image

Petya-slachtoffer heeft 30 minuten om systeem uit te schakelen

dinsdag 27 juni 2017, 19:01 door Redactie, 11 reacties
Laatst bijgewerkt: 27-06-2017, 21:39

Beheerders en eigenaren van systemen die met de Petya-ransomware (GoldenEye) besmet zijn geraakt hebben 30 tot 40 minuten de tijd om het systeem uit te schakelen en zo versleuteling van de bestanden en het aanpassen van de Master Boot Record (MBR) van de harde schijf te voorkomen.

Dat meldt het Russische securitybedrijf Group-IB op Twitter. De ransomware zal het systeem na de initiële infectie niet direct versleutelen, maar wacht hiermee. Een dergelijke lange 'slaapfunctie' wordt mogelijk gebruikt om niet te worden gedetecteerd. Het is nog altijd onduidelijk hoe organisaties in eerste instantie besmet raken. Volgens securitybedrijf Palo Alto Network maakten vorige versies van de Petya-ransomware gebruik van e-mails, maar is de nu actieve variant niet in e-mailgerelateerde aanvallen waargenomen.

Mogelijk dat bedrijven, zoals eerder gemeld, direct via het SMB-lek in Windows worden aangevallen waardoor ook de WannaCry-ransomware zich verspreidde. Verder blijkt dat de nu actieve Petya-variant zich als een dll-bestand verspreidt, dat door een ander proces moet worden uitgevoerd voordat de MBR overschreven kan worden en er een taak wordt ingesteld om het systeem te laten herstarten.

Update

Op twitter meldt een onderzoeker met het alias Hacker Fantastic dat als systemen herstarten en er een scherm verschijnt dat het bestandssysteem wordt gerepareerd, de computer direct moet worden uitgeschakeld. Dit is namelijk het encryptieproces van de ransomware. Het uitschakelen voorkomt dan ook het versleutelen van de bestanden.

Reacties (11)
27-06-2017, 19:52 door Anoniem
En hoe merk je binnen die 30 minuten dat je besmet bent?
27-06-2017, 20:07 door Anoniem
Ik vermoed dat de wachttijd bedoeld is om andere systemen te kunnen infecteren. Na de versleuteling start het systeem immers niet meer op, waardoor het betreffende systeem geen netwerkfunctionaliteit meer heeft om andere systemen te kunnen besmetten.
27-06-2017, 21:13 door Mariandel 2017
Wat kan een bedrijf dan nog doen?
27-06-2017, 22:00 door Anoniem
Via externe aansluiting op de HDD de bestanden veiligstellen en cleanen?
27-06-2017, 23:07 door Anoniem
"Petya encrypts ON BOOT. If you see CHKDSK message your files not yet encrypted, power off immediately. You can recover with with LiveCD.", naar verluidt.
27-06-2017, 23:15 door Anoniem
Infection chain for the Loki-Bot malware is : RTF file downloads corrupted xls which contains malicious js script, which in turn pulls an executable from another drop zone. The executable is Loki Bot.
The Petya ransomware exploits an SMB vulnerability for lateral movement, which is a bit different from the exploit used in WannaCry. We will update with the specifics.
Loki Bot’s infection vector is as following: Malicious email containing RTF file. The RTF exploits CVE-2017-0199 to downloads an xlsx decoy file. The binary of the “xlsx” file includes a js script, which is executed by the RTF file. When it runs, the script downloads Loki’s exe file and executes it
zie:
http://blog.checkpoint.com/2017/06/27/global-ransomware-attack-spreading-fast/
27-06-2017, 23:24 door [Account Verwijderd]
[Verwijderd]
28-06-2017, 08:27 door Anoniem
Ik heb wel eens diskcryptor gewerkt waar sommige ransomware op gebaseerd is. Die heeft beheersrechten nodig om de driver te installeren, daarna kun je de bootloader configureren en na een herstart is deze actief. Dan kun je simpelweg de schijf versleutelen. Een reboot resulteerd in deels encrypte / niet encrypte drive en de bootloader zal een wachtwoord vragen. Geen idee of de key uit het geheugen te halen is.
28-06-2017, 09:19 door Briolet
Door Anoniem: En hoe merk je binnen die 30 minuten dat je besmet bent?

Misschien niet, maar omdat deze mallware zich waarschijnlijk via SMB, binnen een organisatie verspreid, weet je nu dat het verstandig is om direct ook alle andere computers uit te zetten nadat de eerste besmetting duidelijk is. Alleen de netwerkstekker eruit is geen garantie.
28-06-2017, 09:38 door Anoniem
Altijd leuk dat soort analyses maar wat heeft de wereld eraan?
De vorige keer bleek na een paar dagen dat de mensen die hun systeem NIET hadden uitgezet juist beter af waren omdat de key nog ergens in memory stond en kon worden gered.
Een algemeen advies wat te doen als er wat vreemds aan de hand is kun je daardoor niet geven.
28-06-2017, 10:22 door [Account Verwijderd]
[Verwijderd]
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.