盗まれた認証情報と EternalBlue エクスプロイトを介して広がる Petya の破壊的なマルウェアの亜種

ルール CPE_MS17_010_RANSOMWARE {
メタ:バージョン=”1.1″
//filetype=”PE”
author=” Ian.Ahl@fireeye.com @ TekDefense、 Nicholas.Carr @mandiant.com @ItsReallyNick”
日付=”2017-06-27″
description=”ETERNALBLUE、WMIC、PsExec を使用した PETYA ランサムウェアの可能性”
文字列:
// ドライブの使用状況
$dmap01 = “\.PhysicalDrive” nocase ascii wide
$dmap02 = “\.PhysicalDrive0” nocase ascii wide
$dmap03 = “\.C:” nocase ascii wide
$dmap04 = “TERMSRV” nocase ascii wide
$dmap05 = “admin$” nocase ascii wide
$dmap06 = “GetLogicalDrives” nocase ascii wide
$dmap07 = “GetDriveTypeW” nocase ascii wide

// ランサムノート
$msg01 = “警告: PC の電源を切らないでください!” nocase ascii ワイド
$msg02 = “このプロセスを中止した場合” nocase ascii wide
$msg03 = “すべてのデータを破棄してください!” nocase ascii ワイド
$msg04 = “電源ケーブルが差し込まれていることを確認してください” nocase ascii wide
$msg05 = “あなたの重要なファイルは暗号化されています” アスキーワイド
$msg06 = “個人用インストール キー” nocase ascii wide
$msg07 = “次のアドレスへのビットコインの価値” nocase ascii wide
$msg08 = “CHKDSK はセクターを修復しています” nocase ascii wide
$msg09 = “ファイル システムを修復中” nocase ascii wide
$msg10 = “ビットコイン ウォレット ID” nocase ascii wide
$msg11 = ” wowsmith123456@posteo.net ” nocase ascii wide
$msg12 = “1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX” nocase ascii wide
$msg_pcre = /(en|de)crypt(ion|ed.)/

// 機能、API
$functions01 = “辞書が必要” nocase ascii wide
$functions02 = “comspec” nocase ascii wide
$functions03 = “OpenProcessToken” nocase ascii wide
$functions04 = “CloseHandle” nocase ascii wide
$functions05 = “EnterCriticalSection” nocase ascii wide
$functions06 = “ExitProcess” nocase ascii wide
$functions07 = “GetCurrentProcess” nocase ascii wide
$functions08 = “GetProcAddress” nocase ascii wide
$functions09 = “LeaveCriticalSection” nocase ascii wide
$functions10 = “MultiByteToWideChar” nocase ascii wide
$functions11 = “WideCharToMultiByte” nocase ascii wide
$functions12 = “WriteFile” nocase ascii wide
$functions13 = “CoTaskMemFree” nocase ascii wide
$functions14 = “NamedPipe” nocase ascii wide
$functions15 = “Sleep” nocase ascii wide // 文字列ではなくインポート

// コマンド
// — イベント ログと USNJrnl のクリア
$cmd01 = “wevtutil cl Setup” ascii wide nocase
$cmd02 = “wevtutil cl システム” ascii wide nocase
$cmd03 = “wevtutil cl Security” ascii wide nocase
$cmd04 = “wevtutil cl アプリケーション” ascii wide nocase
$cmd05 = “fsutil usn deletejournal” ascii wide nocase
// — スケジュールされたタスク
$cmd06 = “schtasks” nocase ascii wide
$cmd07 = “/Create /SC ” nocase ascii wide
$cmd08 = ” /TN ” nocase ascii wide
$cmd09 = “at %02d:%02d %ws” nocase ascii wide
$cmd10 = “shutdown.exe /r /f” nocase ascii wide
// — Sysinternals/PsExec と WMIC
$cmd11 = “-accepteula -s” nocase ascii wide
$cmd12 = “wmic”
$cmd13 = “/node:” nocase ascii wide
$cmd14 = “プロセス呼び出しの作成” nocase ascii wide

調子：
// (uint16(0) == 0x5A4D)
($dmap*) の 3
および ($msg*) の 2
および ($functions*) の 9
および ($cmd*) の 7
}