Petya勒索軟體變種Nyetya全球爆發，思科Talos率先響應

自2017年5月份經歷勒索軟體WannaCry的大規模爆發後，思科Talos團隊在6月27日發現了最新的勒索軟體變種，暫命名為Nyetya。目前已經在多個國家發現了這個勒索軟體的感染事件，思科Talos團隊正在積極分析並不斷更新最新的防護信息。

勒索軟體Nyetya概述

基於新勒索軟體變種的樣本分析顯示，勒索軟體藉助了之前被多次利用的永恆之藍（EternalBlue）攻擊工具和Windows系統的WMI進行傳播。與之前出現的WannaCry不同，此次的變種中沒有包含外部掃描模塊，而是利用了psexec管理工具在內網進行傳播。

目前還沒有完全確定該勒索軟體的傳播源頭和路線，基於目前的分析，我們認為這個勒索軟體的傳播和感染，很可能與烏克蘭的一款被稱為MeDoc的會計管理軟體的升級更新系統有關。思科Talos還在持續分析該勒索軟體的傳播源頭。

思科Talos在今年4月份就發布了保護針對MS17-010攻擊的Snort規則，對於此次發現的變種Talos已經將勒索軟體的變種加入到了AMP（Advanced Malware Protection）的黑名單列表中。

勒索軟體Nyetya的主要功能

思科Talos在被勒索軟體感染的系統上，發現了一個名為Perfc.dat的文件，該文件的功能是進一步感染其他系統，它包含了一個還未被命名的模塊，暫命名為#1，其功能是通過Windows API AdjustTokenPrivileges獲取當前賬號的管理員許可權，一旦成功，該勒索軟體將重寫磁碟的啟動分區記錄MBR（Master Boot Record）。無論MBR重寫成功與否，在完成感染一小時後，都將自動重啟系統。

在勒索軟體散播過程中，利用了NetServerEnum遍歷所有可見的主機，然後掃描所有開放了TCP 139埠的主機，並將這些主機加入到易感染主機列表中。

一旦主機被感染後，勒索軟體會使用以下三種方式進行傳播：

EternalBlue –永恆之藍，與WannCry相同的入侵方式。

Psexec – Windows系統自帶的管理工具。

WMI - Windows Management Instrumentation，Windows系統自帶的組件。

以上方式被用于勒索軟體安裝和運行perfc.bat程序，進一步感染其他內網主機。

利用當前用戶的Window Token信息，在被感染的主機上psexec被用於運行下列指令來安裝勒索軟體（Talos還在分析獲得Window Token的方式）：

利用當前賬號的用戶名和密碼信息，WMI被用於執行下面命令，實現上述相同的功能（Talos還在分析獲得用戶的憑證信息的途徑）：

思科發布最新防護規則

目前思科已經能夠提供對該勒索軟體防護的產品包括：

思科NGIPS/Snort Rules提供了下列Snort規則檢測該勒索軟體：

42944 - OS-WINDOWS Microsoft Windows SMB remote code execution attempt

42340 - OS-WINDOWS Microsoft Windows SMB anonymous session IPC shareaccess attempt

下列NGIPS/Snort Rules提供感染流量的檢測告警：

5718 - OS-WINDOWS Microsoft Windows SMB-DS Trans unicode Max Param/CountOS-WINDOWS attempt

1917 - INDICATOR-SCAN UPnP service discover attempt

42231 - FILE-OFFICE RTF url moniker COM file download attempt

?5730 - OS-WINDOWS Microsoft Windows SMB-DS Trans Max Param OS-WINDOWSattempt

AMP發布了感染指數告警：

W32.Ransomware.Nyetya.Talos

SHA256哈希值：

思科勒索軟體防護促銷包發布

為了更好地幫助各行業用戶應對後續可能發生的勒索軟體攻擊變種和升級危機，思科大中華區安全部門在中國大陸推出了勒索軟體防護Starter Bundle，整合了目前思科安全Firepower 2110、郵件安全設備C190、AMP高級惡意軟體防護等產品，從Web和Email這兩個勒索軟體最重要的傳播途徑進行全面防護。

在此Starter Bundle中，必選組件部分包括：

Firepower 2110 --在互聯網出口檢測並阻擋惡意勒索軟體的進入

?郵件安全網關C190 --檢測並阻擋惡意勒索軟體通過郵件的方式進入網路

AMP End Point--安裝在用戶的終端的軟體，阻擋勒索軟體的惡意行為

在此Starter Bundle中，選配組件部分包括：

Stealthwatch--快速發現網路異常，定位受感染的主機

高級安全服務--提供遠程漏洞掃描和釣魚軟體模擬攻擊測試的高級服務

思科Talos團隊介紹：

思科Talos團隊由業界領先的網路安全專家組成，他們分析評估黑客活動、入侵企圖、惡意軟體以及漏洞的最新趨勢。ClamAV團隊和一些標準的安全工具書的作者中最知名的安全專家，都是思科Talos的成員。該團隊的專長涵蓋軟體開發、逆向工程、漏洞分析、惡意軟體的調查和情報收集等。思科Talos團隊同時也負責維護Snort.org，ClamAV，SenderBase.org和SpamCop中的官方規則集，同時得到了社區的龐大資源支持，使得它成為網路安全行業最大的安全研究團隊。思科Talos作為思科安全情報的主要發掘提供團隊，為思科的安全研究和安全產品服務提供了強大的後盾支持，幫助思科的安全解決方案阻擋最新最複雜的攻擊。

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！