新加密勒索軟件全球爆發 比WannaCry更無孔不入難以預防

當大家好夢正甜的時候,網絡上又爆發新一輪的加密勒索攻擊,而且屬於全球性攻擊,規模和破壞力似乎和較早前的 WannaCry 屬於同一水平,在爆發的數個小時內,已經有數家位於不同國家的大型企業報告受到感染,而且情況有惡化的趨勢。

ExPetr / Petya 採用 EternalBlue 漏洞發動攻擊
由於仍屬爆發的初期,到底是新的加密勒索軟件還是 Petya 的變種(Petya.A、Petya.D或PetrWrap)仍然有待研究人員進一步分析,但是已經確定攻擊頗為複雜及涉及數個方向,而且採用經過修改的 EternalBlue 漏洞在企業的網絡內傳播。

病毒擴散方式
ExPetr / Petya 的獨特之處,是會收集用戶的權限然後向其他裝置傳播,當中使用了名為 Mimikatz 的工具,能夠從 Isass.exe 中盜取用戶的權限資料,然後把資料交給 PsExec 工具或 WMIC 去在網絡中繼續傳播。其他感染的途徒包括:

– 經修改的 EternalBlue 漏洞,同樣被 WannaCry 使用。
– EternalRomance 漏洞,透過 TCP port 445 遠端執行 Windows XP 至 Windows 2008 的漏洞。(已在MS17-010補丁中修復)
– 使用第三方軟件 MeDoc 攻擊更新機制

惡意程式會在感染後的 10 至 60 分鐘後重新啟動系統,只要系統重新啟動,便會開始加密 MFT 和 覆寫 MBR,改為加密勒索的訊息。

自創檔案停止病毒感染過程
有不少研究人員著手研究這次病毒爆發是否存在與 WannaCry 類似的 Killswitch,其中一位研究人員 Serper 就發現,ExPetr / Petya 會搜尋本機的檔案,如果發現「特定檔案」已經存在,便會停止惡意加密的流程,該發現及後被其他研究人員確定。因此,只要用戶自行在裝置上創建該「特定檔案」並設定成「唯讀」,便能誘騙病毒停止執行。用戶可以依照以下步驟操作:

1. 在「資料夾選項 > 檢視」內不要剔「隱藏已知檔案類型的副檔名

2. 完成以上步驟後,用戶便能看到檔案的副檔名,進入 C:\Windows 資料夾尋找名為 notepad.exe 的應用程式。

3. 按滑鼠右鍵選擇「複製」,然後再於相同資料夾入按滑鼠的右鍵「貼上」,這時候會出現提示訊息。

4. 按下「繼續」後會創建名為「notepad – 複製.exe」的新檔案,用滑鼠左鍵點選該新檔案,然後按下鍵盤的「F2」把檔案名稱改為「perfc」,然後按「是」確定更改檔案名稱。

5. 點選「perfc」檔案然後按滑鼠右鍵,選擇「內容」。

6. 在「一般」的下方選擇「唯讀」,然後點擊「套用」,再按「確定」離開。

 

總結:卡巴斯基用戶的自保對策
新加密勒索軟件的初期攻擊目標是烏克蘭、俄羅斯和西歐國家,現時卡巴斯基實驗室的產品透過 Kaspersky Security Network(KSN)偵測到該病毒,並建議用戶進行以下步驟:

1. 確定Kaspersky Security Network 和 System Watcher 功能已經開啟

2. 立即手動更新防毒軟件的資料庫,然後隔數小時後再更新一次。

3. 為加強防護,用戶可以使用 AppLocker 功能去關閉執行 perfc.dat 和 PSExec 工具。

4. 立即安裝所有 Windows 安全更新,尤其是堵塞 EternalBlue 漏洞的補丁。

支付贖款也無法解密
根據報導,德國的電郵供應商 Posteo 已經停止被黑客用作聯絡、確定比特幣交易和接收解密金鑰的電郵地址,這意味著即使用戶向黑客支付贖金,也無法為自己的檔案解密,而且支付贖金只會助長黑客的違法行為,實為不被建議的做法。

Comments are closed