[dubstep]

Ściągnąłem tego robaka na wirtualną maszynę [tak odciąłem sieć] i zastosowałem się do stworzenia pliku perfc [niby kill-switch] i wiecie co?


Zaszyfrowało maszynę.
#bezpieczenstwo #it #petya

[mateusza]

@dubstep: A potwierdzasz, że szyfruje tylko początki (pierwsze 1048576 bajtów) plików?

[Lizusek]

@dubstep: jak to gówno sie rozprzestrzenia? jak w lokalnej sieci jedna osoba odpali to od razu przykleja sie do wszystkiego?

[mateusza]

@Lizusek: Nie do wszystkiego. Jedynie do nieaktualizowanych Windowsów.

[emdrzi]

@mateusza: Zaktualizowane też leżą

[drobna_elektryka]

@mateusza: Jeżeli dostał się do lokalnej sieci to rozprzestrzeniał się też na spatchowane Windowsy.
@dubstep: Niektórzy mówili, że musi to być plik perfc.dat a nie sam perfc bez rozszerzenia

[kpscn]

@mateusza: Nawet załatane Windowsy są infekowane, tyczy się to również wersji 10.
@dubstep: A pamiętałeś o rozszerzeniu .bat? ( ͡º ͜ʖ͡º)

[127-0_0-1]

@dubstep: uprawnienia tylko do odczytu były ?

[127-0_0-1]

@kpscn: raczej .dat

[kpscn]

@127-0_0-1: Nie, .bat.

[127-0_0-1]

@kpscn: Petya (NotPetya) w C:\Windows tworzy plik perfc.dat a nie perfc.bat

[kpscn]

@127-0_0-1: Gościu, spójrz wyraźnie na screen, który specjalnie dla Ciebie zamieściłem. Po przeskanowaniu portów sieci lokalnej tworzyła plik z roszerzeniem .bat.

Bez tego rozszerzenia wsadowego - teoretycznie - nie powinien uruchamiać się command line, w którym to był ustawiany task na checkdisk i restart komputera. Proces zaszyfrowania dysku odbywa się podczas skanowania dysku po jego restarcie.

Napisałem teoretycznie, bo nadal nie wiadomo czy ten kill-switch faktycznie działa.

[127-0_0-1]

@kpscn: https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/

[dubstep]

@dubstep: wrzucam link do nowego posta
https://www.wykop.pl/wpis/24933497/tworze-post-jeszcze-raz-bo-poprzednio-zrobilem-met/

[127-0_0-1]

@kpscn: w komentarzach na niebezpieczniku masz już potwierdzenia że chodzi o .dat a nie .bat