Telefónica kärsii lunnasohjelman hyökkäyksestä

Tänään saamme tietää melko merkittävästä hyökkäyksestä sisäiseen Telefónica-verkkoon, jonka yrityksen sisäiset lähteet vahvistavat meille. Tämä hyökkäys voi vaikuttaa myös Vodafonen, Santanderiin ja Capgeminiin. Telefonica kehotti työntekijöitä kuulutusjärjestelmän kautta sammuttamaan tietokoneensa estääkseen Ransomware-ohjelmaa leviämästä koko verkkoon.

Telefónica kärsii Ransomware-hyökkäyksestä

Ei tiedetä tarkalleen mitä tapahtuu, mutta Telefónica on herättänyt hälytyksen työntekijöilleen ja jotkut työntekijät tai henkilökunta vuotaa tietoja tapahtumista sosiaalisissa verkostoissa. Tiedämme, että kyseessä on melko vakava hyökkäys operaattorin sisäiseen verkkoon, koska he irrottivat laitteet verkosta ja sammuttivat ne. Lisäksi he antoivat hälytysäänen tietoverkkoille, jotka käyttävät verkkoaan, jotta he ovat tietoisia.

Alun perin ongelma koskee vain Espanjan Telefónicaa, paitsi pääkonttoria myös tytäryhtiöitä.

WanaDecryptor V2 on lunastusohjelman nimi, joka vaikuttaa Telefónicaan ja muihin yrityksiin. WanaDecrypor käyttää etäkomentojen suorittamista hyödyntämällä SMB-protokollan haavoittuvuutta, joka aiheuttaa haittaohjelman jakelun verkon muihin Windows-koneisiin.

Vaikuttavat järjestelmät ovat Windows eri versioissa, kuten Windows Server 2008/2012/2016, Windows 7, Windows 8, Windows 8.1, Windows 10, Windows Vista SP2. Tämän raportin mukaan tietoverkkohyökkäyksissä käytetty haavoittuvuus sisällytettiin Microsoftin tietoturvatiedotteeseen 14. maaliskuuta, ja täällä näkyvän ongelman ratkaisemiseksi on olemassa tukidokumentti.

Mitä näet tässä kuvassa, on lausunto, jonka julkaisin puhelimitse työntekijöilleen estääksesi lunastusohjelman leviämisen edelleen. Olemme löytäneet useita analyysejä tästä haittaohjelmasta hybridi-analyysissä ja kokonaisviruksessa.

Missä WanaDecryptor V2 on asennettu?

Aloita muokkaamalla seuraavien polkujen tiedostoja:

C: \ WINDOWS \ system32 \ msctfime.ime

C: \ WINDOWS \ win.ini

C: \ DOCUME ~ 1 \ User \ LOCALS ~ 1 \ Temp \ c.wnry

C: \

C: \ DOCUME ~ 1 \ User \ LOCALS ~ 1 \ Temp \ msg \ m_Suomi.wnry

Muokkaa tai lisää seuraavia avaimia tietueisiin:

HKEY_LOCAL_MACHINE \ Ohjelmisto \ Microsoft \ Windows NT \ CurrentVersion \ IMM

HKEY_USERS \ S-1-5-21-1547161642-507921405-839522115-1004 \ Ohjelmisto \ Microsoft \ Windows NT \ CurrentVersion \ AppCompatFlags \ Tasot

HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ CTF

HKEY_LOCAL_MACHINE \ Software \ Microsoft \ CTF \ SystemShared

HKEY_USERS \ S-1-5-21-1547161642-507921405-839522115-1004

HKEY_LOCAL_MACHINE \ Ohjelmisto \ WanaCrypt0r

HKEY_CURRENT_USER \ Ohjelmisto \ WanaCrypt0r

HKEY_LOCAL_MACHINE \ Ohjelmistot \ Microsoft \ Windows NT \ CurrentVersion \ ProfileList \ S-1-5-21-1547161642-507921405-839522115-1004

HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Session Manager

HKEY_LOCAL_MACHINE \ Ohjelmisto \ Microsoft \ Windows NT \ currentVersion \ Aikavyöhykkeet \ W. Eurooppalainen normaaliaika

HKEY_LOCAL_MACHINE \ Ohjelmisto \ Microsoft \ Windows NT \ CurrentVersion \ Aikavyöhykkeet \ W. Eurooppalainen normaaliaika \ Dynaaminen DST

HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ CTF \ LangBarAddIn \

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ CTF \ LangBarAddIn \

Lisätietoja Malwr