Все, что нужно знать о Petna — вирусе-вымогателе семейства Petya. Вирус «Петя»: как не поймать, как расшифровать, откуда взялся – последние новости о шифровальщике Petya (ExPetr) Сообщения о вирусе petya
Данное заключение стало результатом исследования сразу двух компаний - Comae Technologies и “Лаборатории Касперского”.
Оригинальный зловред Petya, обнаруженный в 2016 году, был машиной для зарабатывания денег. Данный образец определенно не предназначен для заработка. Угроза создана для быстрого распространения и нанесения ущерба и маскируется под шифровальщик.
NotPetya не является средством очистки диска. Угроза не удаляет данные, а просто делает их непригодными для использования, блокируя файлы и “выкидывая” ключи для расшифровки.
Старший исследователь из “Лаборатории Касперского” Хуан Андре Герреро-Сааде прокомментировал ситуацию:
В моей книге заражение программой-вымогателем без возможного механизма дешифрования эквивалентно очистке диска. Не обращая внимания на жизнеспособный механизм расшифровки, злоумышленники проявили полное пренебрежение к долгосрочной денежной выгоде.
Автор оригинального шифровальщика Petya написал в твиттере, что он никак не связан с разработкой NotPetya. Он стал уже вторым киберпреступником, который отрицает причастность к созданию новой схожей угрозы. Ранее автор шифровальщика AES-NI заявил, что не имеет никакого отношения к XData, который также использовался в таргетированных атаках на Украину. Кроме того, XData, также, как и NotPetya, использовал идентичный вектор распространения - серверы обновлений украинского производителя программного обеспечения для бухгалтерского учета.
Многие косвенные признаки подтверждают теорию о том, что кто-то взламывает известные шифровальщики и использует модифицированные версии для атаки на украинских пользователей.
Деструктивные модули под видом шифровальщика - уже обычная практика?
Подобные случаи уже встречались раньше. Применение вредоносных модулей для необратимого повреждения файлов под видом обычных шифровальщиков является далеко не новой тактикой. В современном мире это уже становится тенденцией.
В прошлом году семейства вредоносных программ Shamoon и KillDisk включали “компоненты шифровальщиков” и использовали похожие техники для уничтожения данных. Сейчас даже промышленные вредоносные программы получают функции очистки диска.
Классификация NotPetya в качестве средства уничтожения данных может легко перевести вредоносную программу в категорию кибероружия. В этом случае анализ последствий угрозы следует рассматривать с другой перспективы.
Учитывая, исходную точку заражения и количество жертв, становится очевидно, что целью хакерской атаки была Украина. На данный момент нет никаких очевидных доказательств, указывающих пальцем на атакующего, но украинские официальные лица уже обвинили Россию, которую они обвиняли также в прошлых кибер-инцидентах, начиная с 2014 года.
NotPetya может оказаться на одном уровне с хорошо известными семействами вредоносных программ Stuxnet и BlackEnergy, которые использовались в политических целях и для разрушительных эффектов. Свидетельства ясно показывают, что NotPetya - это кибероружие, а не просто очень агрессивный вид шифровальщика.
Вирус-вымогатель Petya атаковал компьютеры Украины, России, Швеции, Голландии, Дании и других стран. Только что появление вируса зафиксировано в Азии: в Индии вышла из строя система управления грузопотоком крупнейшего в стране контейнерного порта . Однако, Украина пострадала больше всего - аэропорт Харькова полностью парализован , в аэропорту Борисполь работа восстановлена, но все еще не работает главный сервер . Всего заблокировано около 300 тысяч компьютеров, пользователь должен заплатить 300 долларов за разблокировку данных. На данный момент, хакерам выплачено около 5000 долларов от 20 пользователей, сообщает Next Web .
Кто виноват?
Ночью департамент киберполиции Национальной полиции Украины сообщил у себя на странице в Facebook, что атака на Украину осуществлялась через программу для отчетности и документооборота «M.E.doc»:
Полицейские сообщают, что атака началась в 10:30 по Московскому времени, после того как разработчики софта выкатили очередное обновление. При этом сами авторы программ для автоматизации документооборота свою причастность категорически отрицают и приводят подробные аргументы:
Позже на странице Киберполиции появилось сообщение о том, что они не обвиняют компанию «M.E.doc», а лишь констатируют: выявлены факты, которые следует детально проверить. Однако ставить обновление все равно не рекомендуют:
Кто такой Петя?
Как эксперты Positive Technologies рассказали сайт, это зловред, принцип действия которого основан на шифровании главной загрузочной записи (MBR) загрузочного сектора диска и замене его своим собственным.
Даже после того как компьютер был заражен, у пользователя остается 1-2 часа, за которые можно успеть запустить команду bootrec /fixMbr для восстановления MBR и восстановить работоспособность ОС, однако расшифровать файлы не удастся.
Кроме того, Petya умеет обходить обновления безопасности системы, которые были установлены после атаки WannaCry, поэтому он настолько эффективен и распространяется на другие компьютеры лавинообразно. Он борется за контроль над всеми узлами домена, что эквивалентно полной компрометации инфраструктуры.
Атака вируса на компьютеры украинских государственных и частных компаний началась в 11:30. Под ударом оказались крупные банки, торговые сети, операторы сотовой связи, государственные компании, объекты инфраструктуры и предприятия сферы услуг.
Вирус охватил всю территорию Украины, к 17:00 появилась информация о том, что атака зафиксирована и на самом западе страны, в Закарпатье: здесь в связи с вирусом были закрыты отделения банка «ОТР» и Укрсоцбанка.
«Не работает популярный на Украине сайт Korrespondent.net и телеканал «24». Количество компаний, которые пострадали от атаки, увеличивается с каждым часом. В настоящее время на Украине не работает большая часть банковских отделений. Например, в офисах Укрсоцбанка компьютеры просто не загружаются. Нельзя получить или отправить деньги, оплатить квитанции и проч. В то же время в ПриватБанке проблем не наблюдается», — сообщает киевский корреспондент RT.
Вирус поражает только компьютеры, которые работают на операционной системе Windows. Он шифрует главную таблицу файлов жёсткого диска и вымогает у пользователей деньги за расшифровку. В этом он схож с вирусом-вымогателем WannaCry, атакам которого подверглось множество компаний по всему миру. При этом уже появились результаты проверки заражённых компьютеров, показавшие, что вирус уничтожает всю или большую часть информации на заражённых дисках.
В настоящий момент вирус идентифицирован как mbr locker 256, но в СМИ получило распространение другое название — Petya.
От Киева до Чернобыля
Вирус поразил и киевское метро, где в настоящее время возникают затруднения с оплатой банковскими картами.
Поражены многие крупные объекты инфраструктуры, такие как государственный железнодорожный оператор «Укрзализница», аэропорт Борисполь. Впрочем, пока они работают в штатном режиме, системы аэронавигации вирус не затронул, хотя Борисполь уже опубликовал предупреждение о возможных изменениях в расписании, а в самом аэропорту не работает табло прилёта.
В связи с атакой испытывают трудности в работе два крупнейших почтовых оператора страны: государственная «Укрпочта» и частная «Новая почта». Последняя заявила о том, что сегодня не будет взиматься плата за хранение посылок, а Укрпочта пытается минимизировать последствия атаки при помощи СБУ.
В связи с риском заражения не работают и сайты тех организаций, которые вирус не затронул. По этой причине отключены, к примеру, сервера сайта Киевской городской государственной администрации, а также сайт Министерства внутренних дел Украины.
Украинские официальные лица вполне предсказуемо заявляют, что атаки совершаются из России. Об этом сказал секретарь Совета национальной безопасности и обороны Украины Александр Турчинов. «Уже сейчас, проведя первичный анализ вируса, можно говорить про российский след», — цитирует его официальный сайт ведомства.
К 17:30 вирус добрался даже до Чернобыльской АЭС. Об этом изданию «Украинская правда» сообщил начальник смены ЧАЭС Владимир Ильчук.
«Есть предварительная информация, что некоторые компьютеры были заражены вирусом. Поэтому, как только эта хакерская атака началась, была дана персональная команда компьютерным рабочим на местах персонала компьютеры отключить», — сказал Ильчук.
Атака на сладости и нефтегаз
Хакерской атаке во вторник, 27 июня, также подверглись некоторые российские компании, включая нефтегазовые гиганты «Роснефть» и «Башнефть», металлургическую компанию Evraz, «Банк Хоум Кредит», отделения которого приостановили работу, а также российские представительства Mars, Nivea, Mondelez International, TESA и ряда других зарубежных компаний.
- Reuters
- MAXIM SHEMETOV
Около 14:30 мск в «Роснефти» заявили о проведении мощной хакерской атаки на серверы компании. При этом в микроблоге компании в Twitter отмечается, что атака могла привести к серьёзным последствиям, но благодаря переходу на резервную систему управления производственными процессами ни добыча, ни подготовка нефти не были остановлены.
После кибератаки сайты компаний «Роснефть» и «Башнефть» на некоторое время стали недоступны. В «Роснефти» также заявили о недопустимости распространения лживой информации по поводу произошедшей атаки.
Распространители лживых панических сообщений будут рассматриваться как сообщники организаторов атаки и вместе с ними нести ответственность.
— ПАО «НК «Роснефть» (@RosneftRu) 27 июня 2017 г.
«Распространители лживых панических сообщений будут рассматриваться как сообщники организаторов атаки и вместе с ними нести ответственность», — сообщили в компании.
При этом в «Роснефти» отметили, что по факту кибератаки компания обратилась в правоохранительные органы, и выразили надежду, что инцидент никак не связан «с текущими судебными процедурами». Во вторник, 27 июня, арбитражный суд Башкирии начал рассмотрение по существу иска «Роснефти», «Башнефти» и Башкирии к АФК «Система» на сумму 170,6 млрд рублей.
WannaCry-младший
При этом хакерская атака не затронула работу компьютерных систем администрации президента России и официальный сайт Кремля, который, как сообщил ТАСС пресс-секретарь президента Дмитрий Песков, «работает стабильно».
Хакерская атака также никак не отразилась на работе российских АЭС, отметили в концерне «Росэнергоатом».
Компания Dr. Web на своём сайте заявила, что, несмотря на внешнее сходство, нынешняя атака была совершена с использованием вируса, отличающегося от уже известной вредоносной программы-вымогателя Petya, в частности, механизмом распространения угрозы.
«Среди жертв кибератаки оказались сети «Башнефти», «Роснефти», Mondelez International, Mars, Nivea, TESA и другие», — цитирует агентство сообщение компании. При этом в пресс-службе Mars в России рассказали, что кибератака вызвала проблемы с IT-системами только у бренда Royal Canin, производителя кормов для животных, а не у всей компании.
Последняя крупная хакерская атака на российские компании и государственные учреждения произошла 12 мая в рамках масштабной операции неизвестных хакеров, атаковавших компьютеры с ОС Windows в 74 странах мира при помощи вируса-шифровальщика WannaCry.
Во вторник глава международного комитета Совета Федерации Константин Косачёв, выступая на заседании комиссии Совфеда по защите государственного суверенитета, заявил, что около 30% всех кибератак на Россию совершается с территории США.
«С российской территории на американские компьютеры совершается не более 2% от общего числа кибератак, при этом с территории США на российскую электронную инфраструктуру — 28—29%», — приводит слова Косачёва РИА Новости.
По сообщению руководителя международной исследовательской команды «Лаборатория Касперского» Костина Райю, вирус Petya распространился на многие страны мира.
Petrwrap/Petya ransomware variant with contact [email protected] spreading worldwide, large number of countries affected.
Возможно, вы уже в курсе о хакерской угрозе зафиксированной 27 июня 2017 года в странах России и Украины, подвергшиеся масштабной атаке похожей на WannaCry . Вирус блокирует компьютеры и требует выкуп в биткоинах за дешифровку файлов. В общей сложности пострадало более 80 компаний в обеих странах, включая российские «Роснефть» и «Башнефть».
Вирус-шифровальщик, как и печально известный WannaCry, заблокировал все данные компьютера и требует перевести преступникам выкуп в биткоинах, эквивалентный $300. Но в отличии от Wanna Cry, Petya не утруждает шифрованием отдельных файлов — он практически мгновенно «отбирает» у вас весь жесткий диск целиком.
Правильное название этого вируса — Petya.A. Отчет ESET раскрывает некоторые возможности Diskcoder.C (он же ExPetr, PetrWrap, Petya или NotPetya)
По статистике всех пострадавших, вирус распространялся в фишинговых письмах с зараженными вложениями. Обычно письмо приходит с просьбой открыть текстовый документ, а как мы знаем второе расширение файла txt. exe скрывается, а приоритетным является последнее расширения файла. По умолчанию операционная система Windows не отображает расширения файлов и они выгладят вот так:
В 8.1 в окне проводника (Вид \ Параметры папок \ Убираем галочку Скрывать расширения для зарегистрированных типов файлов)
В 7 в окне проводника (Alt \ Сервис \ Параметры папок \ Убираем галочку Скрывать расширения для зарегистрированных типов файлов)
И самое страшное, что пользователей даже не смущает, что письма приходят от неизвестных пользователей и просят открыть непонятные файлы.
После открытия файла пользователь видит «синий экран смерти».
После перезагрузки, похоже на то, что запускается «Скан диск» на самом деле, вирус шифрует файлы.
В отличие от других программ-вымогателей, после того как этот вирус запущен, он немедленно перезапускает ваш компьютер, и когда он загружается снова, на экране появляется сообщение: “НЕ ВЫКЛЮЧАЙТЕ ВАШ ПК! ЕСЛИ ВЫ ОСТАНОВИТЕ ЭТОТ ПРОЦЕСС, ВЫ МОЖЕТЕ УНИЧТОЖИТЬ ВСЕ ВАШИ ДАННЫЕ! ПОЖАЛУЙСТА, УБЕДИТЕСЬ, ЧТО ВАШ КОМПЬЮТЕР ПОДКЛЮЧЕН К ЗАРЯДКЕ!”. Хотя это может выглядеть как системная ошибка, на самом деле, в данный момент Petya молча выполняет шифрование в скрытом режиме. Если пользователь пытается перезагрузить систему или остановить шифрования файлов, на экране появляется мигающий красный скелет вместе с текстом “НАЖМИТЕ ЛЮБУЮ КЛАВИШУ!”. Наконец, после нажатия клавиши, появится новое окно с запиской о выкупе. В этой записке, жертву просят заплатить 0.9 биткойнов, что равно примерно $400. Тем не менее, это цена только за один компьютер. Поэтому, для компаний, которые имеют множество компьютеров, сумма может составлять тысячи. Что также отличает этого вымогателя, так это то, что он дает целую неделю чтобы заплатить выкуп, вместо обычных 12-72 часов, которые дают другие вирусы этой категории.
Более того, проблемы с Petya на этом не заканчиваются. После того, как этот вирус попадает в систему, он будет пытаться переписать загрузочные файлы Windows, или так называемый загрузочный мастер записи, необходимый для загрузки операционной системы. Вы будете не в состоянии удалить Petya вирус с вашего компьютера, если вы не восстановите настройки загрузочного мастера записи (MBR). Даже если вам удастся исправить эти настройки и удалить вирус из вашей системы, к сожалению, ваши файлы будут оставаться зашифрованными, потому что удаление вируса не обеспечивает расшифровку файлов, а просто удаляет инфекционные файлы. Конечно, удаления вируса имеет важное значение, если вы хотите продолжить работу с компьютером
После попадания на ваш компьютер под управлением системы Windows, Petya практически мгновенно зашифровывает MFT (Master File Table — главная таблица файлов). За что же отвечает эта таблица?
Представьте, что ваш жесткий диск - это самая большая библиотека во всей вселенной. В ней содержатся миллиарды книг. Так как же найти нужную книгу? Только с помощью библиотечного каталога. Именно этот каталог и уничтожает Петя. Таким образом, вы теряете всякую возможность найти какой-либо «файл» на вашем ПК. Если быть еще точнее, то после «работы» Petya жесткий диск вашего компьютера будет напоминать библиотеку после торнадо, с обрывками книг, летающими повсюду.
Таким образом, в отличии от Wanna Cry, Petya.A не шифрует отдельные файлы, тратя на это внушительное время - он просто отбирает у вас всякую возможность найти их.
Кто создал вирус Петя?
При создании вируса Петя был задействован эксплойт («дыра») в ОС Windows под названием «EternalBlue». Microsoft выпустил патч kb4012598 (из ранее выпущенных уроков по WannaCry мы уже рассказывали об этом обновлении, которое «закрывает» эту дыру.
Создатель «Petya» смог с умом использовать беспечность корпоративных и частных пользователей и заработать на этом. Его личность пока что неизвестна (да и вряд ли будет известна)
Как удалить вирус Petya?
Как удалить вирус Petya.A с вашего жесткого диска? Это крайне интересный вопрос. Дело в том, что если вирус уже заблокировал ваши данные, то и удалять будет, фактически, нечего. Если вы не планирует платить вымогателям (чего делать не стоит) и не будете пробовать восстанавливать данные на диске в дальнейшем, вам достаточно просто произвести форматирование диска и заново установить ОС. После этого от вируса не останется и следа.
Если же вы подозреваете, что на вашем диске присутствует зараженный файл - просканируйте ваш диск антивирусом от компании ESET Nod 32 и проведите полное сканирование системы. Компания NOD 32 заверила, что в его базе сигнатур уже есть сведения о данном вирусе.
Дешифратор Petya.A
Petya.A зашифровывает ваши данные очень стойким алгоритмом шифрования. На данный момент не существует решения для расшифровки заблокированных сведений.
Несомненно, мы бы все мечтали получить чудодейственный дешифратор (decryptor) Petya.A, однако такого решения просто нет. Вирус WannaCry поразил мир несколько месяцев назад, но лекарство для расшифровки данных, которые он зашифровал, так и не найдено.
Единственный вариант, это если ранее у вас были теневые копии файлов.
Поэтому, если вы еще не стали жертвой вируса Petya.A - обновите ОС систему, установите антивирус от компании ESET NOD 32. Если вы все же потеряли контроль над своими данными - то у вас есть несколько путей.
Заплатить деньги. Делать этого бессмысленно! Специалисты уже выяснили, что данные создатель вируса не восстанавливает, да и не может их восстановить, учитывая методику шифрования.
Попробовать удалить вирус с компьютера, а ваши файлы попробовать восстановить с помощью теневой копии (вирус их не поражает)
Вытащить жесткий диск из вашего устройства, аккуратно положить его в шкаф и жать появления дешифратора.
Форматирование диска и установка операционной системы. Минус - все данные будут утеряны.
Petya.A и Android, iOS, Mac, Linux
Многие пользователи беспокоятся - «а может ли вирус Petya заразить их устройства под управлением Android и iOS. Поспешу их успокоить - нет, не может. Он рассчитан только на пользователей ОС Windows. То же самое касается и поклонников Linux и Mac - можете спать спокойно, вам ничего не угрожает.
По данным компании Positive Technologies, в России и на Украине от действий Petya пострадали свыше 80 организаций. По сравнению с WannaCry этот вирус признан более разрушительным, так как распространяется несколькими методами — с помощью Windows Management Instrumentation, PsExec и эксплойта EternalBlue. Кроме того, в шифровальщик внедрена бесплатная утилита Mimikatz.
«Такой набор инструментария позволяет Petya сохранять работоспособность даже в тех инфраструктурах, где был учтен урок WannaCry и установлены соответствующие обновления безопасности, именно поэтому шифровальщик настолько эффективен», — заявили в Positive Technologies.
Как рассказал «Газете.Ru» руководитель отдела реагирования на угрозы информационной безопасности компании Эльмар Набигаев,
если говорить о причинах возникновения сегодняшней ситуации, то проблема снова в небрежном отношении к проблемам информационной безопасности.
Руководитель вирусной лаборатории Avast Якуб Кроустек в беседе с «Газетой.Ru» заявил, что нельзя доподлинно установить, кто именно стоит за данной кибератакой, но уже известно, что вирус Petya распространяется в даркнете по бизнес-модели RaaS (вредоносное ПО как услуга).
«Так, доля распространителей программы достигает 85% с выкупа, 15% достается авторам вируса-вымогателя», — рассказал Кроустек. Он отметил, что авторы Petya предоставляют всю инфраструктуру, C&C-серверы и системы денежных переводов, что помогает привлекать людей для распространения вируса, даже если у них нет опыта в программировании.
Кроме того, в компании Avast рассказали, какие именно операционные системы пострадали от вируса больше всего.
На первом месте оказалась Windows 7 — 78% от всех зараженных компьютеров. Далее следу.т Windows XP (18%), Windows 10 (6%) и Windows 8.1 (2%).
«Лаборатория Касперского» посчитала, что хоть вирус и похож на семейство Petya, но все же принадлежит к другой категории, и дала ему другое название — ExPetr, то есть «бывший Петр».
Заместитель директора по развитию компании «Айдеко» Дмитрий Хомутов объяснил корреспонденту «Газеты.Ru», что кибератаки вирусами WannaCry и Petya привели к тому, «о чем давно предупреждал », то есть к глобальной уязвимости используемых повсеместно информационных систем.
«Лазейки, оставленные американскими корпорациями спецслужбам, стали доступны хакерам и быстро были скрещены с традиционным арсеналом киберпреступников — шифровальщиками, ботнет-клиентами и сетевыми червями», — рассказал Хомутов.
Таким образом, WannaCry практически ничему не научил мировое сообщество — компьютеры так и остались незащищенными, системы не были обновлены, а усилия по выпуску патчей даже для устаревших систем просто пропали даром.
Эксперты призывают не платить требуемый выкуп в биткоинах, так как почтовый адрес, который хакеры оставили для связи, был заблокирован местным провайдером. Таким образом, даже в случае «честных и благих намерений» киберпреступников пользователь не только потеряет деньги, но и не получит инструкции для разблокировки своих данных.
Больше всего Petya навредил Украине. Среди пострадавших оказались «Запорожьеоблэнерго», «Днепроэнерго», Киевский метрополитен, украинские мобильные операторы «Киевстар», LifeCell и «Укртелеком», магазин «Ашан», Приватбанк, аэропорт Борисполь и другие.
Украинские власти тут же обвинили в кибератаке Россию.
«Война в киберпространстве, сеющая страх и ужас среди миллионов пользователей персональных компьютеров и наносящая прямой материальный ущерб из-за дестабилизации работы бизнеса и госорганов, — это часть общей стратегии гибридной войны российской империи против Украины», — заявил , депутат Рады от «Народного фронта».
Украина могла пострадать сильнее других из-за изначального распространения Petya через автоматическое обновление M.E.doc — программы для бухгалтерской отчетности. Именно так были заражены украинские ведомства, объекты инфраструктуры и коммерческие компании — все они пользуются этим сервисом.
В пресс-службе ESET Russia «Газете.Ru» пояснили, что для заражения вирусом Petya корпоративной сети достаточно одного уязвимого компьютера, на котором не установлены обновления безопасности. С его помощью вредоносная программа попадет в сеть, получит права администратора и распространится на остальные устройства.
Однако M.E.doc выступила с официальным опровержением этой версии.
«Обсуждение источников возникновения и распространения кибератаки активно проводится пользователями в соцсетях, форумах и других информационных ресурсах, в формулировках которых одной из причин указывается установка обновлений программы M.E.Doc. Команда разработки M.E.Doc опровергает данную информацию и заявляет, что подобные выводы — однозначно ошибочные, ведь разработчик M.E.Doc, как ответственный поставщик программного продукта, следит за безопасностью и чистотой собственного кода», — говорится в