Petya

Petya (также известна как Petya.A, Petya.D, Trojan.Ransom.Petya, Petya Ransomware, PetrWrap, Петя; схожий вирус — NotPetya, ExPetr, GoldenEye) — вредоносная программа, сетевой червь и программа-вымогатель, поражающая компьютеры под управлением Microsoft Windows. Первые разновидности вируса были обнаружены в марте 2016 года.

Программа шифрует файлы на жёстком диске компьютера-жертвы, а также перезаписывает и шифрует MBR — данные, необходимые для загрузки операционной системы. В результате все хранящиеся на компьютере файлы становятся недоступными. Затем программа требует денежный выкуп в биткойнах за расшифровку и восстановление доступа к файлам, но при этом после оплаты расшифровки не происходит. При этом первая версия вируса шифровала не сами файлы, а лишь MFT-таблицу с информацией о всех файлах, хранящихся на диске с файловой системой NTFS. Уплата выкупа чаще всего была бесполезной. Также в 2017 существовал другой вирус, который визуально имел схожие черты с «Petya», из-за чего прозванный «NotPetya» или «ExPetr», и использовал специфичное шифрование всех файлов и в ряде случаев повреждал жёсткие диски. Сперва эксперты пришли к выводу, что результат работы вируса не предполагает расшифровки и нацелен на уничтожение информации. Однако позже была доказана потенциальная возможность восстановления данных.

История

Первые версии в 2016 Впервые вирус Petya был обнаружен в марте 2016 года. Компания «Check Point» тогда отметила, что, хотя ему удалось заразить меньше компьютеров, чем другим программам-вымогателям начала 2016 года, таким как CryptoWall, поведение нового вируса заметно отличается, благодаря чему он «немедленно был отмечен как следующий шаг в развитии программ-вымогателей». За восстановление доступа к файлам программа требовала от пользователя 0,9 биткойна (около 380 долларов США по состоянию на март 2016 года). Другую разновидность программы обнаружили в мае 2016 года. Она содержала дополнительную полезную нагрузку: если вирусу не удаётся получить права администратора для перезаписи MBR и последующего шифрования MFT, он устанавливает на заражённый компьютер другую вредоносную программу — Mischa, которая шифрует файлы пользователя напрямую (такая операция обычно не требует прав администратора), а затем требует выкуп в размере 1,93 биткойна (на тот момент — 875 долларов США).

Массовое заражение в 2017

27 июня 2017 года началось массовое распространение новой программы, основанной на «Petya». Новый вирус использует те же уязвимости системы, что и WannaCry (к примеру, эксплойт EternalBlue от АНБ и бэкдор DoublePulsar), а за восстановление доступа к данным требует отправить 300 долларов в биткойнах. Однако специалисты не рекомендовали пользователям идти на поводу у вымогателей, поскольку это всё равно не поможет им восстановить доступ к данным: электронный адрес, на который после осуществления платежа злоумышленники предлагали отправить зашифрованные файлы, был заблокирован провайдером. По мнению главного инженера компании «McAfee» Кристиана Бика, эта модификация была разработана так, чтобы распространяться максимально быстро. В компании «ESET» заявили, что распространение вредоносной программы началось на территории Украины через пакет обновления популярного бухгалтерского приложения M.E.Doc. Атаке подверглись энергетические компании, украинские банки, аэропорт Харькова, Чернобыльская АЭС, правительственные сайты. Национальный банк Украины опубликовал на своём сайте официальное заявление о хакерской атаке на банки страны и борьбе с ней. Позднее стали появляться сообщения о хакерской атаке на российские банки, компании, предприятия: «Сбербанк», «Хоум Кредит», «Роснефть», «Башнефть» и «Евраз». Также сообщения о заражении стали поступать из Италии, Израиля, Сербии, Венгрии, Румынии, Польши, Аргентины, Чехии, Германии, Великобритании, США, Дании, Нидерландов, Испании, Индии, Франции и Эстонии.

Согласно сообщениям киберполиции Украины, атака, вероятно, началась через механизм обновления бухгалтерского программного обеспечения M.E.Doc, которую по всей стране используют для подготовки и отправки налоговой отчётности. Это объясняет, почему пострадало большое количество украинских организаций, в том числе правительство, банки, государственные энергетические компании, киевский аэропорт и метро. Так, например, система радиационного мониторинга в Чернобыльской АЭС была отключена от сети Интернет, вынуждая сотрудников перейти на ручные счётчики и ручное управление в целом. Вторая волна эпидемии произошла через фишинговый сайт с вредоносными вложениями. Сама компания M.E.Doc опровергает, что распространение вируса может быть связано с её файлами обновления. Однако специалисты Microsoft подтверждают, что первые случаи заражения начались именно с установки обновления M.E.Doc.

Цели атаки По мнению части аналитиков, модификация «NotPetya» лишь маскировался под вымогателя, в то время как его истинная цель — нанесение массового ущерба. Об этом свидетельствовали первоначальные выводы о невозможности расшифровки файлов. Об этом заявили, в частности, эксперт по информационной безопасности Мэтт Свише, а также специалисты Лаборатории Касперского. Вирусный аналитик Маркус Хатчинс, который в мае 2017 года случайно остановил распространение сетевого червя WannaCry, также допускает, что целью кибератаки был массовый сбой систем, а не получение выкупа, но при этом отрицает, что возникавшие иногда необратимые повреждения жёсткого диска были спланированы злоумышленниками заранее. Исследователь кибербезопасности Николас Уивер выдвинул следующую гипотезу: Petya был «преднамеренной, злонамеренной, разрушительной атакой или, возможно, испытанием, замаскированным под вымогательство». Специалист под псевдонимом Grugq отметил, что первый вирус был «преступным предприятием с целью вымогательства денег», но новая версия явно предназначена не для этого. Он также добавил:

К тому же, механизм вымогательства вредоносного ПО выглядит бесполезным: единственный адрес плохо скрыт, то есть движение денег можно отследить. Ещё одной недоработкой можно отметить требование отправить 60-значный персональный идентификационный ключ, который невозможно cкопировать в буфер обмена. Более того, специалисты Лаборатории Касперского выяснили, что в новом вирусе этот ключ — ничего не значащий набор случайных символов, не передающих информацию, необходимую для расшифровки файлов. Это может свидетельствовать о том, что создатели вируса и не собирались расшифровывать данные.

Однако в начале июля 2017 года хакеры стали предлагать заплатить 100 биткойнов (примерно 250 тыс. долларов США) на новый кошелёк за работающий ключ дешифрации. Редакция издания Motherboard передала хакерам зашифрованный файл и получила расшифрованную копию, что доказало потенциальную возможность восстановления данных.

Поскольку основной удар кибератаки пришёлся на Украину, существует гипотеза о том, что эта атака является политически мотивированной. В пользу этой версии говорит и дата распространения, так как 28 июня — День Конституции Украины.

Название По мнению части аналитиков, называть новую угрозу «Petya», строго говоря, неверно. Вредоносное ПО действительно обладает значительным количеством кода с более старой областью, предназначенной для вымогательства, которая идентифицируется антивирусными системами как Petya. Однако уже через несколько часов после начала эпидемии некоторые исследователи по информационной безопасности заметили, что это сходство весьма поверхностно. Исследователи из Лаборатории Касперского отказались называть вредоносную программу «Petya» — вместо этого они используют термины New Petya, NotPetya, ExPetr. Распространяются и другие варианты этого названия — Petna, Pneytna и прочие. Кроме того, другие исследователи, которые самостоятельно обнаружили вредоносное ПО, определили его совсем другими названиями: например, румынская компания Bitdefender назвала его Goldeneye. С другой стороны, американская компания Symantec считает новую угрозу разновидностью вируса Petya, не присваивая ей какого-то другого названия.

Защита Большинство крупных антивирусных компаний заявляет, что их программное обеспечение обновлено, чтобы активно обнаруживать и защищать от заражений вируса: например, продукты компании Symantec используют сигнатуры обновлённой версии 20170627.009. Лаборатория Касперского также заявляет, что её программное обеспечение готово к обнаружению вредоносного ПО и защите от него. Кроме того, актуальные обновления Windows исправляют уязвимость EternalBlue, что позволяет остановить один из основных способов заражения, а также защитить пользователей от будущих атак с разного рода полезными нагрузками.

Для этой вредоносной атаки был обнаружен ещё один вектор защиты. Petya проверяет наличие файла perfc.dat, находящегося в системной папке c:\Windows\ только для чтения. Если он обнаружит этот файл, то не будет запускать шифрование программного обеспечения и информации. Однако такая «вакцина» на самом деле не предотвращает заражение: вредоносное ПО по-прежнему будет использовать «точку опоры» на заражённом ПК с целью распространиться в другие компьютерные системы через локальную сеть.

См. также Хакерские атаки на Украину (2017) WannaCry Bad Rabbit (вирус-шифровальщик) EternalRocks DoublePulsar EternalBlue

Примечания

Категория:Компьютерные вирусы и сетевые черви Категория:Вредоносное программное обеспечение Категория:Июнь 2017 года Категория:Российско-украинская кибервойна