Petya勒索軟件變種Nyetya全球爆發(fā)、思科Talos率先響應

　　今天，一個(gè)新的惡意軟件版本已經(jīng)浮出水面，這與Petya不同，人們已經(jīng)通過(guò)Petrwrap和GoldenEye等各種名稱(chēng)提到了它。Talos正在將這種新的惡意軟件變種識別為Nyetya。該樣本利用EternalBlue，EternalRomance，WMI和PsExec在受影響的網(wǎng)絡(luò )中進(jìn)行橫向移動(dòng)。此行為稍后在“惡意軟件功能”下的博客中詳細介紹。與WannaCry不同，Nyetya似乎不包含外部掃描組件。

　　識別初始載體已被證明更具挑戰性。電子郵件向量的早期報告無(wú)法確認。基于觀(guān)察到的野外行為，缺乏一個(gè)已知的，可行的外部擴散機制和其他研究，我們認為有些感染可能與烏克蘭稅務(wù)會(huì )計軟件MeDoc的軟件更新系統有關(guān)。Talos繼續研究這種惡意軟件的初始向量。

　　與所有的贖金一樣，Talos不建議支付贖金。使用這個(gè)特定的贖金軟件，應該注意的是，用于支付驗證和解密密鑰共享的相關(guān)郵箱已經(jīng)被posteo.de網(wǎng)站關(guān)閉了。這使得任何成功的付款無(wú)效 - 這個(gè)攻擊者沒(méi)有可用的通信方法用于驗證受害者的付款或一旦收到贖金付款后分發(fā)解密密鑰。惡意軟件還沒(méi)有使用直接連接命令和遠程解鎖控制的方法。Nyetya不是一塊贖金（這意味著(zhù)你通過(guò)支付贖金得到你的數據），更多的是一個(gè)“擦除”系統，用于簡(jiǎn)單地擦除系統。

　　負責傳播惡意軟件的Perfc.dat在其資源部分包含一個(gè)嵌入式可執行文件。可執行文件作為臨時(shí)文件放在用戶(hù)的％TEMP％文件夾中，并使用命名管道參數（包含GUID）運行。主要可執行文件使用這個(gè)命名管道與刪除的可執行文件通信 例如：

　　丟棄的。tmp可執行文件似乎基于Mimikatz，這是一種流行的開(kāi)源工具，用于使用幾種不同的技術(shù)從計算機內存中恢復用戶(hù)憑據。但是，Talos已經(jīng)確認可執行文件不是Mimikatz工具。

　　然后，恢復的憑據用于使用WMIC和PsExec在遠程系統上啟動(dòng)惡意軟件。例如：

　　Perfc.dat包含進(jìn)一步破壞系統所需的功能，并包含一個(gè)名為＃1的未命名導出功能。該庫嘗試通過(guò)Windows API AdjustTokenPrivileges為當前用戶(hù)獲取管理員權限（SeShutdowPrivilege和SeDebugPrivilege）。如果成功，Nyetya將覆蓋Windows中稱(chēng)為PhysicalDrive 0的磁盤(pán)驅動(dòng)器上的主引導記錄（MBR）。無(wú)論惡意軟件是否成功覆蓋MBR，然后將繼續通過(guò)schtasks創(chuàng )建一個(gè)計劃任務(wù)，以在感染后一個(gè)小時(shí)重啟系統。

　　作為傳播過(guò)程的一部分，惡意軟件通過(guò)NetServerEnum API調用枚舉網(wǎng)絡(luò )上的所有可見(jiàn)機器，然后掃描打開(kāi)的TCP 139端口。這樣做是為了編譯暴露此端口的設備列表，并可能容易受到影響。

　　Nyetya有幾種機制，一旦設備被感染就被用來(lái)傳播：

　　對于尚未使用MS17-010的系統，EternalBlue和EternalRomance漏洞利用來(lái)破壞系統。針對受害者系統發(fā)起的漏洞取決于預期目標的操作系統。

　　PsExec用于使用當前用戶(hù)的Windows令牌執行以下指令（其中wxyz是IP地址）（從“恢復用戶(hù)證書(shū)”部分）部分，以在聯(lián)網(wǎng)的設備上安裝惡意軟件。

　　WMI用于執行以下命令，執行與上述相同的功能，但使用當前用戶(hù)的用戶(hù)名和密碼（作為用戶(hù)名和密碼），從上述“恢復用戶(hù)憑證”部分檢索。

　　一旦系統成功受損，惡意軟件會(huì )使用2048位RSA加密來(lái)加密主機上的文件。此外，惡意軟件使用以下命令清除受感染設備上的事件日志：

　　MBR覆蓋的系統在重新啟動(dòng)時(shí)會(huì )看到此消息。

　　由于Nyetya試圖在受感染的機器上覆蓋MBR，Talos使用MBRFilter進(jìn)行測試，以防止系統MBR允許進(jìn)行任何更改。該測試證明是成功的，并且機器MBR在良好狀態(tài)下保持完好。對于可以這樣做的用戶(hù)或企業(yè)，我們建議使用MBRFilter。請注意，MBRFilter是Talos的開(kāi)源項目，不提供任何保證或擔保。

　　Cisco客戶(hù)通過(guò)以下產(chǎn)品和服務(wù)受到Nyetya的保護。

　　高級惡意軟件防護（AMP）非常適合防止這些威脅演員使用的惡意軟件的執行。

　　諸如NGFW，NGIPS和Meraki MX等網(wǎng)絡(luò )安全設備可以檢測與此威脅相關(guān)的惡意活動(dòng)。

　　AMP Threat Grid可幫助識別惡意二進(jìn)制代碼，并對所有Cisco Security產(chǎn)品構建保護。

　　電子郵件和網(wǎng)絡(luò )目前還沒(méi)有被識別為攻擊媒介。此外，目前還沒(méi)有與此惡意軟件相關(guān)的已知C2元素。惡意軟件（如果通過(guò)網(wǎng)絡(luò )上的這些系統傳輸）將被阻止。

　　NGIPS / Snort規則

　　以下NGIPS / Snort規則檢測此威脅：

　　以下NGIPS / Snort規則也是感染流量的指標：

　　威脅網(wǎng)格能夠檢測與Nyetya相關(guān)的惡意軟件樣本為惡意軟件。