Хакерская атака, «Киевэнерго», «Ощадбанк», «Нова пошта» и «Укртелеком» Опции

[Суничка]

Petya Ransomware Попередній Аналіз CVE-2017-0199 + MS17-010

«Киевэнерго», «Ощадбанк», «Нова пошта» и «Укртелеком» подверглись хакерской атаке. Волна идет по всей Украине
Энергетические компании Украины подверглись массированной атаке вируса-шифровальщика – аналога WannaCry

Вирус называется очень просто и оригинально – Petya.
Подробнее про WannaCry:

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

https://ru.wikipedia.org/wiki/WannaCry
Вредоносная программа сканирует в Интернете узлы в поисках компьютеров с открытым TCP-портом 445, который отвечает за обслуживание протокола SMBv1. Обнаружив такой компьютер, программа предпринимает несколько попыток проэксплуатировать на нём уязвимость EternalBlue и, в случае успеха, устанавливает бэкдор DoublePulsar[9], через который загружается и запускается исполняемый код программы WannaCry. При каждой попытке эксплуатации вредоносная программа проверяет наличие на целевом компьютере DoublePulsar, и в случае обнаружения загружается непосредственно через этот бэкдор.

Проверить, подвержены ли вы атаке: https://2ip.ru/check-port/?port=445
Порт должен быть закрыт.
Для прекращения распространения вируса нужно немедленно закрыть TCP-порты 1024–1035, 135 и 445.

Список павших:
Медиа: ATR, 24 канал, , УМХ (football.ua), Корреспондент, Радио "Люкс", Подробности, Тонис, edipresse.
Связь: Vodafone, Киевстар, Астелит (lifecell) – к-к-комбо; Датагруп (Воля), Укртелеком.
Коммерция: Эпицентр, Новая линия, Новус, Фоззи, Synevo, Укрпочта, Мист-Экспресс, Киевводоканал, Цитрус, Film.ua, СтарМедиа, ДТЭК (Метинвест).
Транспорт: а/п «Борисполь», WOG, KLO, Укрзалізниця, Антонов.
Государство: Кабинет Министров Украины, Министерство инфраструктуры Украины, Чернобыльская АЭС.
Нацбанк тоже зацепило. Список, судя по всему, будет пополняться.
Имхо, убытки будут на десятки миллионов.

Тем временем подзалетели не только мы:
Український вірус поширюється по світу - The Independent
На даний момент відомо про ураження систем судноплавної компанії Maersk і британської рекламної компанії WPP.

Возможное лечение:

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

На компе запустился с загрузочной флешки и почистил Temp'ы, запустил DrWeb, определил как MbrLocker. Удалил угрозу и компьютер запустился. Возможно, это то же самое что проделать исправление загрузочной записи с командной строки. Файлы целые.

Сообщение отредактировал DemirelUA - Jun 28 2017, 12:26

[Vitaliy_y]

Значит так, немного выдохнул и подумал.
1. Одновременно упали два сервера, 2008 R2, первый был полностью обновлен, напрочь выключены все версии SMB, второй тоже 2008, не критичен, забили обновить, сами олени.
2. По логам файрвола на фре было много попыток пробиться именно по 443,139,138, файр прибил все попытки, зоны адресов из половины мира, время от 12-30 до 16-00, дальше не смотрел.
3. Еще один 2008 выстоял, при чем я выключил его через час после падения двух первых серверов.
4. Пользователи начали выключать свои компы где то через час - полтора, последний после криков - "какого уя" просто чуть не всрався.
5. Сервер который явно занес заразу был 1С с Медком.
6. Массивы кроме системного живы.
7. Медок сцк вынести на отдельный сервер, на отдельный ИП, бухи пусть бегают пешком сдавать отчеты..

Можете закидать какашками, но думаю что сеть спасло то что не было контроллера домена, вернее он есть но в нем никого нет , только на одном серваке, кстати на том что не пострадал, хотя работал еще около часа после падения двух первых.
Зы зы, самая большая моя дурь это выпускать сервера в инет, типа удобно что сами качают апдейты и маякуют когда их нужно обновить, видать хрень могла попасть чуть раньше и просто ждать команды, но опять же, почему выжили офисные тазики, во всяком случае пока выжили.

Сообщение отредактировал Vitaliy_y - Jun 27 2017, 21:01