Petyaランサムウェア攻撃：どのように、そして誰が感染しているのか。 それを止める方法

WannaCry攻撃で悪用されたEternalBlue脆弱性の修正版を使用する新しいランサムウェア攻撃は火曜日に起こり、すでにスペイン、フランス、ウクライナ、ロシアおよび他の国々で世界中で2000以上のPCを攻撃しています。

この攻撃は主にこれらの国々の企業を狙っていますが、アメリカのピッツバーグにある病院も襲われています。 攻撃の犠牲者は、とりわけ、中央銀行、鉄道、Ukrtelecom（ウクライナ）、Rosnett（ロシア）、WPP（イギリス）、DLA Piper（アメリカ）などです。

最も多くの感染がウクライナで発見されていますが、ロシアで2番目に多く、次にポーランド、イタリア、ドイツが続きます。 支払いを受け付けるビットコインアカウントは、停止される前に24以上の取引を完了していました。

Petya Ransomwareハッカーは電子メールアカウントへのアクセスを失います。 左ストランドの被害者。

この攻撃はインドの企業を狙ったものではありませんが、海運大手AP Moller-Maerskを狙ったものであり、Jawaharlal Nehru Portはこの港でGateway Terminalsを運営しているため脅威にさらされています。

Petyaランサムウェアはどのように拡散しますか？

このランサムウェアは、今月初めに大部分のWannaCryランサムウェア攻撃で使用されたものと同様の悪用を使用します。

この脆弱性は、Windows XPからWindows 2008システムを実行しているPC上でリモートでコードが実行されることにより悪用される可能性があります。

ランサムウェアはPCに感染し、システムツールを使用してPCを再起動します。 再起動時に、NTFSパーティション内のMFTテーブルを暗号化し、身代金メモを表示しているカスタマイズされたローダーでMBRを上書きします。

Kaspersky Labsによると、「拡散のための認証情報を取得するために、ランサムウェアはカスタムツール、la Mimikatzを使用しています。 これらはlsass.exeプロセスから資格情報を抽出します。 抽出後、資格情報はPsExecツールまたはWMICに渡されてネットワーク内に配布されます。

PCが感染した後に何が起こりますか？

PetyaがPCに感染した後、ユーザーは以下のようになっている赤いテキストが書かれた黒い画面を表示するマシンへのアクセスを失います。

「このテキストが表示されている場合は、暗号化されているためファイルにアクセスできません。 おそらくあなたはあなたのファイルを回復する方法を探すのに忙しいですが、私たちの時間を無駄にしないでください。 誰も私たちの復号化サービスなしであなたのファイルを回復することはできません。」

そして、Bitcoinsでの300ドルの支払いと復号化キーを入力してファイルを取得する方法に関する指示があります。

安全を維持する方法

現在、Petyaランサムウェアが人質になっているファイルを復号化する具体的な方法はありません。

しかし、セキュリティWebサイトBleeping Computerは、「perfc」という名前の読み取り専用ファイルを作成し、それをCドライブのWindowsフォルダに配置することで、攻撃を阻止できると考えています。

まだ持っていない人々が、古いWindowsオペレーティングシステム用のマイクロソフトのパッチを直ちにダウンロードしてインストールし、EternalBlueが悪用する脆弱性を排除することも重要です。 これは、Petyaなどの同様のマルウェアによる攻撃からそれらを保護するのに役立ちます。

マシンが再起動してこのメ​​ッセージが表示されたら、ただちに電源を切ってください。 これが暗号化プロセスです。 電源を入れなければ、ファイルは問題ありません。 pic.twitter.com/IqwzWdlrX6

- Hacker Fantastic（@hackerfantastic）2017年6月27日

ランサムウェア攻撃の数と規模は日ごとに増加していますが、攻撃の最初の数時間後に新しい感染のリスクがかなり減少することが示唆されています。

また読んでください：Ransomware攻撃の急増：これが安全を維持する方法です。

そしてPetyaの場合、アナリストはコードがそれがネットワークを越えて広がらないことを示すと予測します。 誰がこの攻撃を担当しているのか、まだ誰もわかっていません。

セキュリティ研究者はまだPetyaランサムウェアに感染したシステムを解読する方法を見つけていません、そして今ハッカーにさえ連絡することができないので、影響を受けた全員は当分の間そう残るでしょう。