Como uma ação de prevenção prioritária, atualize todos os sistemas com
MS17-010, caso eles ainda não contenham o patch.
Cobertura NSP da McAfee para o ransomware Petya
Assinaturas existentes:
- 0x43c0bd00- NETBIOS-SS: MS17-010 Execução remota de código SMB (Eternal Tools e WannaCry Ransomware)
- 0x43c0b800- NETBIOS-SS: vulnerabilidade de confusão de tipos MID e FID idênticos SMBv1 do Windows (CVE-2017-0143)
- 0x43c0b400- NETBIOS-SS: vulnerabilidade de execução remota de código SMB do Windows (CVE-2017-0144)
- 0x43c0b500- NETBIOS-SS: vulnerabilidade de execução remota de código SMB do Windows (CVE-2017-0145)
- 0x43c0b300- NETBIOS-SS: vulnerabilidade de gravação fora do limite SMB do Windows (CVE-2017-0146)
- 0x43c0b900- NETBIOS-SS: vulnerabilidade de divulgação de informações SMBv1 do Windows (CVE-2017-0147)
- 0x451e3300- HTTP: vulnerabilidade de execução arbitrária de código OLE do Microsoft Office (CVE-2017-0199)
A equipe de Pesquisa NSP criou uma UDS (User Defined Signature - Assinatura definida pelo usuário) com cobertura atualizada. A UDS está disponível para download no artigo
KB55447.
O artigo mencionado está disponível apenas para usuários registrados no ServicePortal.
Para exibir os artigos registrados:
- Entre no ServicePortal em http://support.mcafee.com.
- Digite a ID do artigo no campo de pesquisa, na página inicial.
- Clique em Pesquisar ou pressione Enter.
Regras de proteção de acesso para o VirusScan Enterprise (VSE) e o Endpoint Security (ENS)
As regras de proteção de acesso a seguir para o VSE e ENS podem ajudar a combater o malware. A McAfee atualizou as regras de proteção de acesso recomendadas para visar essa variante específica do Petya de maneira mais eficaz.
NOTA: essas regras de proteção de acesso não eliminam a necessidade de implementar o Extra.DAT. Elas se destinam a auxiliar no combate ao malware, mas não impedirão que a carga do malware seja criada nem executada em um sistema. Essas duas regras de proteção de acesso impedirão o rundll32.exe de iniciar qualquer instância de cmd.exe, bem como impedirão a criação do utilitário PSExec do Microsoft Technet. Elas não impedirão o download e/ou o salvamento do nome de arquivo original para PSExec, de modo que um administrador ainda poderá usar esse utilitário conforme a necessidade.
Regras de proteção de acesso do VSE
Processo a ser incluído: rundll32.exe
Processo a ser excluído:
Arquivo/pasta a ser bloqueado(a): cmd.exe
Ações: execução de bloqueio
NOTA: isso impedirá que o processo chamado rundll32.exe execute qualquer instância de cmd.exe, descoberta como o principal comportamento do malware. Isso inclui qualquer software legítimo que possa apresentar o mesmo comportamento, com a criação de script personalizado como um exemplo.
Processo a ser incluído: *
Processo a ser excluído:
Arquivo/pasta a ser bloqueado(a): **\PSEXESVC.EXE
Ações: criação de bloqueio
NOTA: isso impedirá qualquer processo de criar o serviço remoto de PSExec. Impedir a criação desse arquivo pode ajudar a impedir a replicação de PSExec, um componente usado na replicação da carga do malware. Isso não impedirá que um administrador salve novas cópias de PSExec nos sistemas em que essa regra é aplicada, mas impedirá que PSEXESVC.EXE seja criado no sistema de destino, impedindo, assim, o uso de PSExec - seja ele de modo mal-intencionado, seja para fins comuns de administração remota.
Regras de proteção de acesso do ENS
Criar uma nova regra com um status de inclusão de "Incluir" usando rundll32.exe para o Nome de arquivo ou Caminho
Criar uma sub-regra com um tipo de "arquivos" e para um destino incluir cmd.exe
Selecionar a ação para impedir a execução
Criar uma nova regra com um status de inclusão de "Incluir" usando * para o Nome de arquivo ou Caminho
Criar uma sub-regra com um tipo de "arquivos" e para um destino incluir **\PSEXESVC.EXE
Selecionar a ação para impedir a criação
