Petya變種—全球勒索軟體攻擊的幕後黑手

受害者的電腦上顯示Petya的勒索註記。

SophosLabs已斷定新型Petya勒索軟體變種(亦稱GoldenEye)是大型肆虐歐洲、俄羅斯、烏克蘭等地的網路攻擊的幕後黑手。其他資安業界的組織稱它為PetrWrap。

這新網路攻擊與之前的有所分別，它包含EternalBlue漏洞入侵元素以在鎖定的網路傳播開去。這漏洞攻擊針對Windows Server Message Block (SMB)服務，這作用在跨本地網路共享文件和打印機。微軟早已在2017年3月就這問題發出MS17-010公告，但這漏洞証實促成了上個月的大型WannaCry網路攻擊。

Petya亦企圖在組織內部傳播開去，它破解管理員密碼，利用遠程管理員工具以感染其他網路上的電腦。它更可透過感染其他電腦的共享網路以在內部傳播。它運行一個盜取登入憑證的代碼以破解用戶帳戶密碼，以部署勒索軟體。為感染遠端電腦，它把一個合法的遠程管理員工具(微軟的SysInternals套裝的PsExec)與之捆綁一起，以感染遠端電腦。

防禦措施

(一)建議使用者立即採取的行動，首先確保系統具有最新的修補程式，包括Microsoft MS17-010公告中所提，並考慮禁止Microsoft PsExec工具在使用者電腦上執行。

(二)定期備份，並在異地保留最近的備份副本。除了勒索軟體之外，還有幾十種方式會讓檔案突然消失，例如火災、洪水、竊盜、筆記型電腦遺失，甚至是意外刪除。加密您的備份，就不必擔心備份裝置落入他人之手。

(三)避免開啟來自不明寄件者的電子郵件附件，即使您在人力資源或會計部門工作，並且經常使用附件。

(四)下載Sophos Intercept X的免費試用版，家庭(非商業用戶)請註冊免費的Sophos Home Premium Beta，防止硬碟上的檔案和磁區遭到未經授權的加密來防禦勒索軟體。

Sophos防護方案

使用Sophos Endpoint Protection的客戶已得到防禦所有這勒索軟體的新近變種。Sophos首次在6月27日13:50(UTC時間)發出保護，並已提供數個更新以進一步防禦未來可能爆發的變種。使用Sophos Intercept X的客戶已在這新勒索軟體出現時，先發制人主動受到保護因此資料不會遭到加密。

客戶可選擇限制用戶在其網路上使用PsExec和其他雙用管理員工具。Sophos Endpoint Protection提供PUA偵測，針對psexec和其他不需在每台電腦和每位用戶安裝的遠程管理員軟體。