搜索

[9973] 2016-04-03_PETYA勒索软件：可加密整个硬盘，锁定用户计算机

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2016-04-03_PETYA勒索软件：可加密整个硬盘，锁定用户计算机 P E T Y A 勒 索 软 件 ： 可 加 密 整 个 硬 盘 ， 锁 定 用 户 计 算 机 v u l _ w i s h   F r e e B u f   2 0 1 6 - 0 4 - 0 3 近 日 ， 安 全 专 家 发 现 了 一 款 新 型 的 勒 索 恶 意 软 件 近 日 ， 安 全 专 家 发 现 了 一 款 新 型 的 勒 索 恶 意 软 件 — — P e t y a ， 它 可 造 成 计 算 机 蓝 屏 死 机 （ ， 它 可 造 成 计 算 机 蓝 屏 死 机 （ B S o D ） ， 并 在 操 作 系 统 加 ） ， 并 在 操 作 系 统 加 载 前 ， 将 常 规 的 载 前 ， 将 常 规 的 W i n d o w s 图 标 替 换 成 闪 烁 的 、 由 红 色 和 白 色 组 成 的 图 像 ， 如 下 图 ： 图 标 替 换 成 闪 烁 的 、 由 红 色 和 白 色 组 成 的 图 像 ， 如 下 图 ： P e t y a 不 仅 可 以 覆 盖 受 影 响 系 统 的 主 引 导 记 录 （ M B R ） ， 锁 定 用 户 ， 而 且 它 是 通 过 合 法 的 云 存 储 服 务 感 染 用 户 的 （ 例 如 ， 通 过 D r o p b o x ） 。 研 究 人 员 在 分 析 时 发 现 ， 这 虽 然 不 是 恶 意 软 件 第 一 次 通 过 滥 用 合 法 服 务 达 到 它 的 目 的 ， 但 却 是 第 一 次 导 致 c r y p t o - r a n s o m w a r e 感 染 。 这 种 方 法 偏 离 了 典 型 的 感 染 链 ， 它 将 恶 意 文 件 附 加 到 电 子 邮 件 或 托 管 在 网 站 中 ， 通 过 开 发 工 具 包 传 播 。 感 染 程 序 感 染 程 序 P e t y a 大 多 数 使 用 电 子 邮 件 进 行 传 播 。 受 害 者 会 受 到 一 封 貌 似 来 自 外 部 工 作 申 请 人 员 的 业 务 相 关 的 邮 件 ， 其 中 包 含 一 个 D r o p b o x 存 储 位 置 的 超 链 接 ， 一 旦 受 害 者 点 击 链 接 ， 就 会 开 始 下 载 “ 申 请 人 的 简 历 ” 。 通 过 对 众 多 样 本 进 行 分 析 发 现 ， 链 接 指 向 的 D r o p b o x 文 件 夹 中 包 含 两 个 文 件 ： 一 个 伪 装 成 简 历 的 自 解 压 的 可 执 行 文 件 ， 和 一 张 申 请 人 的 照 片 。 深 度 挖 掘 发 现 ， 该 照 片 为 未 经 许 可 使 用 的 库 存 图 片 。 图 一   D r o p b o x 文 件 夹 中 的 内 容 当 然 ， 下 载 的 文 件 并 不 是 简 历 ， 而 是 一 个 自 解 压 的 可 执 行 文 件 ， 会 将 木 马 释 放 到 系 统 中 。 该 木 马 会 阻 止 病 毒 查 杀 工 具 对 P e t y a 的 检 测 。 感 染 感 染 “ 症 状 症 状 ” P e t y a 一 旦 感 染 系 统 ， 会 覆 盖 整 个 硬 盘 的 M B R ， 使 W i n d o w s 崩 溃 并 显 示 蓝 屏 ， 而 当 用 户 重 启 计 算 机 时 ， 已 修 改 的 M B R 会 阻 止 W i n d o w s 的 正 常 加 载 ， 而 是 显 示 一 个 A S C I I 骷 髅 图 像 和 提 示 ： 支 付 一 定 数 量 的 比 特 币 ， 否 则 将 失 去 文 件 和 计 算 机 的 访 问 权 限 。 另 外 ， 修 改 的 M B R 也 会 禁 用 S a f e   M o d e 模 式 的 重 启 。
接 下 来 会 显 示 用 户 操 作 的 指 导 说 明 ： 一 个 要 求 的 列 表 ， T o r   P r o j e c t 的 链 接 ， 如 何 进 入 支 付 页 面 和 私 有 解 密 密 钥 。 图 二   P E T Y A 的 解 密 和 支 付 说 明 通 过 查 看 其 专 业 设 计 的 T o r 网 站 发 现 ， 目 前 赎 金 价 格 为 0 . 9 9 比 特 币 （ B T C ） 或 U S $ 4 3 1 ， 如 果 错 过 了 屏 幕 显 示 的 截 止 日 期 ， 赎 金 价 格 将 会 翻 倍 。   图 三   P E T Y A 网 站 安 全 建 议 安 全 建 议 企 业 组 织 和 个 人 用 户 可 以 通 过 使 用 一 些 终 端 解 决 方 案 （ 如 企 业 组 织 和 个 人 用 户 可 以 通 过 使 用 一 些 终 端 解 决 方 案 （ 如 S m a r t   P r o t e c t i o n   S u i t e s ） 检 测 恶 意 的 文 件 或 邮 件 消 息 ， 阻 止 ） 检 测 恶 意 的 文 件 或 邮 件 消 息 ， 阻 止 所 有 相 关 的 恶 意 所 有 相 关 的 恶 意 U R L 。 。 另 外 ， 由 于 P E T Y A 发 现 时 间 比 较 短 ， 很 多 安 全 检 测 软 件 还 没 有 做 出 及 时 的 响 应 ， 这 就 需 要 用 户 在 查 看 邮 件 时 ， 仔 细 查 看 邮 件 内 容 ， 尤 其 是 匿 名 邮 件 ， 尽 量 避 免 点 击 邮 件 中 的 链 接 等 。 相 关 文 件 的 相 关 文 件 的 S H A 1 3 9 B 6 D 4 0 9 0 6 C 7 F 7 F 0 8 0 E 6 B E F A 9 3 3 2 4 D D D A D C B D 9 F A B 0 C 5 F A B 5 D 6 9 A F C C 7 F D 0 1 3 F D 7 A E F 2 0 6 6 0 B F 0 0 7 7 C 2
7 5 5 f 2 6 5 2 6 3 8 f 8 7 a b 5 1 7 c 6 0 8 a 3 6 3 c 4 a e f b 9 d d 6 a 5 a * 原 文 地 址 ： t r e n d m i c r o ， v u l _ w i s h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理