This post is also available in: English (英語)
何が起こったか：
2017 年 6 月 27 日、Petya ランサムウェアは、政府や重要インフラストラクチャのオペレータを含む複数の組織に影響を与え始めました。この攻撃は、2017 年 5 月の WanaCrypt0r / WanaCry 攻撃と同様の方法で広がっているようで、ETERNALBLUE エクスプロイトツールを使用して Microsoft Windows SMB プロトコル経由でネットワークを通過する可能性が高いと思われます。 Palo Alto Networks のお客様は、次世代セキュリティプラットフォームの複数の要素にわたって作成、配信、施行された保護機能により、Petya による攻撃から自動的に保護されています。
どうやって攻撃されるのか：
初期の感染経路は不明ですが、Petya は Microsoft Windows システムで ETERNALBLUE の脆弱性 (CVE-2017-0144) を悪用して SMB プロトコルを使用して他のホストに広がりようとします。この脆弱性は、2017 年 4 月に Shadow Brokers グループによって公開され、2017 年 3 月にMS17-010 で Microsoft によって解決されました。感染が成功すると、マルウェアはユーザーのシステムを暗号化し、アクセスを返すために300 ドルの支払いを要求します。 Petya 攻撃プレイブックの詳細な分析については、Unit42の脅威リサーチチームのブログを参照してください。
阻止：
パロアルトネットワークスのお客様は、攻撃ライフサイクル全体にわたる脅威を自動的に阻止する侵害防止ベースのアプローチを採用した次世代セキュリティプラットフォームを通じて保護されています。
- WildFire はすべての既知サンプルをマルウェアとして分類し、悪意のあるコンテンツがユーザーに配布されることを自動的にブロックしています。
- AutoFocus は、Petya タグによりトラックされ、この攻撃にかかわる脅威分析と調査を可能にします。
- 脅威防止
- この攻撃で使用される SMB 脆弱性（CVE-2017-0144- MS17-010）に対する IPS シグネチャ（コンテンツリリース：688-2964）を適用します。
- "Virus / Win32.WGeneric.mkldr"と "Virus / Win32.WGeneric.mkknd"シグネチャを介して悪質なペイロードをブロックします。
- GlobalProtect は、WildFire と脅威防止の保護機能を拡張し、リモートロケーションおよびユーザ全体を保護します。
- ネットワーク全体の SMB トラフィックの使用を制御するために App-ID を使用する必要があります。これには、SMB プロトコルの古いバージョン（たとえば SMBv1）を無効にするなど、必要な場所でのみ有効にします。
注：私たちは Petya の状況を継続的に監視しています。保護についての詳細はこのポストを更新してお伝えします。
パロアルトネットワークの次世代セキュリティプラットフォームでランサムウェアを防止するためのベストプラクティスについては、ナレッジベースの記事も参照してください。すべての Windows ユーザーは、ソフトウェアのサポート期限が終了したバージョンを含め、Microsoft が提供する最新パッチを確実に入手することを強くお勧めします。最新の Petya 攻撃プレイブックについては、Unit 42 の記事をご覧ください。