新型勒索病毒来袭!新型勒索蠕虫病毒petya分析报告
6月27日晚间,一波大规模勒索蠕虫病毒攻击重新席卷全球。
媒体报道,欧洲、俄罗斯等多国政府、银行、电力系统、通讯系统、企业以及机场都不同程度的受到了影响。
阿里云安全团队第一时间拿到病毒样本,并进行了分析:
这是一种新型勒索蠕虫病毒。电脑、服务器感染这种病毒后会被加密特定类型文件,导致系统无法正常运行。
目前,该勒索蠕虫通过Windows漏洞进行传播,一台中招可能就会感染局域网内其它电脑。
一、Petya与WannaCry病毒的对比
1、加密目标文件类型
Petya加密的文件类型相比WannaCry少。
Petya加密的文件类型一共65种,WannaCry为178种,不过已经包括了常见文件类型。
2、支付赎金
Petya需要支付300美金,WannaCry需要支付600美金。
二、云用户是否受影响?
截止发稿,云上暂时未发现受影响用户。
6月28日凌晨,阿里云对外发布了公告预警。
三、勒索病毒传播方式分析
Petya勒索蠕虫通过Windows漏洞进行传播,同时会感染局域网中的其它电脑。电脑感染Petya勒索病毒后,会被加密特定类型文件,导致电脑无法正常运行。
阿里云安全专家研究发现,Petya勒索病毒在内网系统中,主要通过Windows的协议进行横向移动。
主要通过Windows管理体系结构(Microsoft Windows Management Instrumentation),和PSEXEC(SMB协议)进行扩散。
截止到当前,黑客的比特币账号(1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX)中只有3.39 个比特币(1比特币=2459美金),33笔交易,说明已经有用户支付了赎金。
四、技术和加密过程分析
阿里云安全专家对Petya样本进行研究后发现,操作系统被感染后,重新启动时会造成无法进入系统。如下图显示的为病毒伪装的磁盘扫描程序。
Petya病毒对勒索对象的加密,分为以下7个步骤:
首先,函数sub_10001EEF是加密操作的入口。遍历所有磁盘,对每个固定磁盘创建一个线程执行文件遍历和加密操作,线程参数是一个结构体,包含一个公钥和磁盘根路径。
然后,在线程函数(StartAddress)中,先获取密钥容器,
pszProvider="MicrosoftEnhanced RSA and AES Cryptographic Provider"
dwProvType=PROV_RSA_AES Provider为RSA_AES。
调用sub_10001B4E,通过CryptGenKey生成AES128密钥,用于后边进行文件加密。
如果生成密钥成功,接着调用sub_10001973和sub_10001D32,分别是遍历磁盘加密文件和保存密钥的功能。
在sub_10001973函数中判断了只对特定文件后缀加密。
sub_10001D32函数功能是将密钥加密并写入磁盘根路径的README.TXT文件中,
该函数在开始时调用了sub_10001BA0获取一个程序内置的公钥
之后,调用sub_10001C7F导出AES密钥,在这个函数中用前边的公钥对它加密。
最后,在README.TXT中写了一段提示付款的文字,并且将加密后的密钥写入其中。
因为密钥经过了程序中内置的公钥加密,被勒索对象必须要有黑客的私钥才能解密。这也就造成了勒索加密的不可逆性。
五、安全建议
目前勒索者使用的邮箱已经被关停,不建议支付赎金。
所有在IDC托管或自建机房有服务器的企业,如果采用了Windows操作系统,立即安装微软补丁。
对大型企业或组织机构,面对成百上千台机器,最好还是使用专业客户端进行集中管理。比如,阿里云的安骑士就提供实时预警、防御、一键修复等功能。
可靠的数据备份可以将勒索软件带来的损失最小化。建议启用阿里云快照功能对数据进行备份,并同时做好安全防护,避免被感染和损坏。
* 作者:阿里云安全,更多安全类热点资讯及知识分享,请持续关注阿里聚安全
黑客基地的渗透方法(冰兰黑客基地实例)
注:本人已经提交到C R S T ,适合新人学习 首先是有个朋友对我说有个冰兰黑客基地,转载别人的文章还不著名作者,之后还蒙骗别人说他们能入侵国外站点 所以就想检测一下 首先看了以下他的站点,主站和论坛 分
详情2018-01-04 17:49:34责编:llp 来源:驱动管家预防电脑中毒的方法介绍,让你的电脑不再中毒
电脑一定要安装杀毒软件使用才安全么?下面小编就教你如何让你的电脑不安装任何杀毒软件也可以非常的安全使用。1 少用搜索去搜索软件,因为放木马的人都是去下载网站买一些广告位,然后做些下载按钮,你点击下载
详情2018-01-05 10:32:05责编:llp 来源:驱动管家加密工具gpg是怎么下载安装使用的?
先说说GPG的获得吧,GPG是开放源代码的软件,是完全免费的,大家可
详情2018-01-04 09:36:39责编:llp 来源:驱动管家手机停机也可以上网?手机免费上网攻略
手机停机一样可以无限量免费上网现在向大家透露一个如何激活已停机卡的方法!?激活了以后就可以免费上网了。注:《本人动感地带的卡已测,通过》!首先,准备一张已经欠费停机的卡。注意重点:《1、需要知道卡的
详情2018-01-09 15:11:13责编:llp 来源:驱动管家2016年木马病毒查杀软件的排行榜
现在的电脑杀毒软件种类很多,在选择的时候,很多人并不知道如何去进行选,按照什么标准来进行选择,其实在选择杀毒软件首先要看杀毒能力,其次可以根据杀毒软件的功能来进行判定排名,下面就和大家一起来分析一
详情2018-01-05 13:58:41责编:llp 来源:驱动管家openssl漏洞有哪些?openssl漏洞导致信息泄露
小编带来了openssl漏洞详情,想知道openssl重大安全漏洞具体是什么情况吗?会不会威胁到我们的财产安全呢?下文将会为大家详细介绍,网友们可以来了解一下。昨日,OpenSSL(为网络通信提供安全及数据完整性的一种安
详情2018-01-08 13:56:46责编:llp 来源:驱动管家怎么改ip地址?改ip地址的具体步骤
第一步:右键点击桌面“网络”,单击“属性”,出现如下“网络和共享中心”。(图 1)第二步:在对应的网络连接右边点击“查看状态”。(也可以点击“管理网络连接”,如果您是通过有线的方式连接路由器,右键单
详情2018-01-06 17:39:19责编:llp 来源:驱动管家电脑怎么设置密码?这款大势至电脑文件加密软件能帮你
现在各种网络安全事件层出不穷,尤其是各种泄密“门”相关的安全事件让很多人胆战心惊。如何保护电脑文件安全、保护个人隐私,就成为当前文件防泄密的重要举措。如何选择合适的电脑文件加密软件呢?在此向大家推
详情2018-01-02 16:58:58责编:llp 来源:驱动管家pcanywhere远程连接的密码文件怎么得到?
问题的关键就是要得到PCAnyWhere的密码文件(* CIF),然后使用PCanyWhere密码查看工具
详情2018-01-07 18:08:16责编:llp 来源:驱动管家qq游戏大厅怎么多开?qq游戏大厅多开的方法
qq游戏大厅怎么多开?qq游戏大厅多开的方法 1 一台电脑只能登陆一个QQ游戏,就算能进去,但是相同IP不你能在同一个房间。我的这个方法可以在一台电脑上登陆N个QQ游戏,而且可以在同一个房间刷欢乐豆。先找一个代
详情2018-01-04 09:07:50责编:llp 来源:驱动管家
- 激活win7 提示“系统保留分区未分配驱动器号”
- 阿里旺旺手机版认证怎么弄?阿里旺旺手机版认证方法
- 在邮箱内搜索邮件为什么这么慢?foxmail邮箱怎么设置搜索引擎?
- 投影仪怎么使用?使用投影仪之前先来了解下这个
- 夏普复印机不知道怎么清零怎么做
- win10系统更改文件夹图标用什么办法最简单?
- u盘读写速度慢怎么解决?这个妙招帮你提升u盘读写速度
- 小米4跑分是多少?小米4跑分实测
- iPhone6上网速度慢?如何提高上网速度?
- 找回回收站清空文件的方法有哪些?怎么找回回收站清空的文件?
- qq自动回复在哪设置?在qq上怎么设置自动回复内容?
- microsoft excel内存破坏、执行任意指令怎么办?
- windows系统开机密码可以怎么破解?破解windows系统开机密码有哪些方法?
- 显卡驱动故障现象有哪些?如何更新显卡驱动
- 360诊断“您的网卡驱动程序不正常” 如何解决?
- 美图秀秀可以给图片换背景吗?美图秀秀怎么抠图?
- 电脑开机慢的解决办法是什么?电脑开机慢处理方法
- 投影仪灯泡坏了怎么更换灯泡
- 没有光驱电脑怎么安装打印机的驱动
- 在win7上查看网页错误详细信息的方法