Petya 来袭，腾讯云快速响应提供安全解决方案
原创Petya 来袭，腾讯云快速响应提供安全解决方案
原创
6月27日，一种名为“Petya”的新型勒索病毒席卷了欧洲，乌克兰等国家，多家运营商、银行、ATM机、公司、机场等均受到影响，包括政府大楼的电脑甚至于乌克兰副总理的电脑都遭到感染，出现问题；另有消息称前切尔诺贝利核电厂的防控系统也受到影响，导致基于Windows系统的传感器失灵，科学家不得不手动监测辐射水平。
同时，在27号18点左右，腾讯云联合电脑管家发现相关样本在国内出现，腾讯云已第一时间启动用户防护引导，到目前为止，云上用户尚无感染案例，但建议没打补丁用户尽快打补丁避免感染风险。
经云鼎实验室确认，这是一种类似于“WannaCry”的勒索病毒新变种，传播方式与“WannaCry”类似，利用了EternalBlue（永恒之蓝）进行传播，同时还具备局域网传播手法。
腾讯云主机防护产品云镜已第一时间检测该蠕虫，云鼎实验室将持续关注该事件和病毒动态，第一时间更新相关信息，请及时关注，修复相关漏洞，避免遭受损失。
技术分析
通过对勒索病毒进行分析，我们发现Petya主要是以一个DLL文件的形式存在，通过投放手段远程侵入目标主机，一旦受到感染，那么病毒将执行加密和内网传播操作，主要有：
- 将自身投递到C:\windows目录下，然后通过rundll32.exe进行启动
- 一旦病毒启动功，将会进行文件加密，同时在系统中添加定时任务，系统将在一小时后重新启动，在系统重启后将看到以下的画面
- 在这过程中，病毒还会利用Mimikatz工具提取内存中的密码
- 病毒在获取密码后会扫描内网中的机器，对远程机器的445、139端口进行连接，尝试将自身和PSEXEC副本复制到远程机器的ADMIN$文件夹，然后通过通过PSEXEC和WMIC执行命令远程调用进行启动，以此进行传播
- 除此之外，病毒还会利用EternalBlue（永恒之蓝） 和 EternalRomance（永恒浪漫）进行传播
事件响应
在监测到事件后，腾讯云团队启动响应机制，3个小时内进行多维度的预警和防御：
- 确认腾讯云安全组对相关利用端口的封堵
- 封堵病毒使用的相关域名和IP
- 普查云上机器对病毒使用漏洞补丁的更新情况，提前做好防御预警
- 将相关样本入库检测
- 通知合作伙伴相关情报
在拿到Petya相关病毒样本后，我们第一时间对云镜后台检测策略进行了升级，对腾讯云上已经安装过云镜的用户进行了检测，未发现受本次病毒影响的用户。
云镜是腾讯云官网为用户提供的一款主机安全加固产品，可以帮助云上用户实时发现黑客入侵行为和漏洞风险，降低因黑客入侵导致的数据泄露风险。主要包括密码破解拦截、异地登录提醒、木马文件查杀、高危漏洞检测等安全功能，解决当前服务器面临的主要网络安全风险，帮助企业构建服务器安全防护体系。
目前，云鼎实验室与电脑管家依然通过全网布控监测病毒相关疫情，通过“云+端”的联动形成立体防御体系。
相关推荐
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。