Protezione dalle varianti di Petya e BadRabbit ransomware modificate

Articoli tecnici ID: KB89540
Ultima modifica: 27/01/2021

Ambiente

McAfee prodotti che utilizzano dat

NOTA: questo articolo si applica solo ai prodotti business ed enterprise McAfee. Se sono necessarie informazioni o assistenza per prodotti consumer o small business McAfee, visitare la pagina https://service.mcafee.com.
Articolo consumer per Petya e BadRabbit: TS102703.

Riepilogo

McAfee è al corrente della modifica Petya ransomware varianti (chiamate anche PetrWrap, PetWrap, Petya. A, Petja, BadRabbit e Bad Rabbit) che vengono rilevati negli ambienti aziendali.

Il software McAfee aggiornato rileva tutte queste minacce.
Il 27 giugno 2017 McAfee ha rilasciato inizialmente un Extra.DAT (allegato a questo articolo) per includere la copertura for Petya.
McAfee anche rilasciato un DAT di emergenza per includere la copertura per Petya il 28 giugno 2017. I dat successivi includono anche la copertura.
Dat minimo per la copertura:
- Endpoint Security (3025) o superiore
- VirusScan Enterprise (8574) o superiore
Il Extra.DAT allegato a questo articolo è incluso nei file dat sopra indicati e in tutti i file dat successivi.
McAfee ha anche il rilevamento di queste minacce nella reputazione di file di Global Threat Intelligence (GTI) (con un Basso impostazione).

Questo articolo viene aggiornato in quanto sono disponibili ulteriori informazioni. Continua a monitorare questo articolo per gli aggiornamenti.

Aggiornamenti recenti a questo articolo

Per ricevere notifiche email quando l'articolo viene aggiornato, fare clic su Sottoscrivi sul lato destro della pagina. Per sottoscriversi, è necessario effettuare l'accesso.

Data	Aggiornamento
5 ottobre 2020	Aggiunto Endpoint Security 10.6.x/10.7.x Categorie.
19 settembre 2019	Link aggiornato a "protezione da ransomware" nella sezione informazioni correlate.
26 ottobre 2017	Aggiornato per includere i sintomi BadRabbit.
20 luglio 2017	Sono stati aggiunti i sinonimi che i clienti hanno cercato.
19 luglio 2017	Correzione delle informazioni relative a PSExec.

Petya presenta i seguenti sintomi:

Il metodo di propagazione sembra essere tramite i protocolli Remote Desktop Protocol (RDP) e Server Message Block (SMB).
Il ransomware potrebbe visualizzare il seguente messaggio su un sistema infetto:

Riparazione del file System in C:

Il tipo di file System è NTFS.
One of your disks contains errors and needs to be repaired. Il completamento di questo processo potrebbe richiedere diverse ore. Si consiglia vivamente di farla completare.

WARNING: DO NOT TURN OFF YOUR PC! IF YOU ABORT THIS PROCESS, YOU COULD DESTROY ALL OF YOUR DATA! ASSICURARSI CHE IL CAVO DI ALIMENTAZIONE SIA COLLEGATO ALLA RETE ELETTRICA.

CHKDSK sta riparando il settore xxxxx di xxxxxxxx (x%)
Dopo la cifratura, i sistemi interessati potrebbero richiedere all'utente di riavviare il sistema. Dopo il riavvio, viene visualizzata una schermata di riscatto simile alla seguente:

Le estensioni attualmente note per essere interessate sono:

.3ds, .7z, .accdb, .ai, .asp, .aspx, .avhd, .back, .bak, .c, .cfg, .conf, .cpp, .cs, .ctl, .dbf, .disk, .djvu, .doc, .docx, .dwg, .eml, .fdb, .gz, .h, .hdd, .kdbx, .mail, .mdb, .msg, .nrg, .ora, .ost, .ova, .ovf, .pdf, .php, .pmf, .ppt, .pptx, .pst, .pvi, .py, .pyc, .rar, .rtf, .sln, .sql, .tar, .vbox, .vbs, .vcb, .vdi, .vfd, .vmc, .vmdk, .vmsd, .vmx, .vsdx, .vsv, .work, .xls, .xlsx, .xvd, .zip

BadRabbit presenta i seguenti sintomi:

Il ransomware potrebbe visualizzare il seguente messaggio su un sistema infetto:

Disattivare i programmi antivirus e antimalware
Oops! I file sono stati crittografati.

If you see this text, your files are no longer accessible. You might have been looking for a way to recover your files. Don't waste your time. Nessuno sarà in grado di recuperarli senza il nostro
servizio di decrittografia.

We need to guarantee that you can recover all your files safely. Tutto quello che devi fare è inviare il pagamento e ottenere la decifratura password.
I dati sui sistemi interessati sono crittografati.
All'utente viene richiesto di visitare un dominio (caforssztxqzf2nm.onion) sulla rete TOR. La pagina di pagamento assomiglia a questa:

Le estensioni di file note per essere interessate sono:

.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf
.cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp
.hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm
.odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1
.pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs
.vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip

Soluzione

Come azione di prevenzione prioritaria, aggiornare tutti i sistemi con MS17-010, Se non contengono già l'aggiornamento.

Copertura Network Security Platform (NSP) per Petya Ransomware
Firme esistenti:

0x43c0bd00-NETBIOS-SS: MS17-010 SMB esecuzione remota di codice (strumenti esterni e WannaCry ransomware)
0x43c0b800-NETBIOS-SS: Windows SMBv1 la vulnerabilità della confusione di tipo MID e FID identica (CVE-2017-0143)
0x43c0b400-NETBIOS-SS: Windows SMB vulnerabilità di esecuzione di codice remoto (CVE-2017-0144)
0x43c0b500-NETBIOS-SS: Windows SMB vulnerabilità di esecuzione di codice remoto (CVE-2017-0145)
0x43c0b300-NETBIOS-SS: Microsoft Windows SMB vulnerabilità di scrittura non associata (CVE-2017-0146)
0x43c0b900-NETBIOS-SS: Windows SMBv1 vulnerabilità divulgazione delle informazioni (CVE-2017-0147)
0x451e3300-HTTP: Microsoft Office vulnerabilità di esecuzione di codice arbitrario OLE (CVE-2017-0199)

Il team di ricerca NSP ha creato una firma definita dall'utente (UDS, User Defined Signature) con una copertura aggiornata. Il UDS è disponibile per scaricare da KB55447.

L'articolo indicato è disponibile solo per gli utenti registrati del ServicePortal.

Per visualizzare gli articoli registrati:

Accedere al ServicePortal all'indirizzo http://support.mcafee.com.
Digitare l'ID articolo nel campo di ricerca della pagina iniziale.
Fare clic su Cerca o premere INVIO.

Regole di protezione dell'accesso per Endpoint Security (ENS) e VirusScan Enterprise (VSE)
Le seguenti regole di protezione dell'accesso per ENS e VSE possono aiutare a combattere i malware. McAfee ha aggiornato le regole di protezione dell'accesso consigliate per indirizzare in modo più efficace questa variante specifica di Petya.

Nota Queste regole di protezione dell'accesso non aggirano la necessità di implementare il Extra.DAT. Le regole sono destinate a contribuire a combattere i malware. Tuttavia, le regole non impediscono che il payload malware venga creato o eseguito su un sistema. Queste due regole di protezione dell'accesso impediscono rundll32.exe dall'avvio di qualsiasi istanza di cmd.exee impedire inoltre la creazione del Microsoft TechNet PSExec utilità. Queste regole non impediscono il download o il salvataggio del nome file originale per PSExec. Pertanto, un amministratore può continuare a utilizzare questa utilità in base alle esigenze.

Regole di protezione dell'accesso ENS
Creare una regola con lo stato di inclusione di "Includi" utilizzando rundll32.exe per il nome o il percorso del file.
Creare una sottoregola con un tipo di "file" e per una destinazione includere cmd.exe.
Selezionare l'azione per impedire l'esecuzione.

Creare una regola con lo stato di inclusione di "Includi" utilizzando * per il nome o il percorso del file.
Creare una sottoregola con un tipo di "file" e per una destinazione includere **\PSEXESVC.EXE.
Selezionare l'azione per impedire la creazione.

Regole di protezione dell'accesso di VSE
Processo da includere: rundll32.exe
Processo da escludere:
File/cartella da bloccare: cmd.exe
Azioni: blocca esecuzione

Nota Questa regola impedisce il processo rundll32.exe dall'esecuzione di qualsiasi istanza di cmd.exe, si è rivelato un comportamento fondamentale del malware. Questa regola include tutti i software legittimi che potrebbero eseguire lo stesso comportamento, con un esempio di script personalizzato.

Processo da includere: *
Processo da escludere:
File/cartella da bloccare: **\PSEXESVC.EXE
Azioni: creazione di blocchi

Nota Questa regola impedisce a qualsiasi processo di creare il PSExec servizio remoto. La prevenzione della creazione di file può aiutare a prevenire la replica di PSExec, un componente utilizzato per la replica del payload malware. Questa regola non impedisce a un amministratore di salvare le nuove copie di PSExec ai sistemi in cui è applicata questa regola. Tuttavia, la regola impedisce PSEXESVC.EXE di essere creati sul sistema di destinazione, impedendo così l'utilizzo di PSExec -sia che venga utilizzato maliziosamente o per scopi amministrativi remoti normali.

Informazioni correlate

Altre risorse:
Bollettino sulla sicurezza di Microsoft MS17-010 – Critico: https://technet.microsoft.com/library/security/MS17-010

L'articolo KB70130 -Come attivare la tecnologia Global Threat Intelligence nei prodotti
KB91934 -Protezione da ransomware
L'articolo KB50642 -Come applicare un extra. DAT in locale per VirusScan Enterprise 8.x
L'articolo KB67602 -Come archiviare e distribuire manualmente un file extra. DAT in ePolicy Orchestral
KB59410 -Come determinare quali computer dispongono di un file extra. DAT installato utilizzando la reportistica di ePolicy Orchestrar

Allegato

EXTRADAT. zip
3K • < 1 minute @ broadband

Dichiarazione di non responsabilità

Il contenuto di questo articolo è stato scritto in inglese. In caso di differenze tra il contenuto in inglese e la traduzione, fare sempre riferimento al contenuto in iglese. Parte del contenuto è stata tradotta con gli strumenti di traduzione automatica di Microsoft.

Prodotti interessati

Configuration
Endpoint Security Firewall 10.7.x
Endpoint Security Firewall 10.6.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Endpoint Security Web Control 10.7.x
Endpoint Security Web Control 10.6.x
Network Security Manager 9.2.x
Network Security Manager 9.1.x
Network Security Manager 10.x
Network Security Sensor Appliance 9.2.x
Network Security Sensor Appliance 9.1.x
Network Security Sensor Appliance 10.x
Threat Prevention and Removal
VirusScan Enterprise 8.8

Lingue:

Questo articolo è disponibile nelle seguenti lingue:

German
English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

Protezione dalle varianti di Petya e BadRabbit ransomware modificate

Ambiente

Riepilogo

Soluzione

Informazioni correlate

Allegato

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Title

Title

Knowledge Center

Protezione dalle varianti di Petya e BadRabbit ransomware modificate

Ambiente

Riepilogo

Soluzione

Informazioni correlate

Allegato

Dichiarazione di non responsabilità

Prodotti interessati

Lingue:

Scegli la regione

Title

Title