No passado dia 27 de Junho, uma campanha de Ransomware afetou organizações em vários países: Rússia, Ucrânia, Índia, Espanha, França, Reino Unido, entre outros países da Europa.
Esta nova variante do Petya exige “$300” bitcoins para o resgate da informação.
O vetor de ataque maioritário parece ser campanhas de Phishing de e-mails com documentos de Word e Excel em anexo. A exploração da vulnerabilidade CVE-2017-0199 é depois utilizada para instalação de ficheiros maliciosos com macros embutidas.
O malware propriamente dito é um ficheiro “.dll” que é executado através do rundll32.exe. Este malware possui capacidades de infetar sistemas expostos publicamente, bem como sistemas internos, explorando as vulnerabilidades CVE-2017-0143 e CVE-2017-0144 (ETERNALBLUE). Após execução, o Petya utiliza os exploits ETERNALBLUE, assim como o Windows management Instrumentation comand-line ( WMIC) e o PsExec para se movimentar lateralmente e afetar sistemas internos.
Esta variante aparenta funcionar de modo diferente de outros Ransomwares uma vez que não encripta os ficheiros dos sistemas afetados, mas sim, o Master Boot Record (MBR), restringindo o acesso ao sistema e aos ficheiros.
O malware substitui o MBR com o seu próprio código, impedindo o computador de iniciar, apresentando uma mensagem no ecrã para o resgate de informação.
Aparentemente a fase de encriptação apenas se inicia após o reboot do computador.
Recomendações:
- Desabilite o WMIC e o protocolo SMBv1
- Aplique os Patchesde segurança: MS17-010 e CVE-2017-0199
- Filtre as portas 445 e 139 para todos as redes não confiáveis
- Atualize o antivírus e aplique assinaturas nos seus sistemas de proteção da rede.
Links que podem ser consultados com informação relevante sobre a recente ocorrência:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0199
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
https://www.blocktrail.com/BTC/address/1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX/transactions
https://virustotal.com/en/file/027cc450ef5f8c5f653329641ec1fed91f694e0d229928963b30f6b0d7d3a745/analysis/
https://virustotal.com/fr/ip-address/185.165.29.78/information/
https://www.bleepingcomputer.com/news/security/wannacry-d-j-vu-petya-ransomware-outbreak-wreaking-havoc-across-the-globe/
[HOT] New Petya (MBR #ransomware) "loaded" with #ETERNALBLUE SMBv1 worm functionality (see ARP scan indicator): https://t.co/np2xM4309b pic.twitter.com/owd6zb7fhN
— Hybrid Analysis (@HybridAnalysis) June 27, 2017
https://www.infosecurity-magazine.com/news/ukraine-businesses-petya-ransomware/
http://thehackernews.com/2017/06/petya-ransomware-attack.html
If machine reboots and you see this message, power off immediately! This is the encryption process. If you do not power on, files are fine. pic.twitter.com/IqwzWdlrX6
— Hacker Fantastic (@hackerfantastic) June 27, 2017
No caso de possuir dados encriptados visite o site www.nomoreransom.org com regularidade de forma a consultar as últimas ferramentas e soluções disponíveis para o resgate dos dados.
Paulo Rosa
Security & Public Safety
Business Unit Manager