Modul de operare Petya Ransomware / Wiper este vin vechi într-o nouă sticlă

Petya Ransomware / Wiper a creat haos în Europa, iar o minune a infecției a fost întâlnită pentru prima oară în Ucraina, Au fost compromise 12.500 de mașini. Cea mai gravă parte a fost că infecțiile s-au răspândit și în Belgia, Brazilia, India și, de asemenea, Statele Unite. Petya are capabilități de vierme care îi vor permite să se răspândească lateral în rețea. Microsoft a dat un ghid cu privire la modul în care va aborda Petya,

Petya Ransomware / Wiper

După răspândirea infecției inițiale, Microsoft are acum dovezi că câteva dintre infecțiile active ale ransomware-ului au fost observate pentru prima oară de la Procesul de actualizare MEDOC. Acest lucru a făcut un caz clar al atacurilor lanțului de aprovizionare software care a devenit destul de comun cu atacatorii, deoarece are nevoie de o apărare la un nivel foarte ridicat.

Imaginea de mai jos arată cum procesul Evit.exe de la MEDoc a executat următoarea comandă line, Interesant de similar vector a fost, de asemenea, menționat de către Poliția cibernetică Ucraina în lista publică de indicatori de compromis. Acestea fiind spuse, Petya este capabilă să

• să acționeze cu furtul acreditărilor și să utilizeze sesiunile active
• Transferarea fișierelor rău intenționate între mașini prin utilizarea serviciilor de partajare a fișierelor
• Abuzarea vulnerabilităților SMB într-un caz de mașini nefolosite

Mecanismul de mișcare laterală utilizând furtul de credite și uzurparea identității se întâmplă

Totul pornește de la lansarea pachetului Petya, care vine în ambele variante pe 32 de biți și 64 de biți. Deoarece utilizatorii se conectează, de obicei, cu mai multe conturi locale, există întotdeauna o șansă ca una dintre sesiunile active să fie deschisă pe mai multe mașini.

Odată terminat, Petya scanează rețeaua locală pentru conexiuni valide pe porturile tcp / 139 și tcp / 445. Apoi, în pasul următor, se solicită subrețea și pentru fiecare utilizator de subrețea tcp / 139 și tcp / 445. Dupa ce a primit un raspuns, malware-ul va copia binarul pe masina la distanta folosind functia de transfer de fisiere si acreditarile pe care le-a reusit sa le fure.

Psexex.exe este renuntat de Ransomware dintr-o resursa integrata. În următorul pas, acesta scanează rețeaua locală pentru acțiunile admin $ și apoi se replică în rețea. În afară de dumpingul de acreditare, malware-ul încearcă, de asemenea, să vă fure acreditările prin utilizarea funcției CredEnumerateW pentru a obține toate celelalte acreditări de utilizator din magazinul de acreditare.

Criptare

Malware-ul decide să cripteze sistemul în funcție de malware de nivel de privilegii de proces, și acest lucru se face prin utilizarea unui algoritm de hash bazat pe XOR care verifică valorile hash și îl folosește ca o excludere de comportament.

În pasul următor, Ransomware scrie la înregistrarea de boot master și apoi set sistemul de repornire. În plus, utilizează de asemenea funcțiile programate pentru a închide utilajul după 10 minute. Acum, Petya afișează un mesaj de eroare fals, urmat de un mesaj Ransom actual, după cum se arată mai jos.

Ransomware va încerca apoi să cripteze toate fișierele cu extensii diferite pe toate unitățile, cu excepția C: Windows. Cheia AES generată este pe unitate fixă, iar acest lucru devine exportat și utilizează cheia publică RSA integrată de 2048-biți a atacatorului, spune Microsoft.