Tot ce trebuie să știți despre Petna, un virus ransomware din familia Petya. Virusul Petya: cum să nu-l prindeți, cum să-l decriptați, de unde a venit - cele mai recente știri despre ransomware Petya (ExPetr) Mesaje despre virusul Petya

Această concluzie a fost rezultatul unui studiu realizat de două companii simultan - Comae Technologies și Kaspersky Lab.

Malware-ul original Petya, descoperit în 2016, era o mașină de făcut bani. Acest eșantion cu siguranță nu este destinat pentru a face bani. Amenințarea este concepută să se răspândească rapid și să provoace daune și se deghizează în ransomware.

NotPetya nu este un instrument de curățare a discului. Amenințarea nu șterge datele, ci pur și simplu le face inutilizabile prin blocarea fișierelor și aruncarea cheilor de decriptare.

Cercetătorul senior de la Kaspersky Lab Juan Andre Guerrero-Saade a comentat situația:

În cartea mea, o infecție cu ransomware fără mecanism de decriptare posibil este echivalentă cu o ștergere a discului. Fără a ține cont de un mecanism de decriptare viabil, atacatorii au arătat o desconsiderare totală față de câștigul monetar pe termen lung.

Autorul ransomware-ului original Petya a scris pe Twitter că nu are nimic de-a face cu dezvoltarea NotPetya. El a devenit al doilea infractor cibernetic care neagă implicarea în crearea unei noi amenințări similare. Anterior, autorul ransomware-ului AES-NI a declarat că nu are nimic de-a face cu XData, care a fost folosit și în atacuri direcționate asupra Ucrainei. În plus, XData, precum NotPetya, a folosit un vector de distribuție identic - servere de actualizare de la un producător ucrainean software pentru contabilitate.

Multe semne indirecte susțin teoria conform căreia cineva sparge și folosește un ransomware cunoscut versiuni modificate pentru a ataca utilizatorii ucraineni.

Modulele distructive deghizate în ransomware sunt deja o practică comună?

Cazuri similare au mai avut loc deja. Utilizarea modulelor rău intenționate pentru a deteriora permanent fișierele sub pretextul unui ransomware obișnuit nu este o tactică nouă. În lumea modernă, acest lucru devine deja o tendință.

Anul trecut, familiile de malware Shamoon și KillDisk au inclus „componente ransomware” și au folosit tehnici similare pentru a distruge datele. În zilele noastre, chiar și programele malware industriale primesc funcții de curățare a discului.

Clasificarea NotPetya ca instrument de distrugere a datelor ar putea reclasifica cu ușurință malware-ul ca o armă cibernetică. În acest caz, analiza consecințelor amenințării trebuie privită dintr-o perspectivă diferită.

Având în vedere punctul inițial de infectare și numărul de victime, devine evident că ținta atacului hackerilor a fost Ucraina. Pe în acest moment Nu există dovezi evidente care să arate cu degetul către atacator, dar oficialii ucraineni au dat deja vina pe Rusia, pe care au acuzat-o și pentru incidentele cibernetice anterioare care datează din 2014.

NotPetya ar putea fi la egalitate cu binecunoscutele familii de malware Stuxnet și BlackEnergy, care au fost folosite în scopuri politice și pentru efecte distructive. Dovezile arată clar că NotPetya este o armă cibernetică și nu doar o formă foarte agresivă de ransomware.

Virusul ransomware Petya a atacat computere din Ucraina, Rusia, Suedia, Olanda, Danemarca și alte țări. Apariția virusului tocmai a fost înregistrată în Asia: în India, sistemul de gestionare a fluxului de marfă al celui mai mare port de containere din țară a eșuat. Cu toate acestea, Ucraina a suferit cel mai mult - aeroportul Harkov este complet paralizat, lucrările au fost restabilite la aeroportul Boryspil, dar serverul principal încă nu funcționează. În total, aproximativ 300 de mii de computere sunt blocate, utilizatorul trebuie să plătească 300 USD pentru a debloca datele. Până acum, aproximativ 5.000 de dolari au fost plătiți hackerilor de la 20 de utilizatori, relatează Next Web.

Cine e de vină?

Noaptea, departamentul de poliție cibernetică a Poliției Naționale a Ucrainei a raportat pe pagina sa de Facebook că atacul asupra Ucrainei a fost efectuat prin programul de raportare și gestionare a documentelor „M.E.doc”:

Poliția raportează că atacul a început la ora 10:30, ora Moscovei, după ce dezvoltatorii de software au lansat următoarea actualizare. În același timp, autorii programelor pentru automatizarea documentelor își neagă categoric implicarea și oferă argumente detaliate:

Ulterior, pe pagina Poliției Cibernetice a apărut un mesaj că nu acuză compania M.E.doc, ci doar afirmă că au fost identificate fapte care ar trebui verificate în detaliu. Cu toate acestea, încă nu este recomandat să instalați actualizarea:

Cine este Petya?

După cum au spus experții Positive Technologies pe site, acesta este un malware al cărui principiu de funcționare se bazează pe criptarea înregistrării master de boot (MBR) a sectorului de boot al discului și înlocuirea acestuia cu propriul său.

Chiar și după ce computerul a fost infectat, utilizatorului mai are 1-2 ore în care să ruleze comanda bootrec /fixMbr pentru a restaura MBR-ul și a restabili sistemul de operare, dar fișierele nu vor putea fi decriptate.

În plus, Petya este capabil să ocolească actualizările de securitate ale sistemului care au fost instalate după atacul WannaCry, motiv pentru care este atât de eficient și se răspândește ca o avalanșă pe alte computere. Luptă pentru controlul tuturor nodurilor din domeniu, ceea ce este echivalent cu compromisul complet al infrastructurii.

Atacul virusului asupra computerelor companiilor publice și private ucrainene a început la ora 11:30. Băncile mari au fost atacate lanțuri de vânzare cu amănuntul, operatori comunicatii celulare, companii de stat, facilități de infrastructură și întreprinderi de servicii.

Virusul a cuprins întreg teritoriul Ucrainei, până la ora 17:00 au apărut informații că s-ar fi înregistrat un atac în vestul țării, în Transcarpatia: aici, din cauza virusului, au fost închise sucursalele băncii OTR și ale Ukrsotsbank.

„Site-ul web Korrespondent.net, popular în Ucraina, și canalul TV „24” nu funcționează. Numărul companiilor afectate de atac crește din oră în oră. În prezent, majoritatea sucursalelor băncilor nu operează în Ucraina. De exemplu, în birourile Ukrsotsbank, computerele pur și simplu nu pornesc. Nu puteți primi sau trimite bani, plăti chitanțe etc. În același timp, nu există probleme la PrivatBank”, relatează corespondentul RT la Kiev.

Virusul afectează doar computerele care rulează sistemul de operare Windows. Criptează tabelul de fișiere principal al hard diskului și stoarce bani de la utilizatori pentru decriptare. În acest sens, este similar cu virusul ransomware WannaCry, care a atacat multe companii din întreaga lume. În același timp, au apărut deja rezultatele scanării computerelor infectate, arătând că virusul distruge toate sau majoritatea informațiilor de pe discurile infectate.

ÎN momentul prezent Virusul a fost identificat ca mbr locker 256, dar un alt nume a devenit popular în mass-media - Petya.

De la Kiev la Cernobîl

Virusul a afectat și metroul din Kiev, unde în prezent există dificultăți la plata cu carduri bancare.

Multe facilități mari de infrastructură au fost afectate, cum ar fi operatorul feroviar de stat Ukrzaliznytsia și aeroportul Boryspil. Cu toate acestea, în timp ce funcționează normal, sistemele de navigație aeriană nu au fost afectate de virus, deși Boryspil a publicat deja un avertisment despre posibile modificăriîn program, dar bordul de sosiri la aeroport în sine nu funcționează.

Din cauza atacului, cei mai mari doi operatori poștali ai țării se confruntă cu dificultăți în munca lor: Ukrposhta, deținută de stat, și cea privată ". E-mail nou" Acesta din urmă a anunțat că astăzi nu va exista nicio taxă pentru depozitarea coletelor, iar Ukrposhta încearcă să minimizeze consecințele atacului cu ajutorul SBU.

Din cauza riscului de infectare, site-urile web ale acelor organizații care nu au fost afectate de virus nu funcționează. Din acest motiv, de exemplu, serverele site-ului web al Administrației de Stat a orașului Kiev, precum și site-ul web al Ministerului Afacerilor Interne al Ucrainei, au fost dezactivate.

Oficialii ucraineni susțin, în mod previzibil, că atacurile vin din Rusia. Secretarul Consiliului Național de Securitate și Apărare al Ucrainei, Oleksandr Turchynov, a spus acest lucru. „Chiar și acum, după ce am efectuat o analiză inițială a virusului, putem vorbi despre o urmă rusească”, îl citează pe site-ul oficial al departamentului.

Până la ora 17:30, virusul ajunsese chiar la centrala nucleară de la Cernobîl. Vladimir Ilchuk, șeful de tură la Centrala Nucleară de la Cernobîl, a raportat acest lucru publicației Ukrayinska Pravda.

„Există informații preliminare că unele computere au fost infectate cu un virus. Prin urmare, de îndată ce a început acest atac al hackerilor, a fost dat o comandă personală lucrătorilor din computere din locațiile personalului pentru a opri computerele”, a spus Ilchuk.

Atacul asupra dulciurilor, petrolului și gazelor

Un atac al hackerilor de marți, 27 iunie, i-a afectat și pe unii companiile rusești, inclusiv giganții de petrol și gaze Rosneft și Bashneft, compania metalurgică Evraz, Home Credit Bank, ale cărei sucursale și-au suspendat operațiunile, precum și reprezentanțele rusești ale Mars, Nivea, Mondelez International, TESA și o serie de alte companii străine.

  • Reuters
  • MAXIM SHEMETOV

În jurul orei 14:30, ora Moscovei, Rosneft a anunțat un atac puternic de hackeri asupra serverelor companiei. În același timp, microblogul companiei de pe Twitter notează că atacul ar putea duce la consecințe grave, dar datorită trecerii la sistem de rezervă managementul proceselor de producție, nici producția de ulei, nici prepararea uleiului nu au fost oprite.

După atacul cibernetic, site-urile web ale companiilor Rosneft și Bashneft au devenit indisponibile de ceva timp. Rosneft a mai declarat că este inadmisibil să se răspândească informații false despre atac.

„Distribuitorii de mesaje false de panică vor fi considerați complici ai organizatorilor atacului și vor fi responsabili împreună cu aceștia”, a spus compania.

În același timp, Rosneft a menționat că compania a contactat agențiile de aplicare a legii cu privire la atacul cibernetic și și-a exprimat speranța că incidentul nu are nicio legătură „cu procedurile judiciare actuale”. Marți, 27 iunie, instanța de arbitraj Bashkiria a început să analizeze temeinicia cererii lui Rosneft, Bashneft și Bashkiria împotriva AFK Sistema în valoare de 170,6 miliarde de ruble.

WannaCry Jr.

Cu toate acestea, atacul hackerilor nu a afectat munca sisteme informatice administrația Președintelui Rusiei și site-ul oficial al Kremlinului, care, așa cum a spus secretarul de presă prezidențial Dmitri Peskov pentru TASS, „funcționează stabil”.

De asemenea, atacul hackerilor nu a afectat în niciun fel funcționarea centralelor nucleare rusești, a remarcat preocuparea Rosenergoatom.

Compania Dr. Web pe site-ul său web a declarat că, în ciuda similitudinii externe, atacul actual a fost efectuat folosind un virus care diferă de malware-ul ransomware Petya deja cunoscut, în special în mecanismul prin care se răspândește amenințarea.

„Printre victimele atacului cibernetic s-au numărat rețelele Bashneft, Rosneft, Mondelez International, Mars, Nivea, TESA și altele”, citează agenția mesajul companiei. Totodată, serviciul de presă al lui Mars din Rusia a spus că atacul cibernetic a creat probleme cu sistemele IT doar pentru marca Royal Canin, producător de hrană pentru animale, și nu pentru întreaga companie.

Ultimul atac major al hackerilor asupra companiilor și agențiilor guvernamentale ruse a avut loc pe 12 mai, ca parte a unei operațiuni pe scară largă a hackerilor necunoscuți care au atacat computerele Windows din 74 de țări folosind virusul ransomware WannaCry.

Marți, șeful comitetului internațional al Consiliului Federației, Konstantin Kosachev, vorbind la o ședință a Comisiei pentru protecția suveranității statului a Consiliului Federației, a spus că aproximativ 30% din toate atacurile cibernetice asupra Rusiei sunt efectuate de pe teritoriul SUA. .

„Nu mai mult de 2% din numărul total de atacuri cibernetice sunt efectuate de pe teritoriul Rusiei către computere americane, în timp ce 28-29% sunt efectuate de pe teritoriul SUA către infrastructura electronică rusă”, a spus RIA Novosti, citat de Kosachev.

Potrivit șefului echipei internaționale de cercetare de la Kaspersky Lab, Costin Raiu, virusul Petya s-a răspândit în multe țări din întreaga lume.