What happened:

On June 27, 2017, the Petya ransomware began impacting multiple organizations, including government and critical infrastructure operators. The attack spreads using multiple lateral movement techniques, with similarities to the May 2017 WanaCrypt0r/WannaCry attacks, including one method using the ETERNALBLUE exploit tool to traverse the network via Microsoft Windows SMB protocol. Palo Alto Networks customers were automatically protected from Petya attacks with protections created, delivered and enforced across multiple elements of our Next-Generation Security Platform. You can further watch an on-demand webcast covering threat context and preventions for Petya here.

How the attack works:

While the initial infection vector is unclear, Petya attempts to spread to other hosts using multiple lateral movement techniques, including exploiting an SMB vulnerability (CVE-2017-0144) on Microsoft Windows systems reportedly using the ETERNALBLUE exploit tool. This vulnerability was publicly disclosed by the Shadow Brokers group in April 2017, and was addressed by Microsoft in March 2017 with MS17-010. Once a successful infection has occurred, the malware encrypts users’ systems and prompts demand of a $300 payment to return access. For detailed analysis on the Petya attack playbook, please see our blog from the Unit 42 threat research team.

Preventions:

Palo Alto Networks customers are protected through our Next-Generation Security Platform, which employs a breach prevention-based approach that automatically stops threats across the attack lifecycle. Palo Alto Networks customers are protected from Petya ransomware through multiple complementary prevention controls across the platform, including:

• WildFire classifies all known samples as malware, automatically blocking malicious content from being delivered to users.
• AutoFocus tracks the attack for threat analytics and hunting via the Petya tag.
• Threat Prevention
  • Enforces IPS signatures (content release: 688-2964) for the SMB vulnerability exploit (CVE-2017-0144– MS17-010) likely used in this attack.
  • Blocks the malicious payload via “Virus/Win32.WGeneric.mkldr” and “Virus/Win32.WGeneric.mkknd” signatures.
• GlobalProtect extends WildFire and Threat Prevention protections to ensure consistent coverage for remote locations and users.
• Traps prevents initial infection associated with the MEDoc software update using the child process protection and DLL-hijacking rules (content updates available here, account required). Propagation of the malware related to usage of Mimikatz can be prevented via local analysis and WildFire cloud query.
• App-ID should be employed to control usage of SMB and WMI traffic throughout the network, only enabling it where necessary, including disabling older versions of protocols that pose higher risk (e.g. SMBv1).
• Multi-Factor Authentication (MFA) can stop the usage of valid credentials, which were potentially leveraged to infect additional systems across the network.
• Segmentation to observe and block malicious traffic between user-defined zones, preventing the lateral spread of Petya. You can further apply a Zero-Trust architecture to your network, driving microsegmentation within zones.

NOTE: We are continuously monitoring the Petya situation and will update this post with additional details on protections as they arise.

For best practices on preventing ransomware with the Palo Alto Networks Next-Generation Security Platform, please refer to our Knowledge Base article. We strongly recommend that all Windows users ensure they have the latest patches made available by Microsoft installed, including versions of software that have reached end-of-life support. For the latest on the Petya attack playbook, please see the Unit 42 post. Join our on-demand webcast covering the threat context and preventions for Petya here.

Version summary:

June 27, 2017 – 8:00 PM PT

• Added details on protection offered by App-ID

June 28, 2017 - 1:15 PM PT

• Added details on MFA and segmentation

July 6, 2017 - 5:15 PM PT

• Added details on Traps

何が起こったか：

2017 年 6 月 27 日、Petya ランサムウェアは、政府や重要インフラストラクチャのオペレータを含む複数の組織に影響を与え始めました。この攻撃は、2017 年 5 月の WanaCrypt0r / WanaCry 攻撃と同様の方法で広がっているようで、ETERNALBLUE エクスプロイトツールを使用して Microsoft Windows SMB プロトコル経由でネットワークを通過する可能性が高いと思われます。 Palo Alto Networks のお客様は、次世代セキュリティプラットフォームの複数の要素にわたって作成、配信、施行された保護機能により、Petya による攻撃から自動的に保護されています。

どうやって攻撃されるのか：

初期の感染経路は不明ですが、Petya は Microsoft Windows システムで ETERNALBLUE の脆弱性 (CVE-2017-0144) を悪用して SMB プロトコルを使用して他のホストに広がりようとします。この脆弱性は、2017 年 4 月に Shadow Brokers グループによって公開され、2017 年 3 月にMS17-010 で Microsoft によって解決されました。感染が成功すると、マルウェアはユーザーのシステムを暗号化し、アクセスを返すために300 ドルの支払いを要求します。 Petya 攻撃プレイブックの詳細な分析については、Unit42の脅威リサーチチームのブログを参照してください。

阻止：

パロアルトネットワークスのお客様は、攻撃ライフサイクル全体にわたる脅威を自動的に阻止する侵害防止ベースのアプローチを採用した次世代セキュリティプラットフォームを通じて保護されています。

• WildFire はすべての既知サンプルをマルウェアとして分類し、悪意のあるコンテンツがユーザーに配布されることを自動的にブロックしています。
• AutoFocus は、Petya タグによりトラックされ、この攻撃にかかわる脅威分析と調査を可能にします。
• 脅威防止
  • この攻撃で使用される SMB 脆弱性（CVE-2017-0144- MS17-010）に対する IPS シグネチャ（コンテンツリリース：688-2964）を適用します。
  • "Virus / Win32.WGeneric.mkldr"と "Virus / Win32.WGeneric.mkknd"シグネチャを介して悪質なペイロードをブロックします。
• GlobalProtect は、WildFire と脅威防止の保護機能を拡張し、リモートロケーションおよびユーザ全体を保護します。
• ネットワーク全体の SMB トラフィックの使用を制御するために App-ID を使用する必要があります。これには、SMB プロトコルの古いバージョン（たとえば SMBv1）を無効にするなど、必要な場所でのみ有効にします。

注：私たちは Petya の状況を継続的に監視しています。保護についての詳細はこのポストを更新してお伝えします。

パロアルトネットワークの次世代セキュリティプラットフォームでランサムウェアを防止するためのベストプラクティスについては、ナレッジベースの記事も参照してください。すべての Windows ユーザーは、ソフトウェアのサポート期限が終了したバージョンを含め、Microsoft が提供する最新パッチを確実に入手することを強くお勧めします。最新の Petya 攻撃プレイブックについては、Unit 42 の記事をご覧ください。