Protegendo-se contra Petya e variantes de ransomware modificadas

Artigos técnicos ID: KB89540
Última modificação: 27/01/2021

Ambiente

McAfee produtos que usam DATs

NOTA: Este artigo aplica-se somente aos produtos para grandes empresas da McAfee. Se precisar de informações ou de suporte a produtos para consumidor ou para pequenas empresas da McAfee, visite https://service.mcafee.com.
Artigo do consumidor para Petya e BadRabbit: TS102703.

Resumo

A McAfee está ciente de modificação Petya ransomware variantes (também chamadas de PetrWrap, PetWrap, Petya. A, Petja, BadRabbit e Rabbit incorretos) que estão sendo detectados em ambientes corporativos.

O software atualizada McAfee detecta todas essas ameaças.
Em 27 de junho de 2017 McAfee foi lançado inicialmente uma Extra.DAT (anexado a este artigo) para incluir cobertura for Petya.
McAfee também lançou um DAT de emergência para incluir cobertura para Petya em 28 de junho de 2017. Os DATs subsequentes também incluem cobertura.
DATs mínimos por cobertura:
- Endpoint Security (3025) ou superior
- VirusScan Enterprise (8574) ou superior
O Extra.DAT anexado a este artigo está incluído nos DATs mostrados acima e em quaisquer DATs subsequentes.
McAfee também tem a detecção para essas ameaças na reputação de arquivos Global Threat Intelligence (GTI) (com uma Econômico configuração).

Este artigo será atualizado à medida que informações adicionais estiverem disponíveis. Continue a monitor este artigo para obter atualizações.

Atualizações recentes deste artigo

Para receber notificações por e-mail quando este artigo for atualizado, clique em Assinar na lateral direita da página. Você deve estar conectado para assinar.

Data	Atualização
5 de outubro de 2020	Endpoint Security adicionados 10.6.x/10.7.x Categorias.
19 de setembro de 2019	Link atualizado para "protegendo-se contra o ransomware" na seção informações relacionadas.
26 de outubro de 2017	Atualizado para incluir sintomas de BadRabbit.
20 de julho de 2017	Sinônimos adicionados que os clientes também procuraram.
19 de julho de 2017	As informações sobre o PSExec foram corrigidas.

Petya exibe os seguintes sintomas:

O método de propagação parece ser por meio dos protocolos RDP (Remote Desktop Protocol) e Server Message Block (SMB).
O ransomware pode exibir a seguinte mensagem em um sistema infectado:

Reparando o sistema de arquivo em C:

O tipo do sistema arquivo é NTFS.
Um de seus discos contém erros e precisa ser reparado. Esse processo pode levar várias horas para ser concluído. É recomendável que ele seja concluído.

AVISO: NÃO DESLIGUE SEU PC! SE ABORTAR ESSE PROCESSO, VOCÊ PODE DESTRUIR TODOS OS SEUS DADOS! CERTIFIQUE-SE DE QUE O CABO DE ALIMENTAÇÃO ESTÁ CONECTADO NA TOMADA!

O CHKDSK está reparando o setor xxxxx de xxxxxxxx (x%)
Após a criptografia, os sistemas impactados podem pedir que o usuário reinicialize. Após a reinicialização, uma tela de ransomware semelhante à seguinte é exibida:

As extensões atualmente conhecidas como afetadas são:

.3ds, .7z, .accdb, .ai, .asp, .aspx, .avhd, .back, .bak, .c, .cfg, .conf, .cpp, .cs, .ctl, .dbf, .disk, .djvu, .doc, .docx, .dwg, .eml, .fdb, .gz, .h, .hdd, .kdbx, .mail, .mdb, .msg, .nrg, .ora, .ost, .ova, .ovf, .pdf, .php, .pmf, .ppt, .pptx, .pst, .pvi, .py, .pyc, .rar, .rtf, .sln, .sql, .tar, .vbox, .vbs, .vcb, .vdi, .vfd, .vmc, .vmdk, .vmsd, .vmx, .vsdx, .vsv, .work, .xls, .xlsx, .xvd, .zip

O BadRabbit apresenta os seguintes sintomas:

O ransomware pode exibir a seguinte mensagem em um sistema infectado:

Desativar os programas antivírus e malware
Ocorreu! Seus arquivos foram criptografados.

If you see this text, your files are no longer accessible. You might have been looking for a way to recover your files. Don't waste your time. Ninguém poderá recuperá-los sem o nosso
serviço de descriptografia.

We need to guarantee that you can recover all your files safely. Tudo o que você precisa fazer é enviar o pagamento e obter a senha de descriptografia.
Os dados em sistemas afetados são criptografados.
O usuário é instruído a visitar um domínio (caforssztxqzf2nm.onion) na rede do TOR. A página pagamento é parecida com esta:

As extensões de arquivo conhecidas por serem afetadas são:

.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf
.cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp
.hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm
.odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1
.pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs
.vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip

Solução

Como uma ação de prevenção de prioridade, atualização qualquer sistema com MS17-010, Se eles ainda não contiverem o atualização.

Cobertura do Network Security Platform (NSP) para Petya Ransomware
Assinaturas existentes:

0x43c0bd00-NETBIOS-SS: MS17-010 SMB execução remota de código (ferramentas externas e ransomware de WannaCry)
0x43c0b800-NETBIOS-SS: Windows SMBv1 vulnerabilidade de confusão de tipo MID e FID idêntica (CVE-2017-0143)
0x43c0b400-NETBIOS-SS: Windows SMB vulnerabilidade de execução remota de código (CVE-2017-0144)
0x43c0b500-NETBIOS-SS: Windows SMB vulnerabilidade de execução remota de código (CVE-2017-0145)
0x43c0b300-NETBIOS-SS: Microsoft Windows SMB vulnerabilidade de gravação fora de ligação (CVE-2017-0146)
0x43c0b900-NETBIOS-SS: Windows vulnerabilidade de divulgação de informações SMBv1 (CVE-2017-0147)
0x451e3300-HTTP: Microsoft Office vulnerabilidade de execução arbitrária de código OLE arbitrário (CVE-2017-0199)

A equipe de pesquisa do NSP criou uma assinatura definida pelo usuário (UDS) com cobertura atualizada. O UDS está disponível para fazer download de KB55447.

O artigo mencionado está disponível apenas para usuários registrados no ServicePortal.

Para exibir os artigos registrados:

Entre no ServicePortal em http://support.mcafee.com.
Digite a ID do artigo no campo de pesquisa, na página inicial.
Clique em Pesquisar ou pressione Enter.

Regras de proteção de acesso para Endpoint Security (ENS) e VirusScan Enterprise (VSE)
As regras de proteção de acesso a seguir para o ENS e o VSE podem ajudar a combater o malware. A McAfee atualizou as regras de proteção de acesso recomendadas para direcionar com mais eficiência essa variante específica do Petya.

OBSERVAÇÃO: Essas regras de proteção de acesso não evitam a necessidade de implementar o Extra.DAT. As regras destinam-se a ajudar a combater a malware. No entanto, as regras não impedem que a carga de malware seja criada ou executada em um sistema. Essas duas regras de proteção de acesso impedem rundll32.exe de iniciar quaisquer instâncias de cmd.exee também impede a criação do Microsoft TechNet PSExec utilitária. Essas regras não impedem o download ou o salvamento do nome de arquivo original para PSExec. Portanto, um administrador ainda pode usar esse utilitário conforme o necessário.

Regras de proteção de acesso do ENS
Criar uma regra com um status de inclusão de "include" usando rundll32.exe para o nome ou o caminho do arquivo.
Criar uma sub-regra com um tipo de "arquivos" e, para um destino, incluir cmd.exe.
Selecione a ação para impedir a execução.

Crie uma regra com um status de inclusão de "include" usando * para o nome do arquivo ou o caminho.
Criar uma sub-regra com um tipo de "arquivos" e, para um destino, incluir **\PSEXESVC.EXE.
Selecione a ação para impedir a criação.

Regras de proteção de acesso do VSE
Processo a ser incluído: rundll32.exe
Processo a ser excluído:
Arquivo/pasta a ser bloqueado: cmd.exe
Ações: Bloquear execução

OBSERVAÇÃO: Essa regra impede que o processo rundll32.exe executem qualquer instância do cmd.exe, considerado um comportamento principal do malware. Essa regra inclui qualquer software legítimo que possa executar o mesmo comportamento, com scripts personalizados, como exemplo.

Processo a ser incluído: *
Processo a ser excluído:
Arquivo/pasta a ser bloqueado: **\PSEXESVC.EXE
Ações: criação de bloqueio

OBSERVAÇÃO: Essa regra impede que qualquer processo crie o PSExec serviço remoto. A impedição dessa criação de arquivo pode ajudar a impedir a replicação de PSExec, um componente usado na replicação da carga de malware. Esta regra não impede que um administrador salve nenhuma cópia nova do PSExec para sistemas em que essa regra é aplicada. No entanto, a regra impede que PSEXESVC.EXE sejam criados no sistema de destino, impedindo, assim, o uso de PSExec -Se ele é usado maliciosamente ou para fins administrativos normais.

Informações relacionadas

Mais recursos:
Microsoft boletim de segurança MS17-010 – Críticos: https://technet.microsoft.com/library/security/MS17-010

KB70130 -Como ativar a tecnologia Global Threat Intelligence em produtos
KB91934 -Protegendo-se contra o ransomware
KB50642 -Como aplicar um extra. DAT localmente para VirusScan Enterprise 8.x
KB67602 -Como incluir e distribuir manualmente um extra. DAT no ePolicy Orchestrator
KB59410 -Como determinar quais computadores têm um extra. DAT instalado usando o relatório do ePolicy Orchestrator

Anexo

EXTRADAT. zip
3K • < 1 minute @ broadband

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

Configuration
Endpoint Security Firewall 10.7.x
Endpoint Security Firewall 10.6.x
Endpoint Security Threat Prevention 10.7.x
Endpoint Security Threat Prevention 10.6.x
Endpoint Security Web Control 10.7.x
Endpoint Security Web Control 10.6.x
Network Security Manager 9.2.x
Network Security Manager 9.1.x
Network Security Manager 10.x
Network Security Sensor Appliance 9.2.x
Network Security Sensor Appliance 9.1.x
Network Security Sensor Appliance 10.x
Threat Prevention and Removal
VirusScan Enterprise 8.8

Idiomas:

Este artigo está disponível nos seguintes idiomas:

German
English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

Protegendo-se contra Petya e variantes de ransomware modificadas

Ambiente

Resumo

Solução

Informações relacionadas

Anexo

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Protegendo-se contra Petya e variantes de ransomware modificadas

Ambiente

Resumo

Solução

Informações relacionadas

Anexo

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title