次 爆 发 的 勒 索 程 序 还 是 存 在 很 多 相 似 之 处 ： P e t y a 释 放 的 文 件 向 磁 盘 头 部 写 入 恶 意 代 码 ， 被 感 染 系 统 的 主 引 导 记 录 被 引 导 加 载 程 序 重 写 ， 并 且 加 载 一 个 微 型 恶 意 内 核 。 接 着 ， 这 个 内 核 开 始 进 行 加 密 。 与 传 统 的 勒 索 软 件 不 同 的 是 ， P e t y a 并 非 逐 个 加 密 单 个 文 件 ， 而 是 加 密 磁 盘 的 M F T ， 并 且 破 坏 M B R ， 使 得 用 户 无 法 进 入 系 统 。 当 电 脑 重 启 时 ， 病 毒 代 码 会 在 W i n d o w s 操 作 系 统 之 前 接 管 电 脑 ， 执 行 加 密 等 恶 意 操 作 。 重 启 电 脑 后 ， 病 毒 会 显 示 一 个 磁 盘 扫 描 界 面 ， 但 实 际 上 ， 这 个 界 面 是 用 来 伪 装 P e t y a 会 正 在 进 行 的 磁 盘 加 密 操 作 。 下 图 就 是 加 密 完 成 后 ， P e t y a 所 显 示 的 界 面 ： “ 当 您 看 到 这 段 文 字 的 时 候 ， 你 的 文 件 已 经 被 加 密 无 法 读 取 了 。 你 可 能 在 寻 找 恢 复 文 件 的 方 法 ， 但 是 不 要 浪 费 时 间 了 ， 除 了 我 们 没 人 能 恢 复 。 ” 病 毒 要 求 感 染 者 支 付 3 0 0 美 元 的 赎 金 解 密 文 件 。 “ 请 按 以 下 要 求 操 作 ： 1 .   发 送 价 值 3 0 0 美 元 的 比 特 币 到 以 下 地 址 ： 1 M z 7 1 5 3 H M u x X T u R 2 R 1 t 7 8 m G S d z a A t N b B W X 2 .   发 送 你 的 比 特 币 钱 包 I D 和 个 人 安 装 密 钥 到 w o w s m i t h 1 2 3 4 5 6 @ p o s t e o . n e t 。 你 的 个 人 安 装 密 钥 如 下 ： X X X X X 。 ” 想 要 了 解 本 次 P e t y a 变 种 技 术 细 节 的 同 学 可 以 查 看 腾 讯 的 详 细 解 读 。 小 编 查 询 发 现 ， 截 至 6 月 2 8 日 发 稿 前 ， 这 个 比 特 币 地 址 一 共 收 到 3 6 笔 转 账 ， 获 得 3 . 6 3 6 7 比 特 币 ， 约 合 人 民 币 6 1 4 3 8 元 。 而 根 据 V i r u s T o t a l 的 扫 描 结 果 ， 6 1 款 杀 毒 软 件 中 仍 有 1 6 款 没 有 检 测 出 P e t y a 。
P e t y a 是 怎 么 传 播 的 ？ 是 怎 么 传 播 的 ？ 国 外 媒 体 报 道 称 ， 受 到 P e t y a 影 响 最 大 的 地 区 是 乌 克 兰 。 而 来 自 思 科 T a l o s 、 E S E T 、 卡 巴 斯 基 实 验 室 等 来 源 的 分 析 ， 黑 客 首 先 攻 击 了 M . E . D o c ， 这 是 一 家 乌 克 兰 的 会 计 软 件 厂 商 。 随 后 黑 客 通 过 M . E . D o c 的 更 新 服 务 器 将 一 个 恶 意 推 送 推 给 用 户 。 用 户 更 新 软 件 时 ， 便 感 染 了 病 毒 — — 这 可 能 是 P e t y a 传 播 较 为 广 泛 的 一 种 途 径 ， 但 最 初 的 传 播 方 式 可 能 仍 然 不 确 定 。 M . E . D o c 今 天 早 晨 承 认 更 新 服 务 器 遭 到 攻 击 ， 但 否 认 传 播 了 病 毒 。 注 意 ： 我 们 的 服 务 器 正 遭 受 病 毒 攻 击 。 给 您 带 来 的 不 便 敬 请 谅 解 。 另 外 ， 我 们 还 从 其 它 来 源 了 解 到 更 多 的 传 播 方 式 ， 如 P e t y a 还 釆 用 了 R T F 漏 洞 （ C V E - 2 0 1 7 - 0 1 9 9 ） 进 行 钓 鱼 攻 击 ， 能 够 利 用 微 软 O f f i c e 和 写 字 板 进 行 远 程 代 码 执 行 。 微 软 在 今 年 4 月 已 经 发 布 了 针 对 这 个 漏 洞 的 补 丁 。 不 过 也 有 安 全 厂 商 认 为 C V E - 2 0 1 7 - 0 1 9 9 跟 此 次 事 件 没 有 直 接 关 系 ， 也 并 非 最 初 始 的 感 染 源 头 ， 如 微 步 在 线 的 研 究 ： 感 染 源 头 是 感 染 源 头 是 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 吗 ？ 漏 洞 吗 ？ 根 据 我 们 捕 获 的 样 本 分 析 ， 并 没 有 发 现 相 应 依 据 。 目 前 多 家 安 全 公 司 报 道 称 此 次 攻 击 是 利 用 携 带 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 附 件 的 钓 鱼 邮 件 进 行 投 放 ， 该 样 本 （ S H A 2 5 6 : F E 2 E 5 D 0 5 4 3 B 4 C 8 7 6 9 E 4 0 1 E C 2 1 6 D 7 8 A 5 A 3 5 4 7 D F D 4 2 6 F D 4 7 E 0 9 7 D F 0 4 A 5 F 7 D 6 D 2 0 6 ） 执 行 后 下 载 m y g u y . x l s （ S H A 2 5 6 : E E 2 9 B 9 C 0 1 3 1 8 A 1 E 2 3 8 3 6 B 9 4 9 9 4 2 D B 1 4 D 4 8 1 1 2 4 6 F D A E 2 F 4 1 D F 9 F 0 D C D 9 2 2 C 6 3 B C 6 ） 文 件 ， 进 一 步 该 样 本 会 请 求 域 名 f r e n c h - c o o k i n g . c o m ， 下 载 新 的 P a y l o a d ( S H A 2 5 6 ： 1 2 0 d 1 8 7 6 8 8 3 d 4 d 2 a e 0 2 b 4 1 3 4 b c b 1 9 3 9 f 2 7 0 9 6 5 b 7 0 5 5 c b 4 b d b d 1 7 d d a 1 d 4 a 4 b a a 2 ) ， 经 过 微 步 在 线 确 认 ， 该 样 本 为 L o k i B o t 家 族 ， 并 非 P e t y a 家 族 （ 注 ： 此 样 本 会 请 求 域 名 C O F F E I N O F F I C E . X Y Z 进 行 进 一 步 的 恶 意 行 为 ） ， 跟 此 次 事 件 没 有 直 接 关 系 ， 也 并 非 最 初 始 的 感 染 源 头 。 但 病 毒 的 可 怕 之 处 不 仅 如 此 ， 还 在 于 在 感 染 电 脑 之 后 的 进 一 步 传 播 。 P e t y a 利 用 了 “ 永 恒 之 蓝 ” 漏 洞 ， 这 个 存 在 于 W i n d o w s   S M B v 1 协 议 中 的 漏 洞 帮 助 W a n n a C r y 病 毒 在 7 2 小 时 内 感 染 了 全 球 3 0 万 台 电 脑 。 同 样 地 ， 微 软 也 发 布 了 对 应 补 丁 。 P e t y a 的 传 播 特 性 相 比 的 传 播 特 性 相 比 W a n n a C r y 有 过 之 而 无 不 及 。 除 了 上 述 的 传 播 方 式 ， 有 过 之 而 无 不 及 。 除 了 上 述 的 传 播 方 式 ， P e t y a 还 想 了 一 些 其 他 的 办 法 进 行 传 播 。 还 想 了 一 些 其 他 的 办 法 进 行 传 播 。 首 先 P e t y a 会 在 已 经 感 染 的 系 统 中 寻 找 密 码 ， 再 想 办 法 入 侵 其 他 系 统 。 前 N S A 分 析 员 D a v i d   K e n n e d y 称 ， P e t y a 会 尝 试 在 内 存 或 者 本 地 文 件 系 统 中 提 取 密 码 。 然 后 ， P e t y a 会 利 用 P s E x e c 和 W M I 。 P s E x e c 原 本 是 用 来 在 其 他 系 统 上 执 行 某 些 操 作 的 工 具 ， 而 P e t y a 把 它 用 来 在 其 他 电 脑 执 行 恶 意 代 码 。 如 果 受 感 染 的 电 脑 拥 有 整 个 网 络 的 管 理 权 限 ， 整 个 网 络 中 的 电 脑 都 可 能 被 感 染 。 W M I 也 是 如 此 。 不 幸 的 是 ， 上 述 的 这 两 种 方 法 并 没 有 相 应 的 补 丁 ， 所 以 理 论 上 即 便 是 完 整 补 丁 的 W i n d o w s 电 脑 还 是 可 能 被 感 染 。 专 家 建 议 暂 时 关 闭 . a s p x ) W M I C 功 能 。 影 响 范 围 很 大 吗 ？ 影 响 范 围 很 大 吗 ？ 乌 克 兰 在 此 次 攻 击 事 件 中 受 到 的 影 响 最 大 ， 包 括 首 都 基 辅 的 鲍 里 斯 波 尔 国 际 机 场 （ B o r y s p i l   I n t e r n a t i o n a l   A i r p o r t ） 、 乌 克 兰 国 家 储 蓄 银 行 （ O s c h a d b a n k ） 、 船 舶 公 司 （ A P   M o l l e r - M a e r s k ） 和 乌 克 兰 一 些 商 业 银 行 以 及 部 分 私 人 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 。
乌 克 兰 最 大 的 国 有 贷 款 机 构 之 一   — — 国 家 储 蓄 银 行 （ O s c h a d b a n k ） 称 ， 部 分 银 行 服 务 受 到 “ 黑 客 攻 击 ” 影 响 ， 全 国 3 6 5 0 个 网 点 和 2 8 5 0 台 A T M 受 到 影 响 ， 民 众 无 法 取 钱 ， 但 客 户 数 据 目 前 尚 且 安 全 。 乌 克 兰 东 北 部 哈 尔 科 夫 的 一 家 超 市 乌 克 兰 副 总 理 R o z e n k o   P a v l o 在 T w i t t e r 发 布 的 政 府 电 脑 被 感 染 的 图 片 （ 亮 点 好 像 很 多 ） 除 此 之 外 ， 俄 罗 斯 国 有 的 石 油 公 司 R o s n e f t 也 遭 受 了 打 击 。 其 他 受 影 响 的 国 家 包 括 英 国 、 印 度 、 荷 兰 、 西 班 牙 、 丹 麦 等 。
鹿 特 丹 港 口 印 度 某 公 司 基 于 P e t y a 更 强 大 的 传 播 特 性 ， 病 毒 可 能 会 继 续 传 播 到 其 他 国 家 。
卡 巴 斯 基 的 感 染 量 统 计 应 当 如 何 防 范 ？ 应 当 如 何 防 范 ？ 感 染 前 感 染 前 首 先 ， 要 养 成 安 装 更 新 的 习 惯 ， P e t y a 传 播 中 用 到 的 两 个 途 径 是 已 经 有 补 丁 的 。 而 且 养 成 安 装 更 新 的 习 惯 对 任 何 病 毒 都 有 效 。 其 次 ， 来 自 C y b e r e a s o n 的 安 全 研 究 人 员 A m i t   S e r p e r 找 到 了 阻 止 P e t y a 持 续 感 染 计 算 机 的 方 法 — — P e t y a 会 首 先 搜 索 某 个 本 地 文 件 ， 如 果 说 该 文 件 存 在 ， 则 退 出 加 密 过 程 。 研 究 人 员 发 现 了 一 种 免 疫 方 法 ： 只 需 要 在 只 需 要 在   C : W i n d o w s   文 件 夹 下 建 立 名 为 文 件 夹 下 建 立 名 为   p e r f c   的 文 件 ， 并 将 其 设 为 的 文 件 ， 并 将 其 设 为 “ 只 读 只 读 ” 即 可 。 即 可 。 这 种 机 制 其 实 更 像 是 “ 疫 苗 ” ， 而 非 W a n n a C r y 的 “ K i l l   S w i t c h ” 开 关 ， 因 为 每 个 用 户 都 需 要 自 己 去 建 立 该 文 件 ， 而 不 像 W a n n a C r y 的 K i l l   S w i t c h 那 样 是 统 一 一 个 “ 开 关 ” 。 如 果 你 很 懒 ， 那 么 可 以 直 接 执 行 下 载 批 处 理 文 件 < 点 击 阅 读 原 文 下 载 该 文 件 > 感 染 后 感 染 后 假 如 你 不 幸 感 染 了 ， 首 先 需 要 注 意 的 一 点 是 ， 交 赎 金 是 没 有 用 的 ， 因 为 黑 客 所 使 用 的 邮 箱 供 应 商 关 闭 了 他 的 邮 箱 ， 导 致 受 害 者 将 无 法 恢 复 加 密 文 件 ： P e t y a 勒 索 程 序 作 者 所 用 的 邮 箱 供 应 商 勒 索 程 序 作 者 所 用 的 邮 箱 供 应 商 P o s t e o 宣 布 ， 关 闭 这 位 攻 击 者 的 邮 箱 账 户 宣 布 ， 关 闭 这 位 攻 击 者 的 邮 箱 账 户 w o w s m i t h 1 2 3 4 5 6 @ p o s t e o . n e t 。 。 这 对 于 P e t y a 勒 索 软 件 的 受 害 者 而 言 就 是 个 灾 难 ， 因 为 此 后 他 们 将 无 法 给 P e t y a 作 者 发 邮 件 ， 也 就 无 法 恢 复 被 加 密 的 文 件 。 邮 箱 地 址 是 P e t y a 勒 索 信 息 显 示 的 唯 一 联 系 方 式 ， 是 勒 索 程 序 作 者 确 认 比 特 币 支 付 的 手 段 。 而 P o s t e o 邮 箱 供 应 商 则 表 示 自 己 只 是 在 遵 循 一 般 处 理 流 程 ， 所 以 在 发 现 该 邮 箱 成 为 勒 索 程 序 的 一 部 分 之 后 就 关 闭 了 该 邮 箱 ， 但 P o s t e o 表 示 当 前 正 在 联 系 联 邦 信 息 技 术 安 全 局 ， “ 确 认 进 行 了 合 理 响 应 ” 。 其 次 ， 在 去 年 针 对 P e t y a 病 毒 的 分 析 报 告 中 已 经 提 到 ： 如 果 你 是 在 第 一 阶 段 检 测 到 P e t y a ， 那 么 你 的 数 据 还 是 可 恢 复 的 。 所 谓 的 第 一 阶 段 就 是 指 出 现 所 谓 “ 磁 盘 扫 描 ” 界 面 之 前 。 因 为 我 们 说 过 ， 出 现 磁 盘 检 查 界 面 时 ， 病 毒 实 际 上 在 进 行 加 密 操 作 ， 在 此 之 前 只 是 破 坏 M B R ， 使 得 用 户 无 法 进 入 系 统 。 推 特 上 也 有 专 家 证 实 了 这 样 的 防 范 措 施 ： 如 果 没 有 完 成 这 个 C H K D S K 过 程 ， 你 的 文 件 仍 然 可 以 通 过 L i v e C D 恢 复 值 得 注 意 的 是 ， P e t y a 使 用 了 A E S - 1 2 8 和 R S A - 2 0 4 8 双 重 加 密 的 机 制 ， 一 旦 加 密 过 程 完 成 ， 恢 复 文 件 的 希 望 也 就 微 乎 其 微 了 。 I O C 邮 箱 地 址 B i t c o i n 钱 包 地 址 ： 加 密 目 标 文 件 类 型 ： . 3 d s . 7 z . a c c d b . a i . a s p . a s p x . a v h d . b a c k . b a k . c . c f g . c o n f . c p p . c s . c t l . d b f . d i s k . d j v u . d o c . d o c x . d w g . e m l . f d b . g z . h . h d d . k d b x . m a i l . m d b . m s g . n r g . o r a . o s t . o v a . o v f . p d f . p h p . p m f . p p t . p p t x . p s t . p v i . p y . p y c . r a r . r t f . s l n . s q l . t a r . v b o x . v b s . v c b . v d i . v f d . v m c . v m d k . v m s d . v m x . v s d x . v s v . w o r k . x l s . x l s x . x v d . z i p . 勒 索 信 息 文 件 名 ： 不 加 密 以 下 目 录 ： *   参 考 来 源 ： B l e e p i n g C o m p u t e r ,   T h e H a c k e r N e w s ,   微 步 在 线 ,   赛 门 铁 克 ,   卡 巴 斯 基 ， F r e e B u f 小 编 S p h i n x 整 理 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M w o w s m i t h 1 2 3 4 5 6 @ p o s t e o . n e t 1 M z 7 1 5 3 H M u x X T u R 2 R 1 t 7 8 m G S d z a A t N b B W X R E A D M E . T X T C : W i n d o w s ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理