 Хакерская атака на Украину осуществлялась средствами программы для электронного документооборота M.E.doc.
Сообщение киберполиции гласит: "На данный момент предварительно известно, что кибер атака на украинские компании возникла из-за программы "M.E.doc." (Бухгалтерское программное обеспечение для подачи отчетности и обмена документами)
Медок имеет встроенную функцию обновления, которая периодически обращается к серверу: "upd.me-doc.com.ua" (92.60.184.55) с помощью User Agent "medoc1001189".
Обновление имеет хэш: dba9b41462c835a4c52f705e88ea0671f4c72761893ffad79b8348f57e84ba54.
Большинство легитимниг "пингов" (обращений к серверу) равна примерно 300 байт.
27.06.2017, в 10.30, появилось обновление программы M.E.doc. Оно составляло около 333кб, и после его инсталяции были змечены следующие действия:
- создан файл: rundll32.exe;
- обращение к локальным IP-адресов на порт 139 TCP и порт 445 TCP;
-создание файла: perfc.bat;
- запуск cmd.exe с последующей командой: / c schtasks / RU "SYSTEM" / Create / SC once / TN "" / TR "C: \ Windows \ system32 \ shutdown.exe / r / f" / ST 14:35 ";
- создание файла: ac3.tmp (02ef73bd2458627ed7b397ec26ee2de2e92c71a0e7588f78734761d8edbdcd9f) и его последующий запуск;
- создание файла: dllhost.dat.
В дальнейшем, вредоносное программное обеспечение распространялось с помощью уязвимости в протоколе Samba (также использовалась во время атак WannaCry).
Во избежание вирусной атаки рекомендуется:
- временно не загружать и не обновлять пакеты обновлений, предлагаемые ПО "Медок" при старте программы или при проверке обновлений.
Отметим, что 27 июня серверы многих гос.учреждений и коммерческих структур в Украине подверглись масштабной кибератаке.
Важно! Предотвратить заражение вирусом "Petya" можно установив патч от Microsoft - ссылка
Важно! Рекомендации по защите компьютеров от кибератаки вируса-вымогателя
Источник: Цензор.нет
| 
