^{<sub id="jgr5k"></sub>}

詳解讓烏克蘭總理都“哭泣”的勒索病毒，你到底要不要怕

本文作者：周翔

2017-06-28 11:29

導(dǎo)語：已經(jīng)有國內(nèi)企業(yè)中招。

北京時間 6 月 27 日晚間，歐洲遭到新一輪的未知病毒的沖擊，該病毒傳播方式與今年 5 月爆發(fā)的 WannaCry 病毒非常相似。

據(jù)雷鋒網(wǎng)宅客頻道了解，受影響最嚴(yán)重的國家是烏克蘭，而且已經(jīng)有國內(nèi)企業(yè)中招。此外，俄羅斯（俄羅斯石油公司 Rosneft）、西班牙、法國、英國（全球最大廣告公司 WPP ）、丹麥（航運(yùn)巨頭 AP Moller-Maersk）、印度、美國（律師事務(wù)所 DLA Piper）也受到不同程度的影響。

此前，國內(nèi)的安全公司已確認(rèn)該勒索病毒為 Petya 的變種，傳播方式與 WannaCry 類似，利用 EternalBlue（永恒之藍(lán)）和 OFFICE OLE 機(jī)制漏洞（CVE-2017-0199）進(jìn)行傳播。

不過，卡巴斯基實驗室的分析人員表示，這種最新的威脅并不是之前報道中所稱的是一種 Petya 勒索軟件的變種，而是一種之前從未見過的全新勒索軟件。盡管這種勒索軟件同 Petya 在字符串上有所相似，但功能卻完全不同，并將其命名為 ExPetr 。

傳播方式

360 首席安全工程師鄭文彬稱，此次最新爆發(fā)的病毒具備了全自動化的攻擊能力，即使電腦打齊補(bǔ)丁，也可能被內(nèi)網(wǎng)其他機(jī)器滲透感染。

根據(jù) 360 的威脅情報，有用戶收到帶有附件名為：“Order-20061017.doc“的郵件，該郵件附件為使用 CVE-2017-0199 漏洞的惡意文件，漏洞觸發(fā)后從“http ://french-cooking.com/myguy.exe”下載惡意程序執(zhí)行。外部威脅情報顯示，該勒索軟件就是由此惡意程序最早傳播。

據(jù)分析，病毒作者很可能入侵了烏克蘭的專用會計軟件 me-doc，來進(jìn)行最開始的傳播。他們將病毒程序偽裝成 me-doc 的升級程序給其用戶下發(fā)。

由于這是烏克蘭官方要求的報稅軟件，因此烏克蘭的大量基礎(chǔ)設(shè)施、政府、銀行、大型企業(yè)都受到攻擊，其他國家同烏克蘭有關(guān)聯(lián)的投資者和企業(yè)也收到攻擊，這展示了此次勒索病毒變種的一個針對性特征，針對有報稅需求的企業(yè)單位進(jìn)行攻擊也符合勒索病毒的牟利特點。

根據(jù) 360 安全中心監(jiān)測，此次國內(nèi)出現(xiàn)的勒索病毒新變種主要攻擊途徑是內(nèi)網(wǎng)滲透，也就是利用“管理員共享”功能攻擊內(nèi)網(wǎng)其他機(jī)器，相比已經(jīng)被廣泛重視的“永恒之藍(lán)”漏洞更具殺傷力。

技術(shù)原理

據(jù)阿里云安全專家介紹，勒索病毒通過 Windows 漏洞進(jìn)行傳播，同時會感染局域網(wǎng)中的其它電腦。電腦感染勒索病毒后，會被加密特定類型文件，導(dǎo)致電腦無法正常運(yùn)行。而這種勒索病毒在內(nèi)網(wǎng)系統(tǒng)中，主要通過主要通過 Windows 管理體系結(jié)構(gòu)（Microsoft Windows Management Instrumentation），和 PSEXEC（SMB 協(xié)議）進(jìn)行擴(kuò)散。

該病毒會加密磁盤主引導(dǎo)記錄（MBR），導(dǎo)致系統(tǒng)被鎖死無法正常啟動，然后在電腦屏幕上顯示勒索提示。如果未能成功破壞 MBR，病毒會進(jìn)一步加密文檔、視頻等磁盤文件。

阿里云在對病毒樣本進(jìn)行研究后發(fā)現(xiàn)，操作系統(tǒng)被感染后，重新啟動時會造成無法進(jìn)入系統(tǒng)。下圖顯示的就是病毒偽裝的磁盤掃描程序。

詳解讓烏克蘭總理都“哭泣”的勒索病毒，你到底要不要怕

而該病毒對勒索對象的加密，可以分為以下 7 個步驟：

詳解讓烏克蘭總理都“哭泣”的勒索病毒，你到底要不要怕

根據(jù)安天方面的消息，該病毒的勒索模塊實際上是一個 DLL 文件，該文件被加載后遍歷用戶磁盤文件（除 C:\Windows 目錄下），并對指定后綴名的文件進(jìn)行加密，加密后不修改原文件名和擴(kuò)展名。該文件修改 MBR，同時，添加計劃任務(wù)，在等待一段時間后，關(guān)閉計算機(jī)。當(dāng)用戶開啟計算機(jī)時，會顯示勒索界面和信息并無法進(jìn)入系統(tǒng)。

與 WannaCry 的差異

據(jù)雷鋒網(wǎng)宅客頻道了解，這次的新型勒索病毒變種，是利用系列漏洞進(jìn)行傳播的新勒索病毒家族。與 5 月爆發(fā)的 WannaCry 相比，新型勒索病毒變種的傳播速度更快。此次勒索病毒的主要特點有：

該勒索病毒使用了多種方式在內(nèi)網(wǎng)進(jìn)行攻擊傳播，包括使用了 NSA 的武器庫中的永恒之藍(lán)、永恒浪漫系列遠(yuǎn)程攻擊武器，以及利用內(nèi)網(wǎng)共享的方式傳播。因此不僅沒有及時修復(fù) NSA 武器庫漏洞的用戶會受影響，只要內(nèi)網(wǎng)中有其他用戶受到攻擊，已經(jīng)打了補(bǔ)丁的電腦也可能會受到攻擊。
此次的勒索病毒會導(dǎo)致電腦不可用。此前的 WannaCry 病毒僅會加密用戶文件，但是用戶的電腦仍暫時可用。此次的勒索病毒會感染用戶電腦的引導(dǎo)區(qū)，導(dǎo)致用戶電腦無法正常開機(jī)（強(qiáng)制顯示勒索信息）。
此外，該勒索病毒加密的文件類型相比 WannaCry 少，一共有65種，而 WannaCry 為 178 種（包括常見文件類型）。