搜索

[3994] 2017-07-03_新的勒索软件变种“Nyetya”危害全球系统

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-07-03_新的勒索软件变种“Nyetya”危害全球系统 新 的 勒 索 软 件 变 种 “ N y e t y a ” 危 害 全 球 系 统 E 安 全   2 0 1 7 - 0 7 - 0 3 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 注 ： 注 ：   思 科 T a l o s   针 对 新 威 胁 进 行 了 积 极 研 究 ， 此 博 客 文 章 就 此 进 行 讨 论 。 这 类 信 息 只 能 视 为 初 步 信 息 ， 并 将 随 着 研 究 继 续 持 续 更 新 。 更 新 时 间 为   2 0 1 7   年   0 6   月   2 8   日 下 午   0 7 ： 0 9   E D T ： 更 新 作 为 用 于 入 侵 系 统 机 制 的   E t e r n a l R o m a n c e   的 使 用 情 况 。 勒 索 软 件 N y e t y a 概 述 基 于 新 勒 索 软 件 变 种 的 样 本 分 析 显 示 ， 勒 索 软 件 借 助 了 之 前 被 多 次 利 用 的 永 恒 之 蓝 （ E t e r n a l B l u e ） 攻 击 工 具 和 W i n d o w s 系 统 的 W M I 进 行 传 播 。 与 之 前 出 现 的 与 之 前 出 现 的 W a n n a C r y 不 同 ， 此 次 的 变 种 中 没 有 包 含 外 部 扫 描 模 块 ， 而 是 利 用 了 不 同 ， 此 次 的 变 种 中 没 有 包 含 外 部 扫 描 模 块 ， 而 是 利 用 了 p s e x e c 管 理 工 具 在 内 网 进 行 传 播 。 管 理 工 具 在 内 网 进 行 传 播 。 自 从   S a m S a m   在   2 0 1 6   年   3   月 针 对 美 国 医 疗 保 健 机 构 展 开 攻 击 以 来 ， 思 科 T a l o s 一 直 在 关 注 有 关 解 决 勒 索 软 件 通 过 未 修 补 网 络 漏 洞 的 扩 散 传 播 。 2 0 1 7   年   5   月 ， W a n n a C r y   勒 索 软 件 利 用 了   S M B v 1   内 的 漏 洞 ， 并 在 互 联 网 上 大 规 模 爆 发 。 现 在 ， 一 种 新 的 恶 意 软 件 版 本 已 经 浮 出 水 面 ， 它 与 被 称 为   P e t r w r a p   和   G o l d e n E y e   等   的   P e t y a   勒 索 软 件 明 显 不 同 。 思 科 T a l o s   正 在 将 这 个 新 的 恶 意 软 件 变 体 确 定 为   N y e t y a 。 该 样 本 利 用   E t e r n a l B l u e 、 E t e r n a l R o m a n c e 、 W M I   和   P s E x e c   在 受 影 响 的 网 络 内 部 横 向 渗 透 。 稍 后 将 在 “ 恶 意 软 件 功 能 ” 的 博 客 中 对 此 行 为 进 行 详 细 介 绍 。 与   W a n n a C r y   不 同 ， N y e t y a   显 示 没 有 包 含 外 部 扫 描 组 件 。   目 前 还 没 有 识 别 出 该 勒 索 软 件 的 传 播 源 头 。 无 法 确 认 电 子 邮 件 是 传 播 源 头 的 早 期 报 告 。 基 于 观 察 到 的 在 外 传 播 行 为 、 已 知 的 缺 乏 、 可 行 的 外 部 扩 散 机 制 和 其 他 研 究 ， 我 们 认 为 有 些 感 染 可 能 与 乌 克 兰 税 务 会 计 软 件   M e D o c   的 更 新 系 统 有 关 。 思 科 T a l o s   还 在 持 续 研 究 此 恶 意 软 件 的 传 播 源 头 。 与 所 有 勒 索 软 件 一 样 ， 思 科 T a l o s   不 建 议 支 付 赎 金 。 应 该 注 意 的 是 ， 用 于 支 付 验 证 和 解 密 密 钥 共 享 的 相 关 邮 箱 已 被   p o s t e o . d e   网 站 关 闭 。 这 将 使 得 所 有 成 功 付 款 无 效 ， 攻 击 者 在 收 到 支 付 的 赎 金 后 没 有 可 用 的 通 信 方 式 验 证 受 害 者 的 支 付 或 者 分 配 解 密 密 钥 。 恶 意 软 件 也 没 有 可 用 来 直 接 连 接 命 令 和 控 制 远 程 解 锁 的 方 法 。 N y e t y a   不 完 全 是 勒 索 软 件 （ 其 中 它 会 提 示 您 通 过 支 付 赎 金 取 回 您 的 数 据 ） 更 多 地 像 是 一 个 “ 擦 除 ” 系 统 ， 它
意 味 着 能 轻 易 地 擦 除 系 统 。 恢 复 用 户 凭 证 负 责 传 播 恶 意 软 件 的   P e r f c . d a t   文 件 在 其 资 源 部 分 包 含 嵌 入 可 执 行 文 件 。 勒 索 软 件 将 该 可 执 行 文 件 以 临 时 文 件 属 性 放 置 在 用 户 的   % T E M P % 文 件 夹 内 ， 用 命 名 管 道 参 数 运 行 （ 包 含   G U I D ） 。 主 要 可 执 行 文 件 通 过 此 命 名 管 道 与 放 置 的 可 执 行 文 件 通 信 。 例 如 ： C : W I N D O W S T E M P 5 6 1 D . t m p ,   . p i p e { C 1 F 0 B F 2 D - 8 C 1 7 - 4 5 5 0 - A F 5 A - 6 5 A 2 2 C 6 1 7 3 9 C } 放 置 的   . t m p   可 执 行 文 件 似 乎 基 于   M i m i k a t z ， 这 是 一 种 流 行 的 开 源 软 件 ， 通 过 使 用 几 种 不 同 技 术 用 于 恢 复 计 算 机 内 存 的 用 户 凭 证 。 但 是 ， 思 但 是 ， 思 科 科 T a l o s   已 确 认 可 执 行 文 件 并 非 已 确 认 可 执 行 文 件 并 非   M i m i k a t z   工 具 。 工 具 。 然 后 利 用   W M I C   和   P s E x e c   使 用 恢 复 的 凭 证 在 远 程 系 统 中 启 动 恶 意 软 件 。 例 如 ： W b e m w m i c . e x e   / n o d e : " w . x . y . z "   / u s e r : " u s e r n a m e "   / p a s s w o r d : " p a s s w o r d "   " p r o c e s s   c a l l   c r e a t e   " C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2 . e x e   " C : W i n d o w s p e r f c . d a t "   # 1 恶 意 软 件 功 能 P e r f c . d a t   具 有 进 一 步 危 害 系 统 所 需 的 功 能 ， 并 包 含 一 个 单 个 未 命 名 的 导 出 功 能 模 块 ， 称 为   # 1 。 该 库 尝 试 通 过   W i n d o w s   A P I A d j u s t T o k e n P r i v i l e g e s   获 取 当 前 用 户 的 管 理 权 限 （ S e S h u t d o w P r i v i l e g e   和   S e D e b u g P r i v i l e g e ） 。 一 旦 成 功 ， N y e t y a   将 重 写 磁 盘 上 的 启 动 分 区 记 录 （ M R B ） ， 在   W i n d o w s   中 把 磁 盘 称 为   P h y s i c a l D r i v e   0 。 不 管   M B R   重 写 成 功 与 否 ， 恶 意 软 件 将 继 续 通 过   s c h t a s k s   创 建 计 划 的 任 务 ， 在 完 成 感 染 一 小 时 后 重 新 启 动 系 统 。 在 勒 索 软 件 传 播 过 程 中 ， 恶 意 软 件 通 过   N e t S e r v e r E n u m   A P I   呼 叫 遍 历 网 络 上 所 有 可 见 主 机 ， 然 后 扫 描 所 有 开 放 了   T C P   1 3 9   端 口 的 主 机 。 这 样 做 是 为 了 编 译 暴 露 了 这 个 端 口 和 易 于 感 染 的 主 机 列 表 。 一 旦 主 机 被 感 染 ， 一 旦 主 机 被 感 染 ， N y e t y a   将 使 用 几 种 机 制 进 行 散 播 ： 将 使 用 几 种 机 制 进 行 散 播 ： 1 .   E t e r n a l B l u e   -   与   W a n n a C r y   入 侵 的 方 式 相 同 。 2 .   E t e r n a l R o m a n c e   -   由 “ S h a d o w B r o k e r s ” 泄 露 的   S M B v 1   入 侵 3 .   P s E x e c   -   W i n d o w s   系 统 自 带 的 管 理 工 具 。 4 .   W M I   -   W i n d o w s   管 理 工 具 ， W i n d o w s   自 带 组 件 。 这 些 机 制 用 于 尝 试 在 其 他 主 机 上 安 装 和 执 行   p e r f c . d a t   以 横 向 扩 散 恶 意 软 件 。 对 于 还 没 有 应 用   M S 1 7 - 0 1 0   的 系 统 ， 则 利 用   E t e r n a l B l u e   和   E t e r n a l R o m a n c e   漏 洞 攻 击 危 害 系 统 。 针 对 受 害 者 系 统 启 动 的 漏 洞 攻 击 取 决 于 预 定 目 标 的 操 作 系 统 。 E t e r n a l B l u e W i n d o w s   S e r v e r   2 0 0 8   R 2
W i n d o w s   S e r v e r   2 0 0 8 W i n d o w s   7 E t e r n a l R o m a n c e W i n d o w s   X P W i n d o w s   S e r v e r   2 0 0 3 W i n d o w s   V i s t a 利 用 当 前 用 户 的   W i n d o w s   T o k e n （ 来 自 上 面 的 “ 恢 复 用 户 凭 证 ” 部 分 ） ， 在 联 网 的 主 机 上   P s E x e c   被 用 于 运 行 以 下 命 令 （ 其 中   w . x . y . z   是   I P   地 址 ） 来 安 装 恶 意 软 件 。 C : W I N D O W S d l l h o s t . d a t   w . x . y . z   - a c c e p t e u l a   - s   - d C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2 . e x e C : W i n d o w s p e r f c . d a t , # 1 利 用 当 前 用 户 的 用 户 名 和 密 码 ( 作 为 用 户 名 和 密 码 ) ， 从 上 面 的 “ 恢 复 用 户 凭 证 ” 部 分 检 索 ， W M I   被 用 于 执 行 以 下 命 令 实 现 相 同 功 能 。   W b e m w m i c . e x e   / n o d e : " w . x . y . z "   / u s e r : " u s e r n a m e "   / p a s s w o r d : " p a s s w o r d "   " p r o c e s s   c a l l   c r e a t e   " C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2 . e x e   " C : W i n d o w s p e r f c . d a t "   # 1 " 一 旦 危 害 系 统 成 功 ， 恶 意 软 件 将 使 用   2 0 4 8   位   R S A   加 密 主 机 上 的 文 件 。 此 外 ， 恶 意 软 件 使 用 以 下 命 令 清 理 被 感 染 主 机 上 的 活 动 日 志 ： w e v t u t i l   c l   S e t u p   &   w e v t u t i l   c l   S y s t e m   &   w e v t u t i l   c l   S e c u r i t y   &   w e v t u t i l   c l   A p p l i c a t i o n   &   f s u t i l   u s n   d e l e t e j o u r n a l   / D   % c 重 启   M B R   被 重 写 的 系 统 时 ， 会 看 到 此 消 息 。
图 ： 被   N y e t y a   入 侵 的 系 统 的 截 屏 。 规 避 和 预 防 客 户 可 以 有 几 种 方 式 缓 解 并 防 止   N y e t y a   影 响 您 的 环 境 。 首 先 ， 我 们 强 烈 建 议 尚 未 应 用   M S 1 7 - 0 1 0   访 问 的 客 户 立 即 执 行 。 鉴 于 漏 洞 的 严 重 程 度 和 利 用 它 的 可 用 工 具 的 广 泛 度 ， 明 智 的 作 法 是 进 行 漏 洞 修 补 。 确 保 您 的 系 统 部 署 了 防 恶 意 软 件 ， 可 以 检 测 和 封 锁 已 知 的 恶 意 可 执 行 文 件 的 实 施 。 执 行 灾 难 恢 复 计 划 包 括 备 份 和 存 储 离 线 备 份 主 机 的 数 据 。 攻 击 者 经 常 将 备 份 机 制 作 为 攻 击 目 标 ， 以 降 低 用 户 在 不 支 付 赎 金 的 情 况 下 恢 复 文 件 的 可 能 性 。 如 果 可 能 ， 在 网 络 上 禁 用   S M B v 1   并 移 动 到 更 新 版 本 的   S M B 。 （ S M B v 2   使 用   M i c r o s o f t   V i s t a   引 入 ） 由 于   N y e t y a   尝 试 在 被 感 染 的 主 机 上 重 写   M B R ， 思 科 T a l o s   使 用 M B R F i l t e r   进 行 了 测 试 ， 以 防 止 允 许 系 统   M B R   进 行 任 何 更 改 。 此 测 试 已 经 得 到 了 成 功 证 实 ， 并 且 主 机   M B R   保 持 良 好 状 态 。 对 于 可 以 执 行 此 操 作 的 用 户 和 企 业 ， 我 们 建 议 使 用   M B R F i l t e r 。 注 意   M B R F i l t e r   是   思 科 T a l o s 提 供 的 开 源 项 目 ， 不 提 供 保 修 或 保 证 。 防 护 防 护 思 科 客 户 可 以 通 过 以 下 产 品 和 服 务 对   N y e t y a   进 行 防 护 ：
高 级 恶 意 软 件 防 护   ( A M P )   解 决 方 案 可 以 有 效 防 止 执 行 威 胁 发 起 者 使 用 的 恶 意 软 件 。 网 络 安 全 设 备 （ 例 如   N G F W 、 N G I P S   和   M e r a k i   M X ） 可 以 检 测 与 此 威 胁 相 关 的 恶 意 活 动 。 A M P   T h r e a t   G r i d   可 帮 助 识 别 恶 意 二 进 制 文 件 ， 使 所 有 思 科 安 全 产 品 都 有 内 置 保 护 措 施 。 目 前 还 没 识 别 出 邮 件 和   W e b   是 攻 击 源 头 。 此 外 ， 目 前 还 没 有 与 此 恶 意 软 件 相 关 的 已 知   C 2   元 素 。 如 果 该 恶 意 软 件 在 您 网 络 的 这 些 系 统 之 间 传 输 ， 将 会 受 到 阻 止 。 客 户 打 开 源   S n o r t   用 户 规 则 集 ， 可 以 在   S n o r t . o r g   上 下 载   S n o r t . o r g   出 售 的 最 新 规 则 包 ， 保 持 最 新 状 态 。 N G I P S / S n o r t   规 则 规 则 以 下   N G I P S / S n o r t   规 则 可 以 检 测 此 威 胁 ： 4 2 9 4 4   -   O S - W I N D O W S   M i c r o s o f t   W i n d o w s   S M B   r e m o t e   c o d e   e x e c u t i o n   a t t e m p t 4 2 3 4 0   -   O S - W I N D O W S   M i c r o s o f t   W i n d o w s   S M B   a n o n y m o u s   s e s s i o n   I P C   s h a r e   a c c e s s   a t t e m p t 4 1 9 8 4   -   O S - W I N D O W S   M i c r o s o f t   W i n d o w s   S M B v 1   i d e n t i c a l   M I D   a n d   F I D   t y p e   c o n f u s i o n   a t t e m p t 以 下   N G I P S / S n o r t   规 则 提 供 感 染 流 量 的 检 测 告 警 ： 5 7 1 8   -   O S - W I N D O W S   M i c r o s o f t   W i n d o w s   S M B - D S   T r a n s   u n i c o d e   M a x   P a r a m / C o u n t   O S - W I N D O W S   a t t e m p t 1 9 1 7   -   I N D I C A T O R - S C A N   U P n P   s e r v i c e   d i s c o v e r   a t t e m p t 5 7 3 0   -   O S - W I N D O W S   M i c r o s o f t   W i n d o w s   S M B - D S   T r a n s   M a x   P a r a m   O S - W I N D O W S   a t t e m p t 2 6 3 8 5   -   F I L E - E X E C U T A B L E   M i c r o s o f t   W i n d o w s   e x e c u t a b l e   f i l e   s a v e   o n t o   S M B   s h a r e   a t t e m p t 4 3 3 7 0   -   N E T B I O S   D C E R P C   p o s s i b l e   w m i   r e m o t e   p r o c e s s   l a u n c h A M P   覆 盖 范 围 覆 盖 范 围 W 3 2 . R a n s o m w a r e . N y e t y a . T a l o s T h r e a t   G r i d
T h r e a t   G r i d   能 够 检 测 与   N y e t y a   恶 意 行 为 相 关 的 恶 意 软 件 样 本 。 危 害 表 现   ( I O C ) A M P   覆 盖 范 围 覆 盖 范 围 W 3 2 . R a n s o m w a r e . N y e t y a . T a l o s S H A 2 5 6 0 2 7 c c 4 5 0 e f 5 f 8 c 5 f 6 5 3 3 2 9 6 4 1 e c 1 f e d 9 1 f 6 9 4 e 0 d 2 2 9 9 2 8 9 6 3 b 3 0 f 6 b 0 d 7 d 3 a 7 4 5 e a e 9 7 7 1 e 2 e e b 7 e a 3 c 6 0 5 9 4 8 5 d a 3 9 e 7 7 b 8 c 0 c 3 6 9 2 3 2 f 0 1 3 3 4 9 5 4 f b a c 1 c 1 8 6 c 9 9 8   ( p a s s w o r d   s t e a l e r ) 思 科 勒 索 软 件 防 护 促 销 包 发 布 思 科 勒 索 软 件 防 护 促 销 包 发 布 为 了 更 好 的 帮 助 各 行 业 用 户 应 对 后 续 可 能 发 生 的 勒 索 软 件 攻 击 变 种 和 升 级 危 机 ， 思 科 大 中 国 区 安 全 部 门 在 中 国 大 陆 推 出 了 勒 索 软 件 防 护   S t a r t e r   b u n d l e ， 整 合 了 目 前 思 科 安 全 ， 整 合 了 目 前 思 科 安 全   F i r e p o w e r   2 1 1 0 、 邮 件 安 全 设 备 、 邮 件 安 全 设 备   C 1 9 0 、 、 A M P   高 级 恶 意 软 件 防 护 等 产 品 ， 从 高 级 恶 意 软 件 防 护 等 产 品 ， 从   W e b   和 和   E m a i l   这 这 两 个 勒 索 软 件 最 重 要 的 传 播 途 径 进 行 全 面 防 护 。 两 个 勒 索 软 件 最 重 要 的 传 播 途 径 进 行 全 面 防 护 。 在 此 在 此   S t a r t e r   B u n d l e   中 中 ,   必 选 组 件 部 分 ： 必 选 组 件 部 分 ： F i r e p o w e r   2 1 1 0   - - 在 互 联 网 出 口 检 测 并 阻 挡 恶 意 勒 索 软 件 的 进 入   邮 件 安 全 网 关 C 1 9 0   - - 检 测 并 阻 挡 恶 意 勒 索 软 件 通 过 邮 件 的 方 式 进 入 网 络   A M P   e n d   p o i n t - - 安 装 在 用 户 的 终 端 的 软 件 ，   阻 挡 勒 索 软 件 的 恶 意 行 为   在 此 在 此 S t a r t e r   B u n d l e 中 中 ,   选 配 组 件 部 分 选 配 组 件 部 分 ： S t e a l t h w a t c h - - 快 速 发 现 网 络 异 常 ， 定 位 受 感 染 的 主 机   高 级 安 全 服 务 - - 提 供 远 程 漏 洞 扫 描 和 钓 鱼 软 件 模 拟 攻 击 测 试 的 高 级 服 务   思 科 思 科 T a l o s   简 介 简 介 思 科 T a l o s   团 队 由 业 界 领 先 的 网 络 安 全 专 家 组 成 ， 他 们 分 析 评 估 黑 客 活 动 ， 入 侵 企 图 ， 恶 意 软 件 以 及 漏 洞 的 最 新 趋 势 。 包 括   C l a m A V   团 队 和 一 些 标 准 的 安 全 工 具 书 的 作 者 中 最 知 名 的 安 全 专 家 ， 都 是 思 科   思 科 T a l o s   的 成 员 。 这 个 团 队 同 时 得 到 了   S n o r t 、 C l a m A V 、 S e n d e r b a s e . o r g   和
S p a m c o p . n e t   社 区 的 庞 大 资 源 支 持 ， 使 得 它 成 为 网 络 安 全 行 业 最 大 的 安 全 研 究 团 队 ， 也 为 思 科 的 安 全 研 究 和 安 全 产 品 服 务 提 供 了 强 大 的 后 盾 支 持 。 如 果 您 想 详 细 了 解 思 科 的   S t a r t e r   B u n d l e   详 细 信 息 和 下 单 流 程 ， 请 点 击   “ 阅 读 原 文 阅 读 原 文 ”   ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理