更新6/29/2017 1045 PST:根据Malwarebytes实验室发现的信息，我们已经确定必威官方登录备用必威平台APPransomware变体被编码为删除一个惟一的和随机生成的密钥，该密钥用于加密MFT(主文件表)。一旦Salsa20密钥被销毁，用户就不太可能收到有效的解密密钥——即使是在向攻击者支付赎金之后。因此，我们警告任何可能考虑支付赎金的受感染用户要小心。我们在Malwarebytes博客上创建了一个新条目，里面有最新发现的必威平台APP信息:永恒的彼佳和丢失的萨尔萨20钥匙

更新2017/2017 1653 PST:基于安全研究人员发布的信息，a乌克兰的会计软件公司叫Me Doc在格林尼治时间上午10:30左右发布了一个更新，在“零受害者”系统上安装了恶意软件。然后，使用PSExec、WMI和EternalBlue的混合，它能够传播到网络上的每一台计算机。Me Doc声称情况并非如此;但是，因此我们不能完全确认这是原始感染载体的来源。

在这一点上，最好(如果您正在运行任何Me Doc软件)不要更新该软件，直到他们宣布他们的服务器是干净的。

更新6/27/2017 1515 PST：研究人员发现了一种可能是目前版本的petya型勒索蠕虫的“疫苗”．你可以给它一个镜头，看看它是否适用于你，但请记住，基本上一旦被创建了相关的文章，这次攻击的创造者可能已经修改了他们的来源来否定防守。祝你好运！

更新6/27/2017 1430 pst:如果你正在考虑支付这种威胁的赎金 - 不要打扰。这托管地址的电子邮件服务被指示将受害者发送付款以关闭帐户．因此，在这一点上，试图支付赎金将导致返回的电子邮件。不幸的是，从支付中恢复文件现在已经不可能了，攻击者可能会为受害者提供其他形式的支付交易。

与WanaCrypt0r类似，一种名为Petya/NotPetya的新型勒索软件正在影响世界各地的用户，导致乌克兰、英国和西班牙的公司关闭。

背景

彼佳，在2016年7月创建的，开始作为利用A的下一代赎金仓库之一主引导记录(MBR)储物柜。在勒索软件出现的早期，改变系统启动方式的毒株很流行，但它们已经消失了很多年。今天，在其成立一周年后不久，Petya带着一种复仇和肮脏的新分配方法回来了。

至于这种恶意软件是否与我们过去已处理过的Petya，许多其他研究人员，包括我们自己，声称该恶意软件受到Petya创建者的严重影响，很可能是他们开发的。这种恶意软件的指示器和代码与以前版本的Petya相匹配，但有额外的功能。

我们不会索取归因甚至确认我们正在处理的家庭，直到更多的分析已经完成，并且可以获得更多的证据。我们肯定可以说的是，这个赎金软件在野外很少看到策略。

感染向量

从Wannacry的书中拿出一页，这个新的赎金软件使用了同样的EterNalue SMB Exploit，它在爆发中使用了超过一个月前的爆发。目前还有报道，此攻击使用电子邮件垃圾邮件在努力中分发受感染的办公文档，以便迅速传播和分配赎金软件。此恶意软件还包括在具有管理凭据的系统上使用psexec的能力，允许它在网络上的任何系统上执行恶意软件的重复。

然而，并非所有这些报告都得到了Malwarebytes员工的确认，因此其真实的原始感染矢量超出了SMB开发的型在空必威平台APP中。但是，PSExec方法与EterNalBlue Exproit的组合使这种恶意软件能够在网络中传播的能力。

执行

执行后，勒索软件在低级别中感染系统，修改MBR并用以下提示呈现用户：

重新启动后，USER而不是加载到计算机上安装的操作系统，用户面临虚假检查磁盘操作，而不是实际检查硬盘以进行问题，实际上是加密文件！我们知道这是一个基于恶意软件内发现的字符串的假屏：

这样做是为了购买赎金软件更多时间来加密系统上的所有相关文件而不被用户停止。

MFT（主文件表）和MBR也被加密。MBR被覆盖以显示赎金说明，这使得在没有修复的情况下无法启动系统 - 意味着用户必须支付罪魁祸首或无法访问其系统。然后，计算机将显示一个带红色刻字的威胁黑屏，列出了赎金瓶的目的及其需求。该攻击通过将单个文件从单个文件加密到整个系统来影响用户。

虽然这种情况可以很容易地避免，只要保持所有的防病毒数据库和操作系统更新是最新的，但现在感染病毒的用户必须支付300美元的比特币，才能重新访问他们的文件。

如Twitter上所述@ydklijnsma，看起来目标文件类型更倾向于开发人员使用的程序，比如。vbs、。ova、。vbox等等。这样看来，这些攻击的目标很可能是企业，特别是专门从事软件开发的公司。

不幸的是，不像“想哭”，Petya没有现成的或已知的“断路开关”。有一种“疫苗”，有可能阻止感染，尽管我们自己的测试表明，在很多情况下，它不能。通过使用这种方法，Windows 10系统似乎有一个战斗的机会，但根据我们的测试，Windows 7每次都会被感染。

零小时保护

必威平台APPMalwarebytes在零小时中检测到这个勒索软件，这意味着那些有的东西必威平台APP伪溢价或者我们的独立反赎金瓶技术已被免受这次攻击开始的瞬间的保护。Malwa必威平台APPrebytes都是业务用户如果使用上述产品的最新版本，则会保护消费者用户。

我们检测到这个勒索软件赎金。彼佳或Ransom.Petya.EB

从这种威胁完全保护也可以通过：

    • 更新和部署具有反勒索软件功能的安全软件
    • 更新和保护网络上的操作系统，包括检查任何面向internet的系统上的开放SMB端口
    • 锁定拥有管理权限的用户帐户，甚至可能删除/关闭可能利用PSExec方法传播恶意软件的管理系统
    • 如果您是一个企业所有者，请确保您的用户知道当前的威胁
  • 在不久的将来以高度审查的方式打开电子邮件

此幻灯片需要JavaScript。

我们将定期更新这篇文章，以通知您有关此攻击的新发展，深入了解其传播和可能的动机/感染方法。此外，我们目前正在研究一个分析恶意软件二进制文件的帖子。期待那么快。

感谢阅读和安全冲浪!

特别感谢：