Petya 来袭,腾讯云快速响应提供安全解决方案

6月27日,一种名为“Petya”的新型勒索病毒席卷了欧洲,乌克兰等国家,多家运营商、银行、ATM机、公司、机场等均受到影响,包括政府大楼的电脑甚至于乌克兰副总理的电脑都遭到感染,出现问题;另有消息称前切尔诺贝利核电厂的防控系统也受到影响,导致基于Windows系统的传感器失灵,科学家不得不手动监测辐射水平。

同时,在27号18点左右,腾讯云联合电脑管家发现相关样本在国内出现,腾讯云已第一时间启动用户防护引导,到目前为止,云上用户尚无感染案例,但建议没打补丁用户尽快打补丁避免感染风险。

经云鼎实验室确认,这是一种类似于“WannaCry”的勒索病毒新变种,传播方式与“WannaCry”类似,利用了EternalBlue(永恒之蓝)进行传播,同时还具备局域网传播手法。

腾讯云主机防护产品云镜已第一时间检测该蠕虫,云鼎实验室将持续关注该事件和病毒动态,第一时间更新相关信息,请及时关注,修复相关漏洞,避免遭受损失。

技术分析

通过对勒索病毒进行分析,我们发现Petya主要是以一个DLL文件的形式存在,通过投放手段远程侵入目标主机,一旦受到感染,那么病毒将执行加密和内网传播操作,主要有:

  1. 将自身投递到C:\windows目录下,然后通过rundll32.exe进行启动
  2. 一旦病毒启动功,将会进行文件加密,同时在系统中添加定时任务,系统将在一小时后重新启动,在系统重启后将看到以下的画面
  3. 在这过程中,病毒还会利用Mimikatz工具提取内存中的密码
  4. 病毒在获取密码后会扫描内网中的机器,对远程机器的445、139端口进行连接,尝试将自身和PSEXEC副本复制到远程机器的ADMIN$文件夹,然后通过通过PSEXEC和WMIC执行命令远程调用进行启动,以此进行传播
  5. 除此之外,病毒还会利用EternalBlue(永恒之蓝) 和 EternalRomance(永恒浪漫)进行传播

事件响应

在监测到事件后,腾讯云团队启动响应机制,3个小时内进行多维度的预警和防御:

  1. 确认腾讯云安全组对相关利用端口的封堵
  2. 封堵病毒使用的相关域名和IP
  3. 普查云上机器对病毒使用漏洞补丁的更新情况,提前做好防御预警
  4. 将相关样本入库检测
  5. 通知合作伙伴相关情报

在拿到Petya相关病毒样本后,我们第一时间对云镜后台检测策略进行了升级,对腾讯云上已经安装过云镜的用户进行了检测,未发现受本次病毒影响的用户。

云镜是腾讯云官网为用户提供的一款主机安全加固产品,可以帮助云上用户实时发现黑客入侵行为和漏洞风险,降低因黑客入侵导致的数据泄露风险。主要包括密码破解拦截、异地登录提醒、木马文件查杀、高危漏洞检测等安全功能,解决当前服务器面临的主要网络安全风险,帮助企业构建服务器安全防护体系。

目前,云鼎实验室与电脑管家依然通过全网布控监测病毒相关疫情,通过“云+端”的联动形成立体防御体系。

相关推荐

主机安全(云镜)

Petya 勒索病毒来袭,腾讯云用户安全指引

Petya 新型勒索病毒的加密原理分析

Petya 勒索软件新变种详细分析报告

原创声明,本文系作者授权云+社区-专栏发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏云鼎实验室的专栏

安全报告 | SSH 暴力破解趋势:从云平台向物联网设备迁移

1974
来自专栏黑白安全

美联社:谷歌在偷偷记录你的位置数据 即使你拒绝

(原标题:AP Exclusive: Google tracks your movements, like it or not)

573
来自专栏CSDN技术头条

全球WannaCry勒索病毒爆发背后的技术漏洞

5月12日晚,新型“蠕虫式”勒索病毒软件 WannaCry 在全球爆发,攻击各国政府,学校,医院等网络。我国众多行业大规模受到感染,其中教育网受损最为严重,攻击...

2105
来自专栏FreeBuf

D-Link数字签名证书遭窃,反倒成了黑客的“通行证”

数字签名的出现,曾大大加强了计算机应用使用的安全性,其复杂、独特的加密方式使得证书成为了软件的“防伪标志”,并迅速普及。

1075
来自专栏FreeBuf

Windows蓝屏死机骗局:新的恶意钓鱼方式

新的恶意骗局:恶意软件的制作者们,劫持了Windows系统中的最让人崩溃的蓝屏死机,制造了钓鱼骗局。 搜索引擎广告的恶意利用 近日,有安全团队发现一种新的恶意入...

1957
来自专栏CDA数据分析师

我是如何一不小心阻止了勒索病毒的全球蔓延

原作者 MalwareTech 编译 CDA 编译团队 本文为  CDA 数据分析师原创作品,转载需授权 前言 上周全球爆发电脑勒索病毒,“疫情”已波及 99 ...

2099
来自专栏FreeBuf

Android病毒CopyCat已经感染全球1400万台设备,幕后推手又是中国广告公司?

新发现的恶意程序已经感染了超过1400万Android设备,在短短两个月内已经获取了150万美元的收入。 这款恶意软件名为CopyCat,它能够对感染的设备进行...

3334
来自专栏FreeBuf

2014年移动恶意色情应用研究报告

一、引言 AVL移动安全团队在分析2014全年移动恶意代码时发现:大量移动恶意应用通过色情内容诱导用户下载并安装使用,这些应用不但涉嫌传播淫秽色情内容,还可能执...

1938
来自专栏黑白安全

DNA 检测公司 MyHeritage 遭黑客入侵:9200 万账户泄露

北京时间6月6日早间消息,消费级家谱网站MyHeritage宣布,与该公司的9200万个帐户相关的电子邮件地址和密码信息被黑客窃取。

673
来自专栏大数据文摘

2014移动恶意色情代码研究报告

1575

扫码关注云+社区