非佩蒂亚勒索病毒
非佩蒂亚勒索病毒(NotPetya)是2017年6月出现的一种针对微软Windows系统的恶意程序。它在外观上效仿此前出现的佩蒂亚(Petya)勒索软件, 会显示比特币赎金界面, 但分析表明其加密过程并未保留可用的解密信息, 实际效果更接近以破坏数据为目的的擦除器。它通过被篡改的乌克兰财税软件更新渠道投放, 并在局域网内借助漏洞与窃取的凭据快速横向扩散, 2017年6月27日爆发后波及多个国家的机构。
定义
非佩蒂亚勒索病毒是一种运行于Windows平台的恶意程序, 2017年6月27日首次被大规模观测到[1]。它复用了早期佩蒂亚(Petya)家族的部分代码与界面风格, 因此早期报道中常以Petya、ExPetr、GoldenEye、Petrwrap等名称出现, 安全厂商卡巴斯基实验室(Kaspersky Lab)为与2016年的佩蒂亚相区别, 将其命名为NotPetya[2]。
它虽向受害者展示支付比特币以换取解密的口径, 但研究者在其加密逻辑中未发现可用于恢复密钥的安装标识, 勒索界面中的安装密钥被认为是随机生成的字符串, 由此形成“表面勒索、实质破坏”的判断[3]。
原理
该恶意程序进入主机后, 会尝试取得关机与调试等系统特权; 在具备管理员权限时改写编号为0的物理磁盘的主引导记录(MBR), 并写入自身引导代码, 使计算机按攻击者预设的引导流程启动[4]。随后它通过网络调用创建计划任务, 在随机延迟后用关机命令重启系统, 重启后的加密过程会显示类似磁盘检查的界面[5][6]。
与逐文件加密的做法不同, 它主要针对NTFS分区的主文件表(MFT), 使文件索引整体失效, 从而让系统无法正常引导和访问数据[7]。在权限不足而无法改写引导记录的情况下, 它转而逐文件加密, 涉及文档、表格、数据库、压缩包、虚拟机磁盘镜像等大量扩展名[3]。
加密算法上, 该家族使用AES-128对数据加密, 再用RSA公钥封装对称密钥, 与早期佩蒂亚使用的Salsa20不同[3]。横向传播方面, 它先在本地网段探测139与445端口, 依次尝试SMB协议中的永恒之蓝(EternalBlue)与永恒浪漫(EternalRomance)漏洞, 再用类似Mimikatz的工具从内存抓取本地管理员凭据, 借助PsExec、WMIC等合法管理工具在远程主机执行自身[5]。由于凭据路径不依赖漏洞, 已安装补丁的主机同样可能被横向攻陷[8]。
flowchart LR
A[被篡改的软件更新] --> B[获得初始执行]
B --> C[提权并抓取凭据]
C --> D[改写MBR]
C --> E[SMB漏洞利用]
C --> F[PsExec / WMIC 远程执行]
D --> G[重启]
G --> H[加密MFT并显示赎金界面]
E --> A2[局域网内其他主机]
F --> A2
A2 --> C
发展历程
2017年6月27日, 乌克兰多家银行、能源企业、政府部门以及电信运营商的系统同时出现故障, 同一批恶意样本随后出现在俄罗斯、西班牙、法国、丹麦、印度、美国等地的机构网络中[9][10]。截至2017年6月28日, 受影响机构已达至少2000家, 其中绝大多数位于乌克兰。
调查显示, 投放渠道是乌克兰财税软件M.E.Doc的自动更新机制。该软件由Intellect Service公司开发, 用于与税务系统对接, 在乌克兰企业中使用面很广; 攻击者取得更新服务器与代码的访问权后, 借合法签名与正规更新地址向客户端推送被植入后门的组件, 至少三次更新在2017年6月27日之前已被篡改[11]。跨国企业在乌克兰的分支机构装有该软件, 其后经由内部网络把感染带到其他国家的办公网络。
爆发初期, 多家机构初步将其归为勒索软件的又一变种, 随后研究者根据加密流程与赎金环节的缺陷修正了判断, 指出付款也无法恢复数据, 并将其归入擦除器一类[12][13]。关于来源, 乌克兰、美国与英国方面先后发表归因声明, 俄罗斯否认相关指控。
应用
从技术与行业影响看, 该事件成为软件供应链攻击的典型样本: 攻击者不直接攻击最终目标, 而是侵入上游软件供应商的构建与发布环节, 借其签名与更新通道把恶意代码送进客户环境, 这一模式被后来的供应链安全研究与规范文件反复引用[14][15]。它同时被作为“蠕虫化”勒索行为的案例, 用于说明漏洞利用与凭据窃取组合后在企业内网中的扩散速度[16]。
在攻防研究中, 该样本被收录进对抗战术知识库的软件条目, 其行为被拆解为凭据转储、远程服务创建、日志清除、计划任务重启等可观测技术点, 供检测规则编写与演练使用。事件之后, 网络分段、特权账户隔离、更新通道校验与可恢复备份成为讨论中反复出现的防护取向。
局限
就其自称的勒索功能而言, 该恶意程序并不成立: 加密流程缺少可用于还原密钥的安装标识, 赎金界面显示的字符串与真实加密参数无关, 因此即便按要求付款也无法取得解密手段[3]。赎金收取环节同样薄弱, 所有感染共用同一比特币地址与同一邮箱, 该邮箱在爆发后不久即被服务商停用[3][13]。
传播上它也有明显边界。有分析指出, 与同期蠕虫不同, 它主要在本地网络内扩散而非通过互联网自主扫描, 出网扩散依赖受害组织之间的网络连接, 这也是受害机构高度集中于乌克兰及其分支的原因[17]。此外, 该样本存在已知的抑制条件: 在系统目录下预先放置名为perfc的只读文件可使其停止执行, 但这只是针对特定版本的临时手段, 并不能修复已被破坏的引导记录或数据[3][8]。
另需注意的是, 将某一破坏性事件直接判定为该家族缺乏技术依据: 同样使用永恒之蓝或同名的赎金界面并不足以确认样本归属, 需要凭据窃取、MFT加密、MBR改写等行为特征与样本比对共同佐证[8]。
参见
参考资料
- NotPetya Malware: Analysis, Detection, Removal | Huntress [引用日期2026-10-29]
- VOV World [引用日期2026-10-29]
- Petya Ransomware [引用日期2026-10-29]
- { [引用日期2026-10-29]
- markdown [引用日期2026-10-29]
- search [引用日期2026-10-29]
- PNP Computer Security Bulletin CSB17-012 [引用日期2026-10-29]
- NotPetya: How the 2017 Destructive Wiper Worked [引用日期2026-10-29]
- NotPetya [引用日期2026-10-29]
- 实战化ATT&CK [引用日期2026-10-29]
- M.E.Doc: The NotPetya Origin Story Deep Dive [引用日期2026-10-29]
- notpetya-ransomware-wiper-destroys-files [引用日期2026-10-29]
- cyberscoop.com 上的网页 [引用日期2026-10-29]
- notpetya-2017-medoc-wiper-retrospective [引用日期2026-10-29]
- 2021 年下半年 Unit 42 云威胁报告 [引用日期2026-10-29]
- 什么是勒索软件？如何防御勒索软件？ [引用日期2026-10-29]
- search [引用日期2026-10-29]