एक बार फिर, नवीनतम महामारी के बारे में संक्षेप में

• यदि आप संक्रमित हैं, तो फिरौती का भुगतान न करें - पता wowsmith123456@posteo.net प्रदाता द्वारा अवरुद्ध है, जो डिक्रिप्शन के लिए एक कुंजी प्राप्त करना असंभव बनाता है। ( लेख के बारे में पहले से ही क्या है - लगभग। प्रति।)
• डोमेन के भीतर नवीनतम विंडोज सिस्टम वाले कंप्यूटरों पर वितरण होता है।
• C: \ Windows \ perfc पर एक फ़ाइल बनाना, WMIC के माध्यम से हमला वेक्टर को रोकता है।
• यदि कंप्यूटर को रिबूट करने के बाद स्क्रीन पर CHKDSK दिखाई देता है, तो आपको तुरंत कंप्यूटर को बंद कर देना चाहिए - इस समय फाइलें एन्क्रिप्ट की गई हैं।

साथ ही नवीनतम WannaCry हमले के मामले में, जल्द से जल्द Microsoft MS17-010 से अपडेट स्थापित करने की सिफारिश की गई है। यदि किसी कारण से पैच को स्थापित करना असंभव है, तो एसएमबी 1 प्रोटोकॉल को बंद करने की सिफारिश की जाती है।

वायरस फैल गया

पेटना और मिशा, वानाक्राइ के विपरीत, स्थानीय नेटवर्क (डिफ़ॉल्ट रूप से, एक सुरक्षित वातावरण) के भीतर वितरित किए जाते हैं। जिन उदाहरणों का हमने अध्ययन किया, उनमें इंटरनेट के माध्यम से वितरण तंत्र एकीकृत नहीं थे।

रैंसमवेयर शुरू करने के बाद, संक्रमित कंप्यूटर ADMIN $ नेटवर्क शेयरों के लिए स्थानीय सबनेट (/ 24) स्कैन करता है, पेलोडू को दूसरे कंप्यूटर पर कॉपी करने और PsExec का उपयोग करके इसे शुरू करने के लिए।

अगले चरण में WMIC कमांड (प्रोसेस कॉल क्रिएट \ "C: \ Windows \ System32 \ rundll32.exe \\" C: \ Windows \ perfc.dat \) को कंप्यूटर पर निष्पादित किया गया। यह कनेक्शन Mimikatz का उपयोग करके प्राप्त किया गया था।

नवीनतम वितरण विधि EternBlue भेद्यता का उपयोग कर रही थी।

वायरस कैसे काम करता है

रैंसमवेयर ने केवल स्थानीय ड्राइव को स्कैन किया। नेटवर्क और बाहरी ड्राइव हमले का लक्ष्य नहीं थे।

निम्नलिखित एक्सटेंशन वाली फाइलें एन्क्रिप्ट की गई थीं:

.3ds .7z .accdb .ai .asp .aspx .avhd .back .bak .ccfg .conf .conf .cpp .csl .dlf .dbf .djvu .doc .docx .dwg .eml .fdb .gz .hz .hz .hdd .kdxx .mail .mdb .msg .nrg .ora .ost .ov .pf .php .php .pmf .ppt .pptx .pst .pst .pvi .py .p.rar .rtl .sln .sql .tar पर .vbox। .vbs .vcb .vdi .vfd .vmc .vmdk .vmsd .vmx .vsdx .vsv .work .xls .xlsx .xvd .zm

पिछले वर्ष के अभियान की तुलना में MBR बूट सेक्टर पुनर्लेखन तंत्र में कोई महत्वपूर्ण परिवर्तन नहीं हुए थे। संक्रमण के बाद, सिस्टम लॉग साफ़ हो जाते हैं (सेटअप, सिस्टम, सुरक्षा, अनुप्रयोग)।

टास्क शेड्यूल संक्रमण के एक घंटे बाद कंप्यूटर को पुनरारंभ करने के लिए एक कमांड भी जोड़ता है । पेटीएम मशीन को रिबूट करने के लिए WinAPI NtRaiseHardError फ़ंक्शन की अनडॉस्मेंटेड सुविधा का भी उपयोग करता है।