Telefónica претърпя атака за откуп

Днес научаваме за доста значителна атака срещу вътрешната мрежа Telefónica, която вътрешните източници на компанията ни потвърждават.Тази атака може да засегне и Vodafone, Santander и Capgemini. Telefonica казваше на своите служители по системата за публично обръщане да изключват своите компютри, за да не се разпространи Ransomware в цялата им мрежа.

Telefónica претърпя атака на Ransomware

Не се знае какво точно се случва, но Telefónica вдигна алармата на своите служители и някои служители или служители изтичат информация за случилото се в социалните мрежи. Знаем, че става въпрос за доста сериозна атака към вътрешната мрежа на оператора, тъй като те изключиха оборудването от мрежата и ги изключиха, те също дадоха предупредителния глас на Центровете за данни, които използват мрежата си, за да ги поддържат актуални.

Първоначално проблемът засяга само Telefónica Испания и не само централата, но и дъщерните дружества.

WanaDecryptor V2 е името на откупния софтуер, който засяга Telefónica и други компании. WanaDecrypor използва отдалечено изпълнение на команди, като се възползва от уязвимостта на SMB протокола, който причинява разпространението на зловредния софтуер към другите машини на Windows в тази мрежа.

Засегнатите системи са Windows в различни версии като Windows Server 2008/2012/2016, Windows 7, Windows 8, Windows 8.1, Windows 10, Windows Vista SP2. Според този доклад уязвимостта, експлоатирана при кибератаката, е била включена в бюлетина за сигурност на Microsoft на 14 март и има документ за поддръжка за решаване на проблема, който можете да видите тук.

Това, което виждате на тази снимка, е изявлението, което пуснах по телефона на служителите си, за да предотвратя разпространяването на рансъмуер. Открихме няколко анализа на този зловреден софтуер в Hybrid Analysis и Total Virus.

Къде е инсталиран WanaDecryptor V2?

Започнете с промяна на файловете за тези пътища:

C: \ WINDOWS \ system32 \ msctfime.ime

C: \ WINDOWS \ win.ini

C: \ DOCUME ~ 1 \ Потребител \ LOCALS ~ 1 \ Temp \ c.wnry

C: \

C: \ DOCUME ~ 1 \ Потребител \ LOCALS ~ 1 \ Temp \ msg \ m_English.wnry

Променете или добавете следните ключове към записите:

HKEY_LOCAL_MACHINE \ Софтуер \ Microsoft \ Windows NT \ CurrentVersion \ IMM

HKEY_USERS \ S-1-5-21-1547161642-507921405-839522115-1004 \ Софтуер \ Microsoft \ Windows NT \ CurrentVersion \ AppCompatFlags \ Слоеве

HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ CTF

HKEY_LOCAL_MACHINE \ Софтуер \ Microsoft \ CTF \ SystemShared

HKEY_USERS \ S-1-5-21-1547161642-507921405-839522115-1004

HKEY_LOCAL_MACHINE \ Софтуер \ WanaCrypt0r

HKEY_CURRENT_USER \ Софтуер \ WanaCrypt0r

HKEY_LOCAL_MACHINE \ Софтуер \ Microsoft \ Windows NT \ CurrentVersion \ ProfileList \ S-1-5-21-1547161642-507921405-839522115-1004

HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ Session Manager

HKEY_LOCAL_MACHINE \ Софтуер \ Microsoft \ Windows NT \ currentVersion \ Часови зони \ W. Европейско стандартно време

HKEY_LOCAL_MACHINE \ Софтуер \ Microsoft \ Windows NT \ CurrentVersion \ Часови зони \ W. Европейско стандартно време \ Динамично DST

HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ CTF \ LangBarAddIn \

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ CTF \ LangBarAddIn \

Повече информация за Malwr