NotPetya / Petya爆發比WannaCry更厲害 簡單預防及應對策略教學

撰文:
最後更新日期:

繼早前肆虐全球的電腦勒索病毒WannaCry之後,新品種的勒索病毒NotPetya / Petya今日先後在歐洲及北美地區爆發,並影響了機場、銀行等的終端機服務。由於新病毒使用跟WannaCry同樣使用Windows的Eternalblue漏洞作傳播途徑,並且會利用Windows的網絡安裝功能感染同一個企業網絡裡面的其他電腦,所以現時正在快速傳播當中。有研究員就發現透過一些設定,可以為電腦製作「疫苗」暫時堵截受感染的漏洞,以下就是簡單的教學。

NotPetya / Petya歐洲大規模爆發,就連機場的顯示器及銀行的提款機均不能幸免。(路透社)

研究人員最初認為病毒是早前曾經出現的Petya病毒變種,但隨後發現其程式碼及傳播方法分別有Petya及WannaCry的特點,現時多個不同的資訊科技保安機構分別將病毒以NotPetya、Petrwrap或GoldenEye等命名。而在Twitter上以Amit Serper(twitter@0xAmit)為首的一班科技保安研究員,就發現病毒現時的感染途徑,是透過C:\Windows資料夾當中,一個命為perfc的檔案去進行。而對電腦技術有基本認知的朋友,可以透過自行製作一個Read Only的perfc檔,去暫時阻止病毒感染電腦(若病毒變種則無法阻止)。

阻止病毒感染電腦步驟(按下圖詳解)

+3
+2

須要提醒各位讀者的是,這個方法只是暫時可以避免電腦受到NotPetya / Petya的感染,並非好像早前阻止WannaCry一樣的Kill Switch,假若病毒出現變種的話,這個方法依然是於是無補。而電腦就算已經安裝針對WannaCry而推出的更新檔,堵截之前的Eternalblue漏洞(MS17-010),依然有機會受到NotPetya / Petya的感染,所以大家還是先跟著上面的做法,為電腦多加一重防禦。

若果電腦已經出現要求繳付贖金的畫面,大家就只能靜待電腦病毒防禦軟件是否有可以應對的更新。(Symantec)

受感染電腦會透過WMI或PsExec攻擊同一個網絡系統的其他電腦,由於NotPetya / Petya有讀緊電腦密碼的能夠,若果同事的電腦受到感染,自己的電腦未有設定或使用太簡單的密碼,都會更容易成為攻擊目標。由於Petya並不會像WannaCry一樣,在背景進行檔案加密,而是以假扮Hang機,強制Reboot並假扮掃瞄修護硬碟,其實是將檔案加密,所以用戶發現電腦忽然出現「Windows will shut down in less than a minute」強制關機及進入掃瞄修護硬碟的程序,請在對方完成加密前關機,並等待公司的IT部門同事,以電腦原裝的Boot CD進行備份及清理受感染檔案的工作。

另外,網絡保安公司BleepingComputer已經製作簡單的安裝檔,讓不熟悉電腦技術的朋友,可以簡單完成以上的教學。

 

下載BleepingComputer製作perfc檔案的安裝檔



X
X
請使用下列任何一種瀏覽器瀏覽以達至最佳的用戶體驗:Google Chrome、Mozilla Firefox、Internet Explorer、Microsoft Edge 或Safari。為避免使用網頁時發生問題,請確保你的網頁瀏覽器已更新至最新版本。