Petya勒索病毒是什么(2)
Petya勒索病毒建议防护策略
1.不要轻易点击不明附件，尤其是rtf、doc等格式文件。
2.内网中存在使用相同账号、密码情况的机器请尽快修改密码，未开机的电脑请确认口令修改完毕、补丁安装完成后再进行开机操作。
3.更新操作系统补丁(MS)
补丁来源：https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
4.更新Microsoft Office/WordPad远程执行代码漏洞(CVE-2017-0199)
补丁来源：https://technet.microsoft.com/zh-cn/office/mt465751.aspx
5.禁用WMI服务
安装安全狗服务器安全相关产品并使用安全狗云安全服务可以抵御该安全风险。
三、病毒分析
根据目前的情况分析，本次病毒进行攻击的流程为
1.通过cve-2017-0199漏洞投放钓鱼邮件。
2.阅读钓鱼邮件后触发漏洞并释放病毒母体。
3.利用MS17-010漏洞，系统弱口令进行传播(具备一定的域内口令提取能力(类似mimikatz))
4.勒索模块会遍历除c:\windows目录外的其他目录及文件。并对指定后缀的文件内容进行加密。同时修改系统引导区，并添加定时任务，完成后会使用自带的wevtutil工具进行日志清理，在一段时间后强制关闭机器，再次开机将会收到勒索提示。
这个加密流程与2016年起出现的Petya勒索病毒的流程相似，twitter上也有安全人员确认了二者的相似关系。但是不同的是，之前的Petya病毒要求访问地址获取解密密钥，而此次爆发的病毒直接留下了一个Email邮箱作为联系方式。
友情提醒：请用户切勿点击来源不明的邮件附件，并且及时打补丁修复“永恒之蓝”漏洞
Petya勒索病毒事件分析
根据乌克兰CERT官方消息，邮件附件是本次病毒攻击的传播源头。病毒在运行之后，会枚举内网电脑并尝试使用SMB协议进行连接。同时病毒会修改系统引导区(MBR)，当电脑重启后，病毒会在操作系统运行之前先启动。
这次攻击是勒索病毒“必加”(Petya)的新变种。该变种疑似采用了邮件、下载器和蠕虫的组合传播方式。从推理分析来看，该病毒采用CVE-2017-0199漏洞的RTF格式附件进行邮件投放，之后释放Downloader来获取病毒母体，形成初始扩散节点，之后通过MS17-010(永恒之蓝)漏洞和系统弱口令进行传播。
同时根据初步分析，其可能具有感染域控制器后提取域内机器口令的能力，因此其对内网具有一定的穿透能力，对内网安全总体上比此前受到广泛关注的魔窟(WannaCry)有更大的威胁，而多种传播手段组合的模式必将成为勒索软件传播的常态模式。
目前为止国内暂无大面积感染迹象，安全狗将持续跟踪本次事件动态，及时将事件最新进展通知用户，确保用户不受勒索病毒影响。
Petya勒索病毒通过什么传播的
据Twitter爆料，乌克兰政府机构遭大规模攻击，其中乌克兰副的电脑均遭受攻击，目前已经确认该病毒为Petya勒索病毒。腾讯安全反病毒实验室旗下的哈勃分析系统对收集到的病毒样本进行了分析，并已确认病毒样本通过永恒之蓝传播。根据病毒的恶意行为，哈勃识别此病毒并判定为高度风险。
根据分析结果，病毒样本运行之后，会枚举内网中的电脑，并尝试在445等端口使用SMB协议进行连接。
深入分析发现，病毒连接时使用的是“永恒之蓝”(EternalBlue)漏洞，此漏洞在之前的WannaCry勒索病毒中也被使用，是造成WannaCry全球快速爆发的重要原因之一，此次Petya勒索病毒也借助此漏洞达到了快速传播的目的。
同时，病毒会修改系统的MBR引导扇区，当电脑重启时，病毒代码会在Windows操作系统之前接管电脑，执行加密等恶意操作。
电脑重启后，会显示一个伪装的界面，此界面实际上是病毒显示的，界面上假称正在进行磁盘扫描，实际上正在对磁盘数据进行加密操作。
当加密完成后，病毒才露出真正的嘴脸，要求受害者支付价值300美元的比特币之后，才会回复解密密钥。
这个加密流程与2016年起出现的Petya勒索病毒的流程相似，Twitter上也有安全人员确认了二者的相似关系。但是不同的是，之前的Petya病毒要求访问暗网地址获取解密密钥，而此次爆发的病毒直接留下了一个Email邮箱作为联系方式。
猜你感兴趣：
