从绿盟科技拿到了Petya勒索病毒变种分析报告Part1,该版本的报告中给出了petya变种的传染机制、文件结构及主要功能,据称相关检测防护方案及工具都在测试中。变种版本报告Part1见文末下载。
据称,早在1年多前,他们就曾捕获了Petya勒索病毒的早期版本,并做了详细的分析,这里将早期版本的分析内容也发出来供大家参考。早前版本的完整报告见文末下载。
Petya勒索病毒变种的变化
通过分析发现,此次样本可判定为petya病毒的升级版本,和之前版本的Petya的最大区别在于,此次的Petya勒索病毒最新变种,具有蠕虫传播的特征,会通过多种方式进行内网传播执行。
通过自带的密码窃取工具,盗取用户计算机上的登录凭据,用于文件共享复制传播,并使用PsExec或WMIC工具在远程计算机上执行。
通过使用SMB漏洞利用工具 EternalBlue 和 EternalRomance,在网络中复制传播执行。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=cc2eae7dddca7bcb7d7bc7278e086b3f/2008367adab44aed9053295ab91c8701a18bfb04.jpg)
另外,在MBR加密时使用了不同的加密key,同时此次样本使用了微软提供的API,使用AES-128加密算法对全磁盘指定格式文件进行了加密。加密重启后显示勒索软件的通知信息。
外网传播与感染
截止分析为止,当前此样本的感染情况如下图所示,可以看出此次受影响的最大的区域为乌克兰地区。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=b3d3754471cb0a4685228b315b62f63e/906adab44aed2e7334f411928d01a18b87d6fa04.jpg)
内网传播
勒索病毒通过恶意RTF文件进行钓鱼攻击。一旦执行后,其会解密出其资源中的4个文件用于后续内网传播。解密后的4个文件功能分别为:
- 1 64位系统中的密码内存窃取工具,类似Mimikatz
- 2 32位系统中的密码内存窃取工具,类似Mimikatz
- 3 Windows PsExec 工具
- 4 EternalBlue的数据包
勒索病毒会根据系统的运行环境,32位还是64位系统,将对应版本的密码内存窃取工具,释放到系统临时目录下。
执行释放的密码内存窃取工具,从用户活跃的session中窃取用户密码,然后通过创建管道 “\\.\pipe\{ 随机的CLSID }”进行进程间通信,读取窃取的用户密码。
一旦有了密码,通过网络共享,将其复制到内网其他主机上。详细分析见文末Part1报告下载。
磁盘加密
样本使用“永恒之蓝”漏洞,通过445端口传播dll模块文件,此文件能够实现勒索软件功能。此勒索软件不同于一般的勒索软件,不仅加密了指定格式的文件,而且修改了MBR引导区段的内容,使PC机在重启之后,用伪造的检查磁盘界面诱导用户等待文件加密完成,加密完成之后显示交付赎金的具体通知信息。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=17ead9450046f21fc9345e5bc6256b31/7ca44aed2e738bd4733c258fab8b87d6277ff904.jpg)
样本在执行MBR加密以及通过网络传播的相关行为之前,会通过hash值计算是否要执行相关行为,因此部分PC机可能出现未进行MBR加密或无网络的行为。
执行流程概要图
![](http://imgsrc.baidu.com/forum/w%3D580/sign=baeba8c8f81fbe091c5ec31c5b610c30/ecfd2e738bd4b31c462103058dd6277f9e2ff804.jpg)
加密部分具体解析见文末Part1报告下载。
Petya勒索病毒变种防护方案手动防护
及时更新终端安全防护软件,并更新到最新。
及时更新Windows安全补丁,重点检查MS17-010补丁安装情况。
Office RTF 漏洞(CVE-2017-0199)补丁地址
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199
MS17-010 SMB漏洞补丁地址
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
及时告知终端用户尽量避免打开未知邮件中的链接或附件,谨慎从网络下载各类可执行程序。
在非业务所需的机器上,可以禁止WMIC和远程文件共享功能。
安全产品防护
绿盟威胁分析系统(TAC)检测通过网页、邮件或文件共享方式试图进入内部网络的恶意软件,是专门检测邮件高级威胁的网络沙箱类安全产品。
该产品主要针对包含未知威胁代码的鱼叉APT攻击和勒索软件两大类高级邮件威胁。
企业网络管理员可使用绿盟入侵防御系统NIPS对网络中的攻击报文和Doublepulsar后门连接报文进行阻断,防范病毒进一步扩散,如下图:
![](http://imgsrc.baidu.com/forum/w%3D580/sign=313f1c876163f6241c5d390bb745eb32/2dc4b31c8701a18b44f685f1942f07082838fe04.jpg)
Petya勒索病毒变种分析报告
点击这里下载Part1(主要是外网传播及加密部分的分析)
![](http://imgsrc.baidu.com/forum/w%3D580/sign=7a29c9edfc246b607b0eb27cdbf91a35/150c8701a18b87d6e35f3ca10d0828381f30fd04.jpg)
点击这里下载Part2(主要是内网传播及防护方案的分析)
![](http://imgsrc.baidu.com/forum/w%3D580/sign=ae4354aa61600c33f079dec02a4d5134/2111a18b87d6277f5b0fa58622381f30e924fc04.jpg)
早期版本的Petya勒索病毒分析报告
点击这里下载
![](http://imgsrc.baidu.com/forum/w%3D580/sign=3004c9ee063387449cc52f74610ed937/079b87d6277f9e2fc1288ab61530e924b899f304.jpg)
本文由:绿盟科技 发布,版权归属于原作者。
如果转载,请注明出处及本文链接:
http://toutiao.secjia.com/petya-ransomware-analysis
如果此文章侵权,请留言,我们进行删除。
【下载】Petya勒索病毒变种分析报告Part2 手动防护及产品防护
http://www.bsahack.net/forum.php?mod=viewthread&tid=224&fromuid=1
(出处: 血影网络安全论坛-漏洞库-网络安全培训-渗透测试培训)
据称,早在1年多前,他们就曾捕获了Petya勒索病毒的早期版本,并做了详细的分析,这里将早期版本的分析内容也发出来供大家参考。早前版本的完整报告见文末下载。
Petya勒索病毒变种的变化
通过分析发现,此次样本可判定为petya病毒的升级版本,和之前版本的Petya的最大区别在于,此次的Petya勒索病毒最新变种,具有蠕虫传播的特征,会通过多种方式进行内网传播执行。
通过自带的密码窃取工具,盗取用户计算机上的登录凭据,用于文件共享复制传播,并使用PsExec或WMIC工具在远程计算机上执行。
通过使用SMB漏洞利用工具 EternalBlue 和 EternalRomance,在网络中复制传播执行。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=cc2eae7dddca7bcb7d7bc7278e086b3f/2008367adab44aed9053295ab91c8701a18bfb04.jpg)
另外,在MBR加密时使用了不同的加密key,同时此次样本使用了微软提供的API,使用AES-128加密算法对全磁盘指定格式文件进行了加密。加密重启后显示勒索软件的通知信息。
外网传播与感染
截止分析为止,当前此样本的感染情况如下图所示,可以看出此次受影响的最大的区域为乌克兰地区。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=b3d3754471cb0a4685228b315b62f63e/906adab44aed2e7334f411928d01a18b87d6fa04.jpg)
内网传播
勒索病毒通过恶意RTF文件进行钓鱼攻击。一旦执行后,其会解密出其资源中的4个文件用于后续内网传播。解密后的4个文件功能分别为:
- 1 64位系统中的密码内存窃取工具,类似Mimikatz
- 2 32位系统中的密码内存窃取工具,类似Mimikatz
- 3 Windows PsExec 工具
- 4 EternalBlue的数据包
勒索病毒会根据系统的运行环境,32位还是64位系统,将对应版本的密码内存窃取工具,释放到系统临时目录下。
执行释放的密码内存窃取工具,从用户活跃的session中窃取用户密码,然后通过创建管道 “\\.\pipe\{ 随机的CLSID }”进行进程间通信,读取窃取的用户密码。
一旦有了密码,通过网络共享,将其复制到内网其他主机上。详细分析见文末Part1报告下载。
磁盘加密
样本使用“永恒之蓝”漏洞,通过445端口传播dll模块文件,此文件能够实现勒索软件功能。此勒索软件不同于一般的勒索软件,不仅加密了指定格式的文件,而且修改了MBR引导区段的内容,使PC机在重启之后,用伪造的检查磁盘界面诱导用户等待文件加密完成,加密完成之后显示交付赎金的具体通知信息。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=17ead9450046f21fc9345e5bc6256b31/7ca44aed2e738bd4733c258fab8b87d6277ff904.jpg)
样本在执行MBR加密以及通过网络传播的相关行为之前,会通过hash值计算是否要执行相关行为,因此部分PC机可能出现未进行MBR加密或无网络的行为。
执行流程概要图
![](http://imgsrc.baidu.com/forum/w%3D580/sign=baeba8c8f81fbe091c5ec31c5b610c30/ecfd2e738bd4b31c462103058dd6277f9e2ff804.jpg)
加密部分具体解析见文末Part1报告下载。
Petya勒索病毒变种防护方案手动防护
及时更新终端安全防护软件,并更新到最新。
及时更新Windows安全补丁,重点检查MS17-010补丁安装情况。
Office RTF 漏洞(CVE-2017-0199)补丁地址
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0199
MS17-010 SMB漏洞补丁地址
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
及时告知终端用户尽量避免打开未知邮件中的链接或附件,谨慎从网络下载各类可执行程序。
在非业务所需的机器上,可以禁止WMIC和远程文件共享功能。
安全产品防护
绿盟威胁分析系统(TAC)检测通过网页、邮件或文件共享方式试图进入内部网络的恶意软件,是专门检测邮件高级威胁的网络沙箱类安全产品。
该产品主要针对包含未知威胁代码的鱼叉APT攻击和勒索软件两大类高级邮件威胁。
![](http://imgsrc.baidu.com/forum/w%3D580/sign=c8665091b4096b6381195e583c328733/88638bd4b31c870163ab25582d7f9e2f0708ff04.jpg)
![](http://imgsrc.baidu.com/forum/w%3D580/sign=313f1c876163f6241c5d390bb745eb32/2dc4b31c8701a18b44f685f1942f07082838fe04.jpg)
Petya勒索病毒变种分析报告
点击这里下载Part1(主要是外网传播及加密部分的分析)
![](http://imgsrc.baidu.com/forum/w%3D580/sign=7a29c9edfc246b607b0eb27cdbf91a35/150c8701a18b87d6e35f3ca10d0828381f30fd04.jpg)
点击这里下载Part2(主要是内网传播及防护方案的分析)
![](http://imgsrc.baidu.com/forum/w%3D580/sign=ae4354aa61600c33f079dec02a4d5134/2111a18b87d6277f5b0fa58622381f30e924fc04.jpg)
早期版本的Petya勒索病毒分析报告
点击这里下载
![](http://imgsrc.baidu.com/forum/w%3D580/sign=3004c9ee063387449cc52f74610ed937/079b87d6277f9e2fc1288ab61530e924b899f304.jpg)
本文由:绿盟科技 发布,版权归属于原作者。
如果转载,请注明出处及本文链接:
http://toutiao.secjia.com/petya-ransomware-analysis
如果此文章侵权,请留言,我们进行删除。
【下载】Petya勒索病毒变种分析报告Part2 手动防护及产品防护
http://www.bsahack.net/forum.php?mod=viewthread&tid=224&fromuid=1
(出处: 血影网络安全论坛-漏洞库-网络安全培训-渗透测试培训)