搜索

[17436] 2017-06-28_从Petya到NotPetya，为什么这个病毒比“想哭”更致命

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2017-06-28_从Petya到NotPetya，为什么这个病毒比“想哭”更致命 从   P e t y a   到   N o t P e t y a ， 为 什 么 这 个 病 毒 比 “ 想 哭 ” 更 致 命 原 创   小 明   G e e k P w n   2 0 1 7 - 0 6 - 2 8 6   月 月   2 7   日 ， 全 球 再 次 陷 入 勒 索 软 件 的 梦 魇 。 日 ， 全 球 再 次 陷 入 勒 索 软 件 的 梦 魇 。 目 前 为 止 勒 索 软 件   N o t P e t y a   感 染 了 全 球 超 过   2 0 0 0   家 机 构 ， 包 括 丹 麦 公 司   M a e r s k 、 英 国 广 告 公 司   W P P 、 俄 罗 斯 石 油 公 司   R o s n e f t 、 美 国 医 药 公 司   M e r c k   等 等 ， “ 重 灾 区 ” 乌 克 兰 的 国 家 银 行 及 电 力 公 司 也 都 中 招 。 这 一 次 这 一 次   W i n   1 0   也 沦 陷 也 沦 陷 安 全 研 究 人 员 认 为 这 次 的 勒 索 软 件 与 之 前 出 现 的   P e t y a   相 似 ， 但 是 “ 脱 胎 换 骨 ” 。 “ P e t y a   与   W a n n a C r y   都 利 用   N S A     外 泄 兵 器 库 中 的 ‘ 永 恒 之 蓝 ’ 。 而   P e t y a   不 仅 利 用 了 不 仅 利 用 了   W i n d o w s   S M B   存 存 在 的 漏 洞 进 行 内 网 传 播 ， 还 利 用 在 的 漏 洞 进 行 内 网 传 播 ， 还 利 用   O f f i c e   R T F   漏 洞 进 行 钓 鱼 攻 击 。 漏 洞 进 行 钓 鱼 攻 击 。 ” N o t P e t y a   则 滥 用 了 一 个 能 够 远 程 控 制 其 他 系 统 的 工 具   P s E x e c 。 N o t P e t y a   可 以 在 其 他 电 脑 上 远 程 执 行 恶 意 代 码 进 行 感 染 。 如 果 一 台 受 感 染 计 算 机 拥 有 网 络 的 管 理 员 权 限 ， 那 么 这 个 网 络 中 的 所 有 电 脑 都 会 被 感 染 。 出 于 相 同 原 因 ， W M I   工 具 也 同 样 遭 到   N o t P e t y a   滥 用 。   这 样 的 “ 混 搭 组 合 拳 ” 帮 助   N o t P e t y a   实 现 爆 发 与 快 速 传 播 ， 即 使 前 有   W a n n a C r y   的 存 在 — — 不 少 设 备 已 经 进 不 少 设 备 已 经 进 行 了 补 丁 行 了 补 丁 — — 仍 然 于 事 无 补 仍 然 于 事 无 补 。
“ 这 次 ， 内 网 中 只 要 有 一 台 未 补 丁 的 电 脑 ， 勒 索 软 件 就 可 能 获 得 管 理 员 权 限 并 感 染 其 他 电 脑 。 这 次 ， 内 网 中 只 要 有 一 台 未 补 丁 的 电 脑 ， 勒 索 软 件 就 可 能 获 得 管 理 员 权 限 并 感 染 其 他 电 脑 。 ” 因 此 ， 受 到   W a n n a C r y   影 响 的 可 能 仅 限 于 部 分 “ 古 董 ” 系 统 ， 但 是 但 是   N o t P e t y a   可 以 感 染 包 括 可 以 感 染 包 括   W i n d o w s   1 0   在 在 内 、 打 过 补 丁 的 设 备 。 内 、 打 过 补 丁 的 设 备 。 对 此 ， 微 软 回 应 称 系 统 自 带 杀 毒 软 件   W i n d o w s   D e f e n d e r   已 经 能 够 检 测 并 锁 定 恶 意 软 件 。 勒 索 软 件 中 的 战 斗 机 ？ 勒 索 软 件 中 的 战 斗 机 ？ W a n n a C r y   爆 发 之 后 ， 被 人 诟 病 最 多 的 就 是 — — 业 余 业 余 。 W a n n a C r y   中 只 用 了   4   个 硬 编 码 比 特 币 地 址 ， 意 味 着 “ 绑 匪 ” 收 到 的 赎 金 没 有 身 份 信 息 ， 那 也 更 无 从 进 行 自 动 化 解 密 。 更 令 人 费 解 的 是   W a n n a C r y   存 在 “ 杀 戮 开 关 ” 。 因 此 在 一 位 研 究 人 员 对 其 使 用 的 独 特 域 名 进 行 注 册 后 ， 控 制 住 了   W a n n a C r y   的 肆 虐 。 此 外 ， 相 比 之 前 不 太 出 名 却 在 一 年 内 获 利   6 0 0 0   万 美 元 的   A n g l e r   勒 索 活 动 ， 上 月 搅 得 全 球 血 雨 腥 风 的   W a n n a C r y   收 益 则 只 有 五 位 数 。 回 到 这 次 具 有 高 度 专 业 化 犯 罪 背 景 的   P e t y a   勒 索 软 件 家 族 ， P e t y a   在 暗 网 里 出 售 时 ， 会 明 确 指 出 勒 索 收 入 的 在 暗 网 里 出 售 时 ， 会 明 确 指 出 勒 索 收 入 的 1 5 %   将 属 于 软 件 原 作 者 将 属 于 软 件 原 作 者 。 “ 勒 索 软 件 即 服 务 ” （ R A A S ） 的 新 型 犯 罪 方 式 也 让 更 多 不 懂 技 术 、 心 怀 不 轨 的 人 有 了 可 乘 之 机 。 现 在 ， N o t P e t y a   的 “ 免 疫 方 式 ” 已 经 被 发 现 ， 只 要 在 只 要 在 C : W i n d o w s   文 件 夹 下 建 立 名 为 文 件 夹 下 建 立 名 为   p e r f c   的 文 件 ， 并 设 置 的 文 件 ， 并 设 置
为 为 “ 只 读 只 读 ” 就 可 以 避 免 感 染 。 就 可 以 避 免 感 染 。 受 感 染 者 可 能 正 在 考 虑 支 付 赎 金 以 换 回 自 己 的 文 件 ， 但 是 用 于 接 受 账 户 秘 钥 的 邮 箱 已 经 被 服 务 商   P o s t e o   关 闭 。 如 此 一 来 ， 如 果 没 有 对 文 件 进 行 过 任 何 备 份 的 人 ， 可 能 永 远 “ 见 不 到 ” 那 些 文 件 了 。 这 次 勒 索 好 像 不 为 钱 ？ 这 次 勒 索 好 像 不 为 钱 ？ R e g i s t e r   援 引 安 全 界 资 深 人 士   T h e   G r u g q   的 话 ： “ 尽 管 它 们 （   P e t y a   与   N o t P e t y a ） 共 享 了 关 键 代 码 ， 但 是 真 正 的   P e t y a   是 犯 罪 组 织 的 赚 钱 工 具 ， 而 这 （ N o t P e t y a ） 则 不 是 用 来 赚 钱 的 。 ” 它 仿 佛 恰 好 被 设 计 成 勒 索 软 件 ， 从 而 方 便 进 行 快 速 传 播 并 制 造 伤 害 。 它 仿 佛 恰 好 被 设 计 成 勒 索 软 件 ， 从 而 方 便 进 行 快 速 传 播 并 制 造 伤 害 。 M e D o c   是 一 家 金 融 科 技 公 司 ， 通 过 开 发 会 计 软 件 帮 助 个 人 及 企 业 处 理 交 税 问 题 。 安 全 专 家 调 查 推 测   N o t P e t y a 可 能 最 先 出 现 在   M e D o c ， 他 们 发 现 这 家 公 司 的 电 脑 系 统 曾 遭 到 入 侵 ， 黑 客 感 染 了 其 在   6   月   2 2   日 提 供 给 客 户 的 软 件 更 新 程 序 。
这 意 味 着 从   6   月   2 2   日 起   N o t P e t y a   便 开 始 潜 伏 ， 直 到   6   月   2 8   日 乌 克 兰 宪 法 日 前 一 天 — — 6   月   2 7     日 被 攻 击 者 触 发 ， 更 加 巧 合 的 是 “ 重 灾 区 ” 以 及 首 次 感 染 病 毒 的 公 司 都 在 乌 克 兰 。 通 常 网 络 犯 罪 分 子 会 选 择 节 假 日 或 者 通 常 网 络 犯 罪 分 子 会 选 择 节 假 日 或 者 周 末 进 行 犯 罪 以 躲 避 检 测 ， 但 是 在 假 日 之 前 进 行 大 规 模 的 突 袭 似 乎 更 像 是 一 场 为 了 制 造 混 乱 的 周 末 进 行 犯 罪 以 躲 避 检 测 ， 但 是 在 假 日 之 前 进 行 大 规 模 的 突 袭 似 乎 更 像 是 一 场 为 了 制 造 混 乱 的 “ 恐 袭 恐 袭 ” 。 。 N o t P e t y a   进 行 加 密 的 文 件 类 型 也 被 指 出 存 在 “ 问 题 ” 。 通 常 勒 索 软 件 会 对 所 有 文 件 进 行 加 密 ， 即 使 原   P e t y a   勒 索 软 件 也 加 密 上 百 种 类 型 的 文 件 ， 但 是   N o t P e t y a   却 有 选 择 地 加 密   6 5   种 文 件 类 型 。 而 且 在 类 型 的 选 择 上 也 很 独 特 ， 例 如 图 片 文 件   . p n g   格 式 就 不 在 加 密 文 件 类 型 之 列 ， 但 是 通 常 情 况 下 ， 如 果 你 的 受 害 者 为 消 费 者 ， 他 们 会 很 关 心 自 己 的 照 片 文 件 是 否 能 够 取 回 。 N o t P e t y a   似 乎 更 似 乎 更 “ 关 心 关 心 ” 代 码 ， 好 像 是 故 意 封 代 码 ， 好 像 是 故 意 封 锁 开 发 者 的 成 果 。 锁 开 发 者 的 成 果 。 离 真 实 近 ， 距 真 相 远 离 真 实 近 ， 距 真 相 远
目 前 ， N o t P e t y a   已 经 获 得 了 数 万 美 元 的 赎 金 。 而 隐 藏 在 它 身 后 的 攻 击 者 及 其 真 实 目 的 ， 研 究 者 仍 在 的 追 踪 中 . . . . . . 注 ： 从   P e t y a   、 G o l d e n E y e   到   N o t P e t y a ， 现 在 卡 巴 斯 基 将 这 个 全 新 的 勒 索 软 件 重 新 命 名 为   E x P e t r 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理