Вірус-вимагач Petya прийшов через оновлення програми M.E.Doc

Від нової програми-вимагача – вірусу Petya, постраждала низка країн по всьому світу, але найбільші атаки були завдані по Україні та Росії.

Мільйони комп'ютерів по всьому світу зазнали масштабної кібератаки, що завдала удару по багатьом компаніям України, включаючи банки, мережеві магазини, транспортні корпорації, а також державні установи. Йдеться про нову модифікацію програми-здирника, заснованого на вірусі сімейства Petya, який був вперше ідентифікований в 2016 році.

Кілька місяців тому, подібний вірус-шифрувальник був вдосконалений і об'єднаний в нове шкідливе ПЗ під назвою PetrWrap. Випадки зараження були виявлені в Росії, Індії, Франції, Іспанії, а також Нідерландах.

Вірус шифрує всі файли на комп'ютері, вимагаючи викуп в розмірі 300 $ у криптовалюті Bitcoin за ключ розшифрування і повернення доступу до файлів.

Проаналізувавши шляхи розвитку кіберепідеміі, був виявлений первинний вектор зараження, який пов'язаний з оновленням українського бухгалтерського софту M.E.Doc. Проникнувши в мережу, модифікація вірусу Petya продовжує зараження двома методами: за допомогою викрадення облікових даних жертв (використовуючи утиліти типу Mimikatz, яка дозволяє витягувати паролі користувачів у відкритому вигляді); або ж за допомогою експлойтів EternalBlue (який - як і WannaCry - використовує уразливість в службі SMB операційної системи Windows) і EternalRomance.

Microsoft випустила оновлення безпеки, які усувають дані уразливості ще в березні. EternalBlue був розроблений Агентством національної безпеки США і кількома тижнями раніше опублікований у відкритому доступі угрупованням ShadowBrokers.

За перший день компанія Avast Software зіткнулася з 12 000 спроб шкідливого ПО використовувати EternalBlue, всі з них були ідентифіковані та заблоковані. Дані, отримані від користувачів функції Перевірки Wi-Fi Avast (яка сканує бездротові мережі на наявність проблем і визначає, схильне чи уразливості EternalBlue пристрій з встановленим на ньому Avast або будь-який інший комп'ютер, підключений до тієї ж мережі) вказують на те, що на 38 мільйонах комп'ютерах, які були просканувати на минулого тижня, не були встановлені оновлення безпеки Windows, а отже, знаходяться під загрозою. Реальна кількість вразливих пристроїв, ймовірно, набагато більше.

За даними компанії, під найбільшим ударом опинилися користувачі Windows 7 (78%), а також застарілою Windows XP (14%). Далі слідують системи Windows 10 (6%) і Windows 8.1 (2%).

Даний зразок вірусу блокує файли за допомогою алгоритму шифрування AES-128 (CBC mode). Ключ шифрування генерується випадковим чином.

Отриманий AES-ключ додатково шифрується за допомогою відкритого ключа RSA-2048, який зберігається в зразку програми. Він зберігається в файлі README.txt разом з повідомленням про вимогу викупу. Після зараження, програма-вимагач змінює головний завантажувальний запис (master boot record, MBR) диска, що не дає коректно завантажитися системі після перезапуску. Користувач зараженого пристрою бачить тільки повідомлення про викуп, подібне зображення вище.

Хоча поки невідомо, хто стоїть за цією кібератакою, слід зазначити, що однією з головних характеристик вірусу-здирника Petya є те, що творці просувають його на просторах даркнету за допомогою розповсюджувачів, які заробляють на зараженні пристроїв, забираючи собі до 85% сплаченого викупу. Вони забезпечують всю інфраструктуру, C&C сервери і шляхи переказу грошей. Така модель називається RaaS (англ. Ransomware as a service - вимагач як послуга) і дозволяє розробникам шкідливого ПО вмовляти підприємливих користувачів займатися його поширенням.

Читайте також: Вірус Petya: наймасштабніша хакерська атака в історії України