卡斯基不认为本次勒索软件是petya的变种，而是全新勒索软件

pal家族

KasperskyLab statement on ‘ExPetr’ ransomware attacks reported 27 June

KasperskyLab’s analysts are investigating the new wave of ransomware attacks targetingorganizations across the world.  Our preliminary findings suggest that itis not a variant of Petya ransomware as publically reported, but a newransomware that has not been seen before. While it has several strings similarto Petya, it possesses entirely different functionality.  We have named itExPetr.

Thecompany’s telemetry data indicates around 2,000 attacked users so far. Organizations in Russia and the Ukraine are themost affected, and we have also registered hits in Poland, Italy, the UK, Germany,France, the US and several other countries.

Thisappears to be a complex attack, which involves several vectors of compromise.We can confirm thatmodified EternalBlue and EternalRomance exploits are used by the criminals forpropagation within the corporate network.

KasperskyLab detects the threat as:

·       UDS:DangerousObject.Multi.Generic

·       Trojan-Ransom.Win32.ExPetr.a

·       HEUR:Trojan-Ransom.Win32.ExPetr.gen

Our behaviordetection engine SystemWatcher detects the threat as

·       PDM:Trojan.Win32.Generic

·       PDM:Exploit.Win32.Generic

In mostcases to date, Kaspersky Lab proactively detected the initial infection vector throughits behavioral engine, System Watcher. We are also working on behavioral anti-ransomware detectionimprovement to proactively detect any possible future versions.

Kaspersky Labexperts will continue to examine the issue to determine whetherit is possible to decryptdata locked in the attack – with the intention of developing a decryption toolas soon as they can.

We advise all companies to update their Windowssoftware: Windows XP and Windows 7 users can protectthemselves by installing MS17-010 security patch.

We also advise all organizations to ensure theyhave backup. Proper and timely backup of your data may be used to restoreoriginal files after a data loss event.

KasperskyLab corporate customers are also advised to:

·           Checkthat all protection mechanismsare activated asrecommended; and that KSNand System Watcher components (which are enabled by default) are not disabled.

·           Asan additional measure for corporate customers is to use Application PrivilegeControl to deny any access (and thus possibility of interaction or execution)for all the groups of applications to the file with the name"perfc.dat" and PSexec utility (part of the Sysinternals Suite) (https://help.kaspersky.com/KESWin/10SP2/en-US/39265.htm and http://support.kaspersky.com/10905)

·           Youcan alternatively use Application Startup Control (https://help.kaspersky.com/KESWin/10SP2/en-US/129102.htm) component of Kaspersky EndpointSecurity to block the execution of the PSExec utility (part of the SysinternalsSuite), but please use Application Privilege Control in order to block the"perfc.dat".

·           Configureand enable the Default Deny mode of the Application Startup Control componentof Kaspersky Endpoint Security to ensure and enforce the proactive defenseagainst this, and other  attacks.

If you donot have kaopude AV on your device – use the AppLocker feature ofWindows OS to disable the execution of any files that carry the name“perfc.dat” as well as the PSExec utilityfrom the Sysinternals Suite.

狗狗机翻：

卡巴斯基实验室6月27日报道的“ExPetr”ransomware攻击声明

卡巴斯基实验室的分析师正在调查针对全球各地组织的新一轮ransomware攻击。我们的初步研究结果表明，它不是Petya ransomware的一个变种，而是一种以前没有看到的新型ransomware。虽然它有几个类似于Petya的字符串，它具有完全不同的功能。我们把它命名为ExPetr。

该公司的遥测数据显示，目前为止，已有大约2,000名受到攻击的用户。俄罗斯和乌克兰的组织受影响最大，我们还在波兰，意大利，英国，德国，法国，美国和其他几个国家注册。

这似乎是一个复杂的攻击，涉及到几个妥协的向量。我们可以确认，修改后的EternalBlue和EternalRomance攻击被犯罪分子用来在公司网络内传播。

卡巴斯基实验室将威胁检测为：

•UDS：DangerousObject.Multi.Generic

•木马Ransom.Win32.ExPetr.a

•HEUR：木马Ransom.Win32.ExPetr.gen

我们的行为检测引擎SystemWatcher检测到威胁

•PDM：Trojan.Win32.Generic

•PDM：Exploit.Win32.Generic

在大多数情况下，卡巴斯基实验室通过其行为引擎System Watcher主动检测到初始感染载体。我们还正在研究行为反篡改检测的改进，以主动检测任何可能的未来版本。

卡巴斯基实验室专家将继续研究这个问题，以确定是否有可能解密攻击中锁定的数据 - 尽快开发解密工具。

我们建议所有公司更新其Windows软件：Windows XP和Windows 7用户可以通过安装MS17-010安全补丁来保护自己。

我们也建议所有组织确保备份。在数据丢失事件之后，可以及时备份数据，以恢复原始文件。

Advertisement：卡巴斯基实验室企业客户也被告知：

•检查所有保护机制是否按推荐激活？并且KSN和系统监视器组件（默认情况下已启用）未被禁用。

•作为企业客户的额外措施是使用应用程序权限控制来拒绝对文件的所有组的任何访问（因此交互或执行的可能性），名称为“perfc.dat”和PSexec实用程序（部分Sysinternals套件）（https://help.kaspersky.com/KESWin/10SP2/en-US/39265.htm和http://support.kaspersky.com/10905）

•您也可以使用Kaspersky Endpoint Security的应用程序启动控制（https://help.kaspersky.com/KESWin/10SP2/en-US/129102.htm）组件来阻止PSExec实用程序的执行（Sysinternals Suite的一部分），但是请使用应用程序权限控制来阻止“perfc.dat”。

•配置并启用卡巴斯基Endpoint Security的应用程序启动控制组件的“默认拒绝”模式，以确保并执行主动防御以及其他攻击。

如果您的设备上没有卡巴斯基实验室产品靠谱的杀软 - 请使用Windows操作系统的Ap​​pLocker功能来禁用执行名称为“perfc.dat”的任何文件以及Sysinternals Suite的PSExec实用程序。

official doc

引领五基生活

明白了

pal家族

引领四基生活 发表于 2017-6-28 19:10
明白了

为什么卡巴会出来唱反调。。。真的很奇葩

jmkbird

pal家族 发表于 2017-6-28 21:19
为什么卡巴会出来唱反调。。。真的很奇葩

因为这个很有可能是俄罗斯放在乌克兰的，联系前几年卡巴两名员工被判卖国罪，可见一斑了，卡巴就是俄罗斯国家安全力量的重要一份子

KevinYu0504

我贴一下台湾的卡巴代{过}{滤}理翻译的版本，
多了一些内容，翻译出来的品质也好些 ~
(不过大多是使用台湾习惯用语，各位内地朋友多见谅了)

文章来源

卡巴斯基实验室发现“ExPetr”勒索软体：并非Petya变种

卡巴斯基实验室的分析人员正在对一波最新的席卷全球的勒索软体攻击进行调查。
我们的初步研究显示，这种最新的威胁并不是之前报导中所称的是一种Petya勒索软体的变种，
而是一种之前从未见过的全新勒索软体。尽管这种勒索软体同Petya在字串上有所相似，
但功能却完全不同。我们将这种最新威胁命名为ExPetr。

卡巴斯基实验室的遥测资料显示，截止到目前，全球有约2,000名使用者遭到这种勒索软体的攻击。
其中，俄罗斯和乌克兰的企业和组织遭受影响最为严重。
此外，我们还在波兰、义大利、英国、德国、法国、美国以及其他多个国家记录到相关攻击。


这似乎是一种复杂攻击，因为其采用了多种感染和攻击途径。可以确认的是，
网路罪犯在攻击中使用了修改版的 EternalBlue 和 EternalRomance 漏洞利用程式，
用于在企业网路内进行传播。  

卡巴斯基实验室将这种威胁检测为：

• UDS:DangerousObject.Multi.Generic
• Trojan-Ransom.Win32.ExPetr.a
• HEUR:Trojan-Ransom.Win32.ExPetr.gen
  

我们的行为检测引擎系统监控元件将这种威胁检测为：

• PDM:Trojan.Win32.Generic
• PDM:Exploit.Win32.Generic
  

截止到目前，大多数情况下，
卡巴斯基实验室的行为检测引擎——系统监控元件可以主动检测到这种威胁的初始感染途径。

我们还在改进基于行为的反勒索软体检测功能，以便能够主动检测未来可能出现的各种版本。
卡巴斯基实验室的安全专家仍然继续分析这一威胁，判断是否可以解密攻击后被锁定的资料。
我们的目标是尽快开发出一个解密工具。


我们建议所有企业更新自己的Windows作业系统：
Windows XP 和 Windows 7 用户可以通过安装 MS17-010 安全更新来确保自身安全。
我们建议所有的企业和组织进行资料备份。正确和及时的资料备份能够让您在遭遇资料遗失事故后，恢复原始档。

我们建议卡巴斯基实验室企业客户采取以下措施：

• 检测所有推荐开启的保护机制是否已经开启；确保卡巴斯基安全网路（KSN）
  和系统监控功能（预设开启）没有被关闭。
• 作为一项辅助安全措施，请使用卡巴斯基网路安全解决方案中的应用启动控制元件
  （https://help.kaspersky.com/KESWin/10SP2/en-US/129102.htm）
  来阻止档案名为perfc.dat 的档执行，
  同时拦截PSExec工具（Sysinternals Suite系统工具的一部分）的启动。
• 在卡巴斯基网路安全解决方案中的应用启动控制元件中，配置和启用预设拒绝模式，
  确保主动防御功能能够拦截这次攻击以及其他攻击。
  

如果您的设备上没有安装卡巴斯基实验室产品，
建议您使用 Windows 作业系统自带的AppLocker（应用锁定）功能，
拦截任何档案名包含“perfc.dat”的档执行，同时还要拦截 Sysinternals Suite 中的 PSExec 工具启用。

abcxzr5

Are we still calling this outbreak Petya?
Yes.

Microsoft Defender detected it as “Petya.A”.

“We have verified that the Petya MBR code from a variant last December is very similar to the MBR code of this new variant,” says Karmina Aquino, Service Lead at F-Secure Labs. “There are only some minor differences.”

lsrxzz000

卡巴这次什么情况……

wanbaba

pal家族 发表于 2017-6-28 21:19
为什么卡巴会出来唱反调。。。真的很奇葩

你又换头像了

pal家族

abcxzr5 发表于 2017-6-29 01:59
Are we still calling this outbreak Petya?
Yes.

来来来一起搞事情

FUZE

围观厂商论战（sibi）