Petya-slachtoffer heeft 30 minuten om systeem uit te schakelen
Beheerders en eigenaren van systemen die met de Petya-ransomware (GoldenEye) besmet zijn geraakt hebben 30 tot 40 minuten de tijd om het systeem uit te schakelen en zo versleuteling van de bestanden en het aanpassen van de Master Boot Record (MBR) van de harde schijf te voorkomen.
Dat meldt het Russische securitybedrijf Group-IB op Twitter. De ransomware zal het systeem na de initiële infectie niet direct versleutelen, maar wacht hiermee. Een dergelijke lange 'slaapfunctie' wordt mogelijk gebruikt om niet te worden gedetecteerd. Het is nog altijd onduidelijk hoe organisaties in eerste instantie besmet raken. Volgens securitybedrijf Palo Alto Network maakten vorige versies van de Petya-ransomware gebruik van e-mails, maar is de nu actieve variant niet in e-mailgerelateerde aanvallen waargenomen.
Mogelijk dat bedrijven, zoals eerder gemeld, direct via het SMB-lek in Windows worden aangevallen waardoor ook de WannaCry-ransomware zich verspreidde. Verder blijkt dat de nu actieve Petya-variant zich als een dll-bestand verspreidt, dat door een ander proces moet worden uitgevoerd voordat de MBR overschreven kan worden en er een taak wordt ingesteld om het systeem te laten herstarten.
Update
Op twitter meldt een onderzoeker met het alias Hacker Fantastic dat als systemen herstarten en er een scherm verschijnt dat het bestandssysteem wordt gerepareerd, de computer direct moet worden uitgeschakeld. Dit is namelijk het encryptieproces van de ransomware. Het uitschakelen voorkomt dan ook het versleutelen van de bestanden.
The Petya ransomware exploits an SMB vulnerability for lateral movement, which is a bit different from the exploit used in WannaCry. We will update with the specifics.
Loki Bot’s infection vector is as following: Malicious email containing RTF file. The RTF exploits CVE-2017-0199 to downloads an xlsx decoy file. The binary of the “xlsx” file includes a js script, which is executed by the RTF file. When it runs, the script downloads Loki’s exe file and executes it
zie:
http://blog.checkpoint.com/2017/06/27/global-ransomware-attack-spreading-fast/
Misschien niet, maar omdat deze mallware zich waarschijnlijk via SMB, binnen een organisatie verspreid, weet je nu dat het verstandig is om direct ook alle andere computers uit te zetten nadat de eerste besmetting duidelijk is. Alleen de netwerkstekker eruit is geen garantie.
De vorige keer bleek na een paar dagen dat de mensen die hun systeem NIET hadden uitgezet juist beter af waren omdat de key nog ergens in memory stond en kon worden gered.
Een algemeen advies wat te doen als er wat vreemds aan de hand is kun je daardoor niet geven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
