勒索軟件Nyetya概述

　　基于新勒索軟件變種的樣本分析顯示，勒索軟件借助了之前被多次利用的永恒之藍(EternalBlue)攻擊工具和Windows系統的WMI進行傳播。與之前出現的WannaCry不同，此次的變種中沒有包含外部掃描模塊，而是利用了psexec管理工具在內網進行傳播。

　　目前還沒有完全確定該勒索軟件的傳播源頭和路線，基于目前的分析，我們認為這個勒索軟件的傳播和感染，很可能與烏克蘭的一款被稱為MeDoc的會計管理軟件的升級更新系統有關。思科Talos還在持續分析該勒索軟件的傳播源頭。

　　思科Talos在今年4月份就發布了保護針對MS17-010攻擊的Snort規則，對于此次發現的變種Talos已經將勒索軟件的變種加入到了AMP(Advanced Malware Protection)的黑名單列表中。

　　勒索軟件Nyetya的主要功能

　　思科Talos在被勒索軟件感染的系統上，發現了一個名為Perfc.dat的文件，該文件的功能是進一步感染其他系統，它包含了一個還未被命名的模塊，暫命名為#1，其功能是通過Windows API AdjustTokenPrivileges獲取當前賬號的管理員權限，一旦成功，該勒索軟件將重寫磁盤的啟動分區記錄MBR(Master Boot Record)。無論MBR重寫成功與否，在完成感染一小時后，都將自動重啟系統。

　　在勒索軟件散播過程中，利用了NetServerEnum遍歷所有可見的主機，然后掃描所有開放了TCP 139端口的主機，并將這些主機加入到易感染主機列表中。

　　一旦主機被感染后，勒索軟件會使用以下三種方式進行傳播：

　　EternalBlue – 永恒之藍，與WannCry相同的入侵方式。

　　Psexec – Windows系統自帶的管理工具。

　　WMI - Windows Management Instrumentation，Windows系統自帶的組件。

　　以上方式被用于勒索軟件安裝和運行perfc.bat程序，進一步感染其他內網主機。

　　利用當前用戶的Window Token信息，在被感染的主機上psexec被用于運行下列指令來安裝勒索軟件(Talos還在分析獲得Window Token的方式)：

　　利用當前賬號的用戶名和密碼信息，WMI被用于執行下面命令，實現上述相同的功能(Talos還在分析獲得用戶的憑證信息的途徑)：

　　思科發布最新防護規則

　　目前思科已經能夠提供對該勒索軟件防護的產品包括：

　　思科NGIPS/Snort Rules提供了下列Snort規則檢測該勒索軟件：

　　42944 - OS-WINDOWS Microsoft Windows SMB remote code execution attempt

　　42340 - OS-WINDOWS Microsoft Windows SMB anonymous session IPC share access attempt

　　下列NGIPS/Snort Rules提供感染流量的檢測告警：

　　5718 - OS-WINDOWS Microsoft Windows SMB-DS Trans unicode Max Param/Count OS-WINDOWS attempt

　　1917 - INDICATOR-SCAN UPnP service discover attempt

　　42231 - FILE-OFFICE RTF url moniker COM file download attempt

　　5730 - OS-WINDOWS Microsoft Windows SMB-DS Trans Max Param OS-WINDOWS attempt

　　AMP發布了感染指數告警：

　　W32.Ransomware.Nyetya.Talos

　　SHA256哈希值：

　　027cc450ef5f8c5f653329641ec1fed91f694e0d229928963b30f6b0d7d3a745

　　思科勒索軟件防護促銷包發布

　　為了更好地幫助各行業用戶應對后續可能發生的勒索軟件攻擊變種和升級危機，思科大中華區安全部門在中國大陸推出了勒索軟件防護Starter  Bundle，整合了目前思科安全Firepower 2110、郵件安全設備C190、AMP高級惡意軟件防護等產品，從Web和Email這兩個勒索軟件最重要的傳播途徑進行全面防護。

　　在此Starter Bundle中，必選組件部分包括：

　　Firepower 2110 --在互聯網出口檢測并阻擋惡意勒索軟件的進入

　　郵件安全網關C190 --檢測并阻擋惡意勒索軟件通過郵件的方式進入網絡

　　AMP End Point--安裝在用戶的終端的軟件，阻擋勒索軟件的惡意行為

　　在此Starter Bundle中，選配組件部分包括：

　　Stealthwatch--快速發現網絡異常，定位受感染的主機

　　高級安全服務--提供遠程漏洞掃描和釣魚軟件模擬攻擊測試的高級服務

　　如欲了解思科的Starter Bundle詳細信息和下單流程，請隨時與思科銷售團隊聯系。

　　如欲了解最新思科勒索軟件防御方案和優惠促銷包，請點擊

http://www.cisco.com/c/zh_cn/solutions/enterprise-networks/ransomware-defense/index.html