搜索

[11535] 2017-07-06_Petya真的没那么简单！北约呼吁发起联合调查，US-CERT发布警报

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-07-06_Petya真的没那么简单！北约呼吁发起联合调查，US-CERT发布警报 P e t y a 真 的 没 那 么 简 单 ！ 北 约 呼 吁 发 起 联 合 调 查 ， U S - C E R T 发 布 警 报 A n g e l a Y   F r e e B u f   2 0 1 7 - 0 7 - 0 6 北 约 （ N A T O ） 认 为 P e t y a 大 规 模 袭 击 可 能 是 国 家 层 面 的 攻 击 。 P e t y a 和 W a n n a C r y 这 种 严 重 的 网 络 安 全 问 题 需 要 国 际 社 会 联 合 响 应 。 N A T O 认 为 近 期 大 规 模 传 播 的 认 为 近 期 大 规 模 传 播 的 P e t y a （ 也 叫 （ 也 叫 N o t P e t y a ） 勒 索 病 毒 大 规 模 传 播 的 背 后 可 能 有 国 家 支 持 的 黑 客 在 行 ） 勒 索 病 毒 大 规 模 传 播 的 背 后 可 能 有 国 家 支 持 的 黑 客 在 行 动 。 目 前 ， 动 。 目 前 ， P e t y a 已 经 感 染 了 已 经 感 染 了 6 5 个 国 家 的 一 万 两 千 多 台 设 备 ， 重 要 企 业 和 基 础 设 施 纷 纷 中 招 。 个 国 家 的 一 万 两 千 多 台 设 备 ， 重 要 企 业 和 基 础 设 施 纷 纷 中 招 。 不 同 的 研 究 组 织 都 对 此 进 行 了 分 析 ， 认 为 P e t y a 伪 装 成 勒 索 软 件 ， 但 实 际 上 是 一 种 以 破 坏 为 目 的 的 清 除 软 件 。 攻 击 者 可 能 利 用 这 种 伪 装 来 转 移 注 意 力 ， 隐 藏 这 场 国 家 级 别 的 网 络 攻 击 。 N A T O 呼 吁 联 合 调 查 呼 吁 联 合 调 查 N A T O 的 专 家 认 为 ， 这 次 袭 击 很 可 能 是 由 国 家 支 持 的 黑 客 组 织 发 起 的 ， 或 者 是 由 某 个 国 家 委 托 非 国 家 支 持 的 黑 客 组 织 完 成 。   攻 击 者 资 金 充 足 ， 攻 击 过 程 复 杂 ， 耗 资 不 少 。 尽 管 过 程 复 杂 ， 但 是 攻 击 者 并 没 有 花 费 太 多 精 力 来 管 理 收 到 的 赎 金 ， 这 表 明 黑 客 并 非 出 于 经 济 动 机 而 实 施 攻 击 ： 这 个 操 作 整 体 并 不 是 太 复 杂 。 但 如 果 是 利 益 不 相 关 的 黑 客 仅 仅 为 了 技 术 实 践 去 准 备 并 实 施 这 场 攻 击 ， 还 是 非 常 复 杂 且 耗 资 巨 大 的 。 N A T O 的 合 作 网 络 防 御 中 心 （ C C D   C O E ） 表 示 ， P e t y a 背 后 也 并 不 存 在 网 络 犯 罪 的 可 能 性 ， 因 为 收 集 赎 金 的 方 式 设 计 得 十 分 糟 糕 ， 攻 击 者 收 到 的 赎 金 甚 至 不 能 涵 盖 运 营 成 本 。 ” N A T O 如 此 表 态 ， 后 果   可 能 有 些 严 重 。 这 场 P e t y a 网 络 攻 击 可 以 说 成 是 战 争 行 为 ， 并 可 能 引 发 《 北 大 西 洋 公 约 》 第 5 条 的 规 定 ： 一 旦 确 认 北 约 成 员 国 受 到 攻 击 ， 其 他 成 员 国 将 及 时 作 出 反 应 。 N A T O 的 C C D   C O E 法 律 部 研 究 员 T o m á š M i n á r i k 表 示 ： 2 0 1 7 年 6 月 2 7 日 P e t y a 病 毒 爆 发 ， 席 卷 乌 克 兰 、 欧 洲 、 美 国 和 俄 罗 斯 境 等 多 个 国 家 。 N A T O 的 C C D   C O E 研 究 人 员 B e r n h a r d s   B l u m b e r g s 、 T o m á š M i n á r i k 、 L T C   K r i s   v a n   d e r   M e i j 和 L a u r i L i n d s t r ö m 等 人 都 认 为 这 场 攻 击 很 有 可 能 是 国 家 层 面 的 攻 击 。 研 究 人 员 对 最 近 的 W a n n a C r y 和 P e t y a 等 大 规 模 攻 击 展 开 过 多 项 研 究 ， 研 究 结 果 让 人 们 对 受 影 响 国 家 和 国 际 社 会 的 可 能 应 对 方 案 提 出 了 质 疑 。
由 于 重 要 的 政 府 系 统 也 遭 受 到 攻 击 ， 如 果 攻 击 与 某 个 国 家 有 关 ， 那 么 这 可 能 已 涉 嫌 侵 犯 国 家 主 权 。 因 此 ， P e t y a 肆 虐 可 能 是 一 种 不 法 的 国 际 行 为 ， 而 受 攻 击 国 家 的 应 对 措 施 却 寥 寥 无 几 。 据 N A T O 的 研 究 人 员 介 绍 ， 尽 管 W a n n a C r y 的 攻 击 和 P e t y a 有 许 多 相 似 之 处 ， 但 其 实 背 后 的 黑 客 组 织 并 不 相 同 。 根 据 各 种 消 息 ， 敲 诈 勒 索 似 乎 只 是 一 个 草 草 准 备 的 外 壳 ， 那 么 P e t y a 攻 击 背 后 的 动 机 应 该 从 其 他 角 度 来 探 讨 。 尽 管 P e t y a 利 用 的 漏 洞 与 W a n n a C r y 相 同 ， 但 是 这 两 个 类 似 攻 击 背 后 的 黑 客 组 织 可 能 并 不 一 样 。 两 种 攻 击 为 攻 击 者 带 来 的 经 济 收 益 都 不 太 ， 但 两 种 攻 击 都 达 到 了 类 似 效 果 ： 造 成 全 球 范 围 的 大 规 模 攻 击 。 北 约 C C D   C O E 战 略 部 研 究 员 劳 里 · 林 德 斯 特 伦 表 示 ： P e t y a 紧 随 W a n n a C r y 之 后 ， 也 利 用 了 S h a d o w   B r o k e r s 发 布 的 E n t e r n a l B l u e 工 具 。 此 外 ， 过 程 更 复 杂 且 耗 资 更 多 的 P e t y a 可 能 也 是 一 种 权 力 的 证 明   — — 证 明 某 个 国 家 具 有 大 规 模 网 络 攻 击 能 力 且 已 准 备 好 可 以 随 时 出 击 。 赛 门 铁 克 安 全 响 应 中 心 研 究 员 G a v i n   O ’ G o r m a n 对 P e t y a 背 后 的 攻 击 动 机 给 出 两 个 假 设 。 1 .   这 个 攻 击 是 由 技 术 高 超 但 实 战 能 力 较 差 的 黑 客 组 织 发 起 的 。 这 些 黑 客 用 一 个 比 特 币 钱 包 地 址 收 款 ， 并 使 用 单 一 的 邮 箱 进 行 联 系 ； 2 .   此 次 攻 击 实 际 上 是 一 场 大 规 模 破 坏 性 攻 击 。 G a v i n   O ’ G o r m a n 认 为 ， 可 能 此 次 攻 击 并 非 为 了 赚 钱 ， 也 不 只 是 单 纯 破 坏 乌 克 兰 的 各 个 政 府 组 织 网 络 系 统 。 发 起 一 场 可 以 清 除 受 害 者 硬 盘 内 容 的 攻 击 同 样 可 以 达 到 上 述 目 的 。 但 是 ， 这 样 就 太 过 直 白 ， 太 有 攻 击 性 了 。 通 过 伪 装 成 勒 索 软 件 ， 有 效 地 清 除 硬 盘 数 据 ， 这 很 有 迷 惑 性 。 受 害 者 和 研 究 者 都 会 因 此 好 奇 ： 到 底 攻 击 者 是 出 于 政 治 目 的 还 是 受 金 钱 驱 使 ？ W a n n a C r y 和 P e t y a 事 件 再 次 促 使 人 们 关 注 国 际 社 会 面 对 此 类 事 件 时 给 出 的 响 应 ， 以 及 建 立 “ 网 络 空 间 国 家 行 为 准 则 ” 的 必 要 性 。 这 些 问 题 其 实 在 最 近 的 意 大 利 G 7 峰 会 上 都 有 讨 论 ， G 7 网 络 安 全 小 组 成 员 提 出 了 可 以 解 决 这 些 问 题 的 一 系 列 国 家 行 为 准 则 。 最 终 ， 达 成 了 G 7 峰 会 关 于 “ 网 络 空 间 有 责 任 国 家 行 为 ” 的 声 明 ， 声 明 规 定 了 和 平 时 期 自 愿 、 非 约 束 性 的 国 家 网 络 行 为 准 则 。
同 时 ， 同 时 ， N A T O 号 召 各 国 联 合 起 来 ， 针 对 本 次 号 召 各 国 联 合 起 来 ， 针 对 本 次 P e t y a 攻 击 展 开 专 门 调 查 ， 找 到 背 后 攻 击 者 并 给 予 处 罚 。 攻 击 展 开 专 门 调 查 ， 找 到 背 后 攻 击 者 并 给 予 处 罚 。 W a n n a C r y 和 P e t y a 引 发 了 人 们 关 于 国 际 社 会 应 对 网 络 攻 击 策 略 的 探 讨 。 遭 受 网 络 攻 击 的 国 家 数 量 很 多 ， 表 明 攻 击 者 并 不 惧 怕 针 对 自 身 的 全 球 性 调 查 。 这 对 于 受 害 国 家 而 言 也 许 是 个 机 会 ， 各 受 害 家 国 可 以 出 其 不 意 ， 联 合 起 来 共 同 展 开 调 查 。 U S - C E R T 发 布 发 布 P e t y a 警 报 及 防 御 措 施 警 报 及 防 御 措 施 美 国 国 土 安 全 部 （ D H S ） 计 算 机 应 急 准 备 小 组 （ U S - C E R T ） 日 前 也 发 布 了 针 对 P e t y a 勒 索 软 件 的 警 报 （ T A 1 7 - 1 8 1 A ） 。 P e t y a 利 用   S M B 漏 洞 ， 通 过 E T E R N A L B L U E   M 2   M S 1 7 - 0 1 0 利 用 工 具 攻 击 设 备 。 U S - C E R T 表 示 已 经 收 到 与 P e t y a 勒 索 软 件 有 关 的 多 份 报 告 ， 警 告 各 组 织 尽 快 升 级 软 件 ， 停 止 使 用 不 受 支 持 的 设 备 和 操 作 系 统 。 N C C I C 代 码 分 析 小 组 发 布 了 一 份 恶 意 软 件 初 始 研 究 结 果 报 告 ， 给 出 了 关 于 P e t y a 恶 意 软 件 的 深 度 技 术 分 析 。 他 们 还 与 政 府 、 私 企 等 合 作 ， 以 逗 号 分 隔 值 的 形 式 发 布 了 I O C 内 容 ， 以 便 信 息 共 享 。 相 关 文 件 如 下 ： M I F R - 1 0 1 3 0 2 9 5 . p d f T A - 1 7 - 1 8 1 A _ I O C s . c s v 该 警 报 分 析 了 最 后 P e t y a 勒 索 软 件 的 样 本 ， 发 现 这 个 变 体 利 用 动 态 生 成 的 1 2 8 位 密 钥 加 密 了 受 害 者 的 文 件 ， 并 创 建 了 受 害 者 的 唯 一 I D 。 专 家 并 未 发 现 加 密 密 钥 生 成 和 受 害 者 I D 之 间 有 任 何 关 联 。 但 是 ， 加 密 密 钥 和 受 害 者 的 I D 之 间 并 没 有 什 么 关 联 ， 这 意 味 着 即 使 受 害 者 支 付 赎 金 ， 攻 击 者 也 可 能 无 法 解 密 受 害 者 的 文 件 。 这 个 P e t y a 变 种 使 用 M S 1 7 - 0 1 0 描 述 的 S M B 漏 洞 ， 并 窃 取 用 户 的 W i n d o w s 凭 证 ， 进 行 传 播 。 值 得 注 意 的 是 ， 这 个 变 种 安 装 可 以 修 改 版 本 的 M i m i k a t z 工 具 ， 用 于 获 取 用 户 凭 证 。 窃 取 的 凭 证 可 用 于 访 问 网 络 上 的 其 他 系 统 。 ” U S - C E R T 分 析 的 样 本 也 将 尝 试 通 过 检 查 受 攻 击 系 统 的 I P 物 理 地 址 映 射 表 来 识 别 网 络 上 的 其 他 主 机 。 P e t y a 变 体 在 “ C ： ” 驱 动 器 上 写 入 文 本 文 件 ， 其 中 包 含 比 特 币 钱 包 地 址 和 用 于 赎 金 支 付 的 R S A 密 钥 。 其 恶 意 代 码 会 修 改 主 引 导 记 录 （ M B R ） 以 启 用 主 文 件 表 （ M F T ） 和 原 始 M B R 的 加 密 ， 然 后 重 新 启 动 系 统 以 替 换 M B R 。 “ 基 于 所 使 用 的 加 密 方 法 ， 即 使 攻 击 者 收 到 受 害 者 的 唯 一 I D ， 也 不 一 定 能 恢 复 文 件 。 ” U S - C E R T 建 议 各 组 织 采 取 处 理 S M B 的 最 佳 做 法 ， 例 如 ： 禁 用 S M B v 1 ； 通 过 阻 止 T C P   4 4 5 端 口 与 U D P   1 3 7 - 1 3 8 端 口 和 T C P   1 3 9 端 口 上 的 所 有 相 关 协 议 ， 阻 止 所 有 边 界 设 备 上 各 版 本 的 S M B 。 U S - C E R T 警 告 用 户 和 管 理 员 ， 禁 用 或 阻 止 S M B 可 能 会 阻 碍 计 算 机 访 问 共 享 文 件 、 数 据 或 设 备 。   但 是 便 利 性 应 当 为 安 全 性 让 步 。
以 下 是 以 下 是 U S - C E R T 所 发 布 的 完 整 版 防 御 步 骤 ： 所 发 布 的 完 整 版 防 御 步 骤 ： 下 载 微 软 在 2 0 1 7 年 3 月 1 4 日 发 布 的   M S 1 7 - 0 1 0   S M B   漏 洞 修 复 补 丁 ； 启 用 强 大 的 垃 圾 邮 件 过 滤 器 ， 防 止 终 端 用 户 收 到 钓 鱼 邮 件 ， 并 使 用 S P F 、 D M A R C 身 份 验 证 以 及 D K I M 等 技 术 来 验 证 入 站 邮 件 ， 以 防 止 电 子 邮 件 诈 骗 ； 扫 描 所 有 传 入 和 传 出 的 电 子 邮 件 ， 检 测 威 胁 并 过 滤 到 达 终 端 用 户 的 可 执 行 文 件 ； 将 防 病 毒 和 反 恶 意 软 件 程 序 设 置 为 自 动 、 定 期 扫 描 ； 管 理 特 权 帐 户 ； 实 行 最 低 权 限 的 原 则 ； 除 非 绝 对 需 要 ， 否 则 不 为 任 何 用 户 设 置 管 理 访 问 权 ； 只 有 在 必 要 时 才 能 使 用 管 理 员 帐 户 ； 配 置 访 问 控 制 ， 包 括 文 件 、 目 录 和 网 络 共 享 权 限 （ 遵 循 最 低 权 限 原 则 ） ； 如 果 用 户 只 需 要 读 取 特 定 文 件 ， 则 不 应 有 这 些 文 件 、 目 录 或 共 享 内 容 的 写 入 权 ； 从 通 过 电 子 邮 件 传 输 的 M i c r o s o f t   O f f i c e 文 件 中 禁 用 宏 脚 本 ； 考 虑 使 用 O f f i c e   V i e w e r 软 件 打 开 通 过 电 子 邮 件 而 非 完 整 的 O f f i c e 套 件 应 用 程 序 传 输 的 M i c r o s o f t   O f f i c e 文 件 ； 制 定 、 研 究 并 实 施 员 工 教 育 计 划 以 识 别 欺 诈 、 恶 意 链 接 和 社 会 工 程 攻 击 ； 对 网 络 进 行 定 期 渗 透 测 试 ， 每 年 不 少 于 一 次 ； 最 好 经 常 测 试 ； 测 试 备 份 ， 确 保 内 容 正 常 ， 可 以 使 用 ； 利 用 基 于 主 机 的 防 火 墙 并 阻 止 工 作 站 到 工 作 站 的 通 信 。 * 参 考 来 源 ： s e c u r i t y a f f a i r s ， A n g e l a Y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理