搜索

[11513] 2017-06-29_你以为Petya真的是勒索软件吗？背后可能是一次国家级攻击

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-06-29_你以为Petya真的是勒索软件吗？背后可能是一次国家级攻击 你 以 为 P e t y a 真 的 是 勒 索 软 件 吗 ？ 背 后 可 能 是 一 次 国 家 级 攻 击 S p h i n x   F r e e B u f   2 0 1 7 - 0 6 - 2 9 最 近 两 天 ， P e t y a 勒 索 软 件 席 卷 欧 洲 ， 包 括 乌 克 兰 首 都 基 辅 的 鲍 里 斯 波 尔 国 际 机 场 、 乌 克 兰 国 家 储 蓄 银 行 、 船 舶 公 司 、 俄 罗 斯 石 油 公 司 和 乌 克 兰 一 些 商 业 银 行 以 及 部 分 私 人 公 司 、 零 售 企 业 和 政 府 系 统 都 遭 到 了 攻 击 ， P e t y a 波 及 的 国 家 还 包 括 英 国 、 印 度 、 荷 兰 、 西 班 牙 、 丹 麦 等 。 但 研 究 人 员 的 最 新 研 究 结 果 显 示 ， 这 款 病 毒 其 实 是 个 文 件 擦 除 病 毒 ， 勒 索 只 是 其 表 象 。 专 家 称 ， 虽 然 但 研 究 人 员 的 最 新 研 究 结 果 显 示 ， 这 款 病 毒 其 实 是 个 文 件 擦 除 病 毒 ， 勒 索 只 是 其 表 象 。 专 家 称 ， 虽 然 P e t y a 的 行 的 行 为 像 是 勒 索 软 件 ， 但 是 里 面 的 源 码 显 示 ， 用 户 其 实 是 无 法 恢 复 文 件 的 。 为 像 是 勒 索 软 件 ， 但 是 里 面 的 源 码 显 示 ， 用 户 其 实 是 无 法 恢 复 文 件 的 。 不 小 心 犯 错 ， 还 是 有 意 为 之 ？ 不 小 心 犯 错 ， 还 是 有 意 为 之 ？ 在 昨 天 的 报 道 文 章 中 ， 我 们 就 曾 提 到 ， 卡 巴 斯 基 认 为 这 次 出 现 的 勒 索 软 件 并 非 P e t y a 变 种 ， 二 者 也 并 非 出 自 同 一 个 作 者 ， 因 此 有 研 究 人 员 将 其 称 为 N o t P e t y a 、 P e t n a 或 者 S o r t a P e t y a 。 P e t y a 释 放 的 文 件 向 磁 盘 头 部 写 入 恶 意 代 码 ， 被 感 染 系 统 的 主 引 导 记 录 被 引 导 加 载 程 序 重 写 ， 并 且 加 载 一 个 微 型 恶 意 内 核 。 接 着 ， 这 个 内 核 开 始 进 行 加 密 。 与 传 统 的 勒 索 软 件 不 同 的 是 ， P e t y a 并 非 逐 个 加 密 单 个 文 件 ， 而 是 破 坏 M B R ， 使 得 用 户 无 法 进 入 系 统 。 当 电 脑 重 启 时 ， 病 毒 代 码 会 在 W i n d o w s 操 作 系 统 之 前 接 管 电 脑 ， 加 密 磁 盘 的 M F T 等 恶 意 操 作 。 最 终 ， P e t y a 会 显 示 如 下 界 面 让 感 染 者 提 交 赎 金 获 得 解 密 密 钥 ， 按 照 道 理 ， 用 户 应 该 向 勒 索 软 件 作 者 发 送 邮 件 ， 附 上 自 己 的 感 染 I D ， 再 索 取 密 钥 。
值 得 一 提 的 是 ， 原 版 的 P e t y a 勒 索 程 序 会 保 留 加 密 的 M B R 副 本 ， 然 后 将 其 替 换 为 其 恶 意 代 码 ， 并 显 示 勒 索 信 息 — — 这 样 一 来 计 算 机 就 无 法 启 动 了 。 但 这 次 的 但 这 次 的 P e t y a （ 或 者 应 该 叫 （ 或 者 应 该 叫 N o t P e t y a ） 根 本 就 不 会 保 留 ） 根 本 就 不 会 保 留 M B R 副 本 ， 不 管 是 作 者 有 副 本 ， 不 管 是 作 者 有 意 为 之 还 是 不 小 心 犯 的 错 误 ， 即 便 真 的 获 取 到 解 密 密 钥 也 无 法 启 动 被 感 染 的 计 算 机 。 意 为 之 还 是 不 小 心 犯 的 错 误 ， 即 便 真 的 获 取 到 解 密 密 钥 也 无 法 启 动 被 感 染 的 计 算 机 。 压 根 没 想 帮 你 恢 复 文 件 压 根 没 想 帮 你 恢 复 文 件 目 前 为 止 4 5 位 受 害 者 向 病 毒 作 者 支 付 了 1 0 , 5 0 0 美 元 的 赎 金 ， 但 他 们 无 法 恢 复 文 件 。 大 家 可 能 知 道 ， P e t y a 所 使 用 的 邮 箱 服 务 商 之 前 关 闭 了 其 邮 箱 ， 导 致 的 结 果 是 感 染 者 无 法 联 系 作 者 获 得 解 密 密 钥 。 但 即 便 用 户 真 的 买 了 比 特 币 发 送 邮 件 给 作 者 ， 还 是 无 法 恢 复 文 件 。 而 且 实 际 上 ， 从 一 开 始 病 毒 作 者 就 没 有 想 要 帮 助 用 户 恢 复 文 件 。 无 法 恢 复 文 件 的 原 因 就 是 ， 这 次 的 P e t y a 生 成 的 感 染 生 成 的 感 染 I D 是 随 机 的 是 随 机 的 。 对 于 像 P e t y a 这 样 没 有 C & C 服 务 器 进 行 进 一 步 数 据 传 输 的 勒 索 软 件 来 说 ， 通 常 这 种 I D 会 存 储 关 于 感 染 电 脑 的 信 息 和 解 密 密 钥 。 但 是 根 据 卡 巴 斯 基 专 家 的 研 究 ， 因 为 P e t y a 随 机 生 成 了 这 个 I D ， 因 此 攻 击 者 根 本 无 法 恢 复 文 件 。 “ 这 对 于 感 染 者 来 说 显 然 是 最 糟 糕 的 消 息 — — 即 便 支 付 赎 金 ， 他 们 也 要 不 回 数 据 。 其 次 这 就 证 实 了 我 们 的 结 论 ， 即 E x P e t r 攻 击 并 不 是 为 了 经 济 目 的 ， 而 是 为 了 造 成 毁 灭 性 打 击 。 ” 卡 巴 斯 基 专 家 I v a n o v 说 道 。 另 一 位 来 自 C o m a e   T e c h n o l o g i e s 的 研 究 员 M a t t   S u i c h e 也 从 另 一 个 角 度 证 实 了 卡 巴 斯 基 的 结 论 ， 他 提 到 病 毒 中 的 一 系 列 错 误 操 作 导 致 原 来 的 M F T （ 主 文 件 表 ） 无 法 恢 复 。 M F T 无 法 恢 复 ， 则 意 味 着 硬 盘 之 上 每 个 文 件 的 位 置 无 从 恢 复 ： “ 原 版 的 P e t y a 对 磁 盘 所 作 的 更 改 是 可 逆 的 ， 但 （ 这 次 的 ） P e t y a 无 法 还 原 磁 盘 的 原 来 状 态 。 ” 制 造 骚 乱 制 造 骚 乱 基 于 此 ， 在 过 去 的 2 4 小 时 里 ， 有 关 P e t y a 真 正 目 的 的 猜 测 戏 剧 性 地 转 向 。 威 胁 情 报 专 家 T h e   G r u g q 率 先 在 他 的 报 告 中 指 出 ， P e t y a 没 有 遵 循 一 般 勒 索 软 件 的 套 路 。 “ 之 前 真 正 的 P e t y a 是 为 了 赚 钱 而 制 作 的 ， 而 这 个 而 这 个 P e t y a 变 种 完 全 不 是 为 了 钱 变 种 完 全 不 是 为 了 钱 ， ” T h e   G r u g q 提 到 ， “ 他 被 用 来 进 行 快 速 传 播 从 而 造 成 破 坏 。 ”
没 有 解 密 功 能 的 勒 索 基 本 就 等 同 于 磁 盘 擦 除 器 了 。 正 因 为 P e t y a 没 有 真 正 的 解 密 机 制 ， 也 就 代 表 勒 索 软 件 实 际 上 是 没 有 长 期 盈 利 的 目 的 的 。 P e t y a 原 作 者 在 t w i t t e r 上 称 ， 这 次 的 N o t P e t y a 并 不 是 由 他 制 作 ， 打 破 了 之 前 部 分 指 责 P e t y a 作 者 的 谣 言 。 顺 便 一 提 ， J A N U S 是 第 二 个 作 出 如 此 澄 清 的 勒 索 软 件 作 者 。 今 年 5 月 ， A E S - N I 勒 索 软 件 作 者 也 做 了 相 关 澄 清 ， 表 示 自 己 没 有 制 作 X D a t a 勒 索 软 件 ， 这 款 X D a t a 勒 索 软 件 也 被 用 于 攻 击 乌 克 兰 。 另 外 ， X D a t a 和 P e t y a 用 到 了 相 同 的 传 播 向 量 — — 乌 克 兰 会 计 软 件 制 造 商 M e D o c 的 更 新 服 务 器 。 像 P e t y a 这 样 勒 索 用 户 但 不 恢 复 文 件 的 病 毒 已 经 发 生 多 次 。 去 年 下 半 年 就 有 多 份 报 道 ， 比 如 S h a m o o n 和 K i l l D i s k ， 都 是 磁 盘 擦 除 的 病 毒 。 另 外 ， 工 业 病 毒 也 开 始 具 备 磁 盘 擦 除 功 能 。 在 这 次 攻 击 中 遭 受 最 严 重 攻 击 的 乌 克 兰 也 是 事 件 的 一 个 亮 点 。 M a t t   S u i c h e 在 研 究 中 得 出 的 结 论 是 ， 唯 一 的 解 释 是 在 研 究 中 得 出 的 结 论 是 ， 唯 一 的 解 释 是 这 实 际 上 是 一 场 伪 装 的 国 家 级 网 络 攻 击 。 这 实 际 上 是 一 场 伪 装 的 国 家 级 网 络 攻 击 。 P e t y a 的 攻 击 重 点 在 乌 克 兰 ， 因 为 它 通 过 M e D o c 恶 意 推 送 进 行 传 播 ， 并 且 P e t y a 具 备 强 大 的 传 播 特 性 ， 但 最 初 的 几 例 感 染 事 件 都 发 生 在 乌 克 兰 。 而 乌 克 兰 政 府 官 员 已 经 把 矛 头 指 向 俄 罗 斯 ， 自 2 0 1 4 年 开 始 的 多 次 网 络 攻 击 事 件 中 ， 俄 罗 斯 一 直 是 乌 克 兰 指 责 的 幕 后 黑 手 。 虽 然 我 们 无 从 得 知 事 件 的 真 相 ， 但 P e t y a 可 能 没 有 想 象 中 的 那 么 简 单 ， 它 可 能 是 与 S t u x n e t 和 B l a c k E n e r g y 类 似 的 用 于 政
治 目 的 的 网 络 武 器 ， 而 非 单 纯 的 勒 索 软 件 。 *   参 考 来 源 ： H a c k e r N e w s ,   B l e e p i n g C o m p u t e r ， F r e e B u f 小 编 S p h i n x 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理