Petya/NotPetya Malware

Transcriptie

1 Petya/NtPetya Malware Rapprt ver de wereldwijde infectie 30 Juni 2017 TLP: [WHITE]

2 Inhud 1 Executive Summary Technische Samenvatting Karakteristieken Verspreiding Na infectie Advies IOC s...9 Petya/NtPetya Malware - 30 June TLP: [WHITE] 2

3 1 EXECUTIVE SUMMARY DREIGING SLACHTOFFERS DADERS HOOG wereldwijd bedrijven nbekend Een nieuwe malware variant vrlpig Petya/NtPetya genaamd heeft p dinsdag 27 juni 2017 verschillende kritieke systemen uitgeschakeld in Oekraïne, Rusland, Denemarken, Frankrijk, het VK, de VSA, België en meerdere andere landen. Reeds vreg in de infectiefase ntving CERT.be infrmatie vanuit diverse betruwbare kanalen en kn deze filteren, bundelen en kanaliseren. Hewel er in de beginfases van de infectie gedacht werd dat het ver ransmware ging, werd na technische analyse duidelijk dat er meer functinaliteit aanwezig was dan luter ransmware. Deze malware encrypteert wel bestanden, maar brengt k nherrepelijke schade te aan het systeem en is gebuwd met het idee bestanden nit meer effectief te kunnen decrypteren. Verschillende brnnen spreken van een destructief cyberwapen, waarbij sabtage vrp staat. De malware verspreidde zich via een kwetsbaarheid in het SMB-prtcl in Windws, gecmbineerd met het gebruik van interne Windws tlkits (WMIC, PsExec) en het stelen van gebruikersnaam/wachtwrd cmbinaties. Na infectie start het systeem niet meer p en zijn de meeste bestanden geëncrypteerd. De gebruiker krijgt een scherm te zien met de bdschap dat zijn bestanden geëncrypteerd zijn en dat ze $300 lsgeld meten betalen vr de decryptiesleutel. De meest gangbare therie ver de initiële infectie heeft te maken met een autmatische update van de accuntingsftware MEDc van Oekraïense rigine p dinsdagchtend. Deze update bevatte de malware Petya/NtPetya en verspreidde zich zeer snel drheen diverse netwerken van.a. de Oekraïense verheid en de firma Maersk. Intern en dus k ver landsgrenzen heen is de malware in staat m zich heel snel te verspreiden, maar extern kan de malware zich enkel verspreiden via dezelfde SMB-prtcl kwetsbaarheden die we reeds bij WannaCry gezien hebben. Enkel bedrijven die deze kwetsbaarheden ng niet gedicht hadden, bleken kwetsbaar. Gezien veel bedrijven in België dit reeds gedaan hadden en het geringe aantal slachtffers bij particulieren en KMO s, leeft de hypthese dat enkel internatinale bedrijven getrffen zijn via een dchternderneming in het buitenland die ng kwetsbaar waren. Eén van de verschillen met de WannaCry infectie van afgelpen maand is het feit dat er bij deze malware geen killswitch aanwezig is, enkel een srt vaccinatie waarvan er ver de effectiviteit ng geen uitsluitsel bestaat. Daarnaast heeft de Petya/NtPetya malware ng andere methdes waarnder het stelen van wachtwrden - m systemen intern te infecteren dan luter de SMB-kwetsbaarheid, waardr enkel het dichten van deze kwetsbaarheid niet vldende blijkt. De inspanningen van CERT.be na de uitbraak van WannaCry lijken effect te hebben. CERT.be verde een infrmatie- en sensibiliseringscampagne m besmettingen met ransmware te vrkmen. Omdat vele bedrijven actie ndernamen na WannaCry, waren ze daarm beter gewapend tegen deze nieuwe cyberaanval. CERT.be vlgt de situatie ng steeds permanent p. Bedrijven die slachtffer zijn, kunnen dit melden p cert@cert.be en kunnen een klacht indienen bij de plitie. Petya/NtPetya Malware - 30 June TLP: [WHITE] 3

4 2 TECHNISCHE SAMENVATTING 2.1 Karakteristieken De malware lijkt technisch sterk p de Petya malware, maar met vlgende belangrijke verschillen: De infectievectr is niet phishing, maar de MEDc applicatie; De verspreidingsmethdes zijn de SMB-kwetsbaarheden, legitieme Windws tls en Mimikatz; Er wrdt gebruik gemaakt van valse digitaal getekende sftware; Er wrdt gebruik gemaakt van XOR geëncrypteerde shellcde in de malware lading m z AV signatures te mzeilen; Er kan een specifiek gedrag gebserveerd wrden vr Dmain cntrllers en servers, deze malware prbeert een functie te activeren DhcpEnumSubnets() m alle DHCP subnets p te halen vrdat een scan uitgeverd wrdt naar tcp/139 en tcp/445 services; Er is een nbevestigde killswitch in de malware die geactiveerd kan wrden dr het aanmaken van een enkel lezen bestand genaamd perfc nder de %Windws% installatie map. Dit zal evenwel niet verhinderen dat de malware zich verspreidt; 1 Er is geen bewijs vr netwerkcmmunicatie naar een externe cmmunicatie en cntrle server. 1 Petya/NtPetya Malware - 30 June TLP: [WHITE] 4

5 2.2 Verspreiding Na initiële infectie beweegt deze malware dr vlgende technieken : Het stelen van gebruikersnaam/wachtwrd cmbinaties via een variant van Mimikatz; Het hergebruiken van actieve SMB sessies; Het gebruik van gedeelde mappen m de ransmware te verspreiden drheen hetzelfde netwerk via WMIC en PsExec; Het gebruik van de gekende SMBv1 kwetsbaarheid EternalBlue and EternalRmance 2. Vert verder een netwerk scan uit : De malware enumereert alle netwerk adapters en alle mgelijke server namen via NetBIOS; Enumereert de gebruikte DHCP adressen, indien beschikbaar; Maakt k gebruik van de lkale ARP cache; Ieder netwerkadres p het lkale netwerk wrdt gecntrleerd p pen TCP prten, meer bepaald prt 445 en 139. De machines die deze prten pen hebben, wrden vervlgens aangevallen met één van de methden hierbven beschreven Na infectie De malware prbeert de accunt gegevens van andere gebruikers te bemachtigen via een variant van de Mimikatz tl. Eenmaal een administratr accunt bemachtigd is, zal de malware zichzelf intern verspreiden via een van de hierbven beschreven technieken; Eenmaal verspreid, geeft de malware de pdracht m de encryptie te starten aan alle machines waarnaar het zich heeft kunnen kpiëren, gebruikmakende van WMIC en PsExec; De malware verschrijft een deel van het Master Bt Recrd (MBR) met een eigen stuk cde nherrepelijk als een van de vlgende rechten verkregen is: SeShutdwnPrivilege f SeDebugPrivilege f SeTcbPrivilege privilege; en creëert een geplande taak m de cmputer pnieuw p te starten, met een randm tijd tussen de 10 en 60 minuten; Vrbeeld schtasks /Create /SC nce /TN /TR <system flder>\shutdwn.exe /r /f /ST 14: Petya/NtPetya Malware - 30 June TLP: [WHITE] 5

6 Een valse schijf integratiecntrle pagina wrdt weergegeven aan de gebruiker, in de achtergrnd wrdt de encryptie van alle bestanden p de harde schijf gestart (zie nderstaande afbeelding); Valse schijfcntrle De malware heeft nderstaande bestandsextensies als delwit vr de encryptie en verschrijft de riginele bestanden: ".3ds.7z.accdb.ai.asp.aspx.avhd.back.bak.c.cfg.cnf.cpp.cs.ctl.dbf.disk.djvu.dc.dcx. dwg.eml.fdb.gz.h.hdd.kdbx.mail.mdb.msg.nrg.ra.st.va.vf.pdf.php.pmf.ppt.pptx.ps t.pvi.py.pyc.rar.rtf.sln.sql.tar.vbx.vbs.vcb.vdi.vfd.vmc.vmdk.vmsd.vmx.vsdx.vsv.wrk. xls.xlsx.xvd.zip" Deze malware gebruikt AES-128/RSA encryptie en genereert een unieke sleutel met de public key van de aanvallers en de unieke gebruikers-id 4. Verdere analyses hebben uitgewezen dat de unieke gebruikers-id willekeurig gegenereerd wrdt, waardr het decrypteren aan de hand van deze sleutel nmgelijk wrdt. Windws lgbeken (Security, Event, Applicatie) en het transactielgbek van het filesyteem (USN Change jurnal) wrdenleeggemaakt; Vrbeeld wevtutil cl Setup & wevtutil cl System & wevtutil cl Security & wevtutil cl Applicatin & fsutil usn deletejurnal /D %c: 4 Petya/NtPetya Malware - 30 June TLP: [WHITE] 6

7 Na het encryptieprces en het uitveren van de geplande taak, wrdt het systeem herstart; Na de herstart wrdt de gebruiker een scherm gepresenteerd met vlgende infrmatie: Het feit dat alle bestanden geëncrypteerd zijn; een garantie dat alle bestanden hersteld kunnen wrden; instructies m het lsgeld te betalen en; een persnlijke sleutel. Petya/NtPetya malware vrbeeld Petya/NtPetya Malware - 30 June TLP: [WHITE] 7

8 3 ADVIES Betaal het lsgeld niet! Het adres was enkele uren na de start van de aanval al nbeschikbaar; zrg dat uw systeem de laatste beveiligingsupdates ntvangen en geïnstalleerd heeft. (Specifiek Micrsft Security Patch MS17-010) ; verwijder lkale beheerdersrechten van gewne gebruikersaccunts; Hud de creatie van nieuwe geplande taken in de gaten via EventId 106 vr vlgende taken: schtasks /Create /SC nce /TN /TR <system flder>\shutdwn.exe /r /f /ST <time> cmd.exe /c schtasks /RU SYSTEM /Create /SC nce /TN /TR C:\Windws\system32\shutdwn.exe /r /f /ST <time> blkkeer de uitvering van het PsExec en perfc.dat bestanden via Applcker f gelijkaardige tl; zrg dat uw AV / IDS / IPS bijgewerkt zijn; dwing een back-up strategie af en test deze uit; vlg de traditinele beveiligingsmethden tegen Ransmware 5 ; SMB restricties: zrg dat Windws SMB services (typisch TCP prt 445) niet direct gecnnecteerd zijn naar het internet; verweeg m inkmend extern verkeer p prt 445 te blkkeren; verweeg SMBv1 in uw netwerk uit te schakelen; hud het interne netwerk in de gaten en meer specifiek p anmalieën in managementverkeer; in netwerken waar Netflw data beschikbaar is, hud vlgende zaken in het g: Wrkstatins die prten tcp/139 en tcp/445 in hun eigen (/24) netwerk scannen; Servers (specifiek, dmain cntrllers) die prten tcp/139 en tcp/445 scannen ver meerdere subnets. 5 Petya/NtPetya Malware - 30 June TLP: [WHITE] 8

9 4 IOC S Categry Type Value Paylad delivery Sha256 34f917aaba5684fbe56d3c57d48ef2a1aa7cf06d 9717cfdc2d023812dbc84a941674eb23a2a8ef06 38e2855e11e353cedf9a8a4f2f2747f1c5c07fcf 56c03d8e43f aee482704a4f5005ad Paylad delivery Scheduled Task schtasks /Create /SC nce /TN /TR <system flder>\shutdwn.exe /r /f /ST <time> Paylad delivery Scheduled Task cmd.exe /c schtasks /RU SYSTEM /Create /SC nce /TN /TR C:\Windws\system32\shutdwn.exe /r /f /ST <time> Paylad delivery Lateral Mvement prcess call create \ C:\\Windws\\System32\\rundll32.exe \\\ C:\\Windws\\perfc.dat\\\ #1 Petya/NtPetya Malware - 30 June TLP: [WHITE] 9

10 5 CONTACT The Federal Cyber Emergency Team Wetstraat Brussel Over het CERT.be Het Federal Cyber Emergency Team (CERT.BE), is de peratinele dienst van het Centrum vr Cybersecurity België (CCB), die de verheid, de vitale diensten en de ndernemingen ndersteunt bij de preventie, cördinatie en bijstand bij cyberincidenten. Het Centrum Vr Cybersecurity België Wetstraat Brussel +32 (0) inf@ccb.belgium.be Over het Centrum vr Cybersecurity België Het Centrum vr Cybersecurity België (CCB) is het natinale centrum vr cyberveiligheid in België. Het CCB stelt tt del het superviseren, het cördineren en het waken ver de tepassing van de Belgische strategie vr cyberveiligheid. Dr het ptimaliseren van de infrmatie-uitwisseling kunnen de bevlking, de bedrijven, de verheid en de vitale sectren zich gepast beschermen. Verantwrdelijke uitgever Centrum vr Cybersecurity België Miguel De Bruycker, directeur Wetstraat 16, 1000 Brussel juni 2017 Petya/NtPetya Malware - 30 June TLP: [WHITE] 10