پتیا

پتیا () نام خانواده‌ای از باج‌افزارها است که برای اولین بار در سال ۲۰۱۶ میلادی کشف شد. این بدافزار، سامانه‌هایی که بر پایه ویندوز باشند را هدف قرار می‌دهد و رکورد راه‌انداز اصلی را آلوده می‌کند. با این کار کدی اجرا می‌شود که جدول پرونده‌های موجود بر روی دیسک سخت را رمزنگاری می‌کند و از راه‌اندازی مجدد ویندوز جلوگیری می‌کند. وقتی یک سیستم آلوده شد، از کاربران می‌خواهد تا مقداری پول (به بیت‌کوین) پرداخت کنند تا اجازه دسترسی دوباره به سامانه را بدهد.

اولین نسخه‌های پتیا در مارس ۲۰۱۶ از طریق پیوست‌های آلوده پست الکترونیکی منتشر شد. در ژوئن ۲۰۱۷ نسخه جدیدی از آن در حمله‌ای جهانی مورد استفاده قرار گرفت که کامپیوترهای اوکراین هدف اولیه آن بود. این نسخه جدید از طریق اکسپلویتی به نام اترنال‌بلو بهره می‌جوید که عموماً اعتقاد بر این است که توسط  آژانس امنیت ملی (NSA) ایالات متحده توسعه یافته است و اوایل همان سال توسط باج افزار واناکرای مورد استفاده قرار گرفت. آزمایشگاه کسپرسکی به دلیل این تفاوت‌ها در عملکرد، این نسخه جدید را نات‌پتیا نامید تا آن را از نسخه‌های ۲۰۱۶ متمایز کند. در ابتدا شبیه باج‌افزار به نظر می‌رسید. ولی به دلیل عدم قابلیت بازیابی اطلاعات، بیشتر معادل پاک‌کن بود. برخی محققان امنیتی، گوگل و چندین دولت، با توجه به ارتباط موضوع با گروه هکری کرم شنی که درون سازمان اطلاعات نظامی روسیه  قرار گرفته است، مقصر حملات نات‌پتیا را روسیه می‌دیدند. 

 تاریخچه 
پتیا در مارس ۲۰۱۶ کشف شد. شرکت چک پوینت با اشاره به این موضع بیان کرد که در حالی که نسبت به سایر باج افزارهای فعال در اوایل سال ۲۰۱۶، مانند کریپتو وال ، به آلودگی‌های کمتری دست یافته بود، اما دارای تفاوت‌های قابل توجهی در عملکرد بود که باعث شد "فورا به عنوان گام بعدی در تکامل باج افزار علامت‌گذاری شود".  نوع دیگری از پتیا که در می‌۲۰۱۶ کشف شد حاوی یک قسمت فعال جدید بود که به برنامه اضافه شده بود تا اگر بدافزار نتواند دسترسی در سطح ابرکاربر را به دست آورد، مورد استفاده قرار بگیرد (سربار ثانویه). 

نام "پتیا" اشاره‌ای به فیلم چشم طلایی جیمز باند در سال ۱۹۹۵ است که در آن پتیا یکی از دو ماهواره تسلیحاتی شوروی است که حامل "چشم طلایی" است. این بمب اتمی قرار بود که در مدار پایین زمین منفجر شود تا یک پالس الکترومغناطیسی تولید کند. گروه رسانه‌ای هایز احتمال می‌دهد که حساب توییتری با نام «Hue Janus Cybercrime Solutions» ممکن است متعلق به نویسنده بدافزار باشد. این نام از روی گروه جنایی الک ترولیان در فیلم چشم طلایی گرفته شده، و دارای آواتاری با تصویر شخصیت چشم طلایی بوریس گریشنکو، هکر و آنتاگونیست روسی بود. نقش این شخصیت را آلن کامینگ بازیگر اسکاتلندی بازی می‌کند. 

در ۳۰ اوت ۲۰۱۸، یک دادگاه منطقه‌ای در نیکوپول در استان دنیپروپتروفسک اوکراین، یک شهروند اوکراینی ناشناس را پس از اعتراف به جرم خود به انتشار نسخه آنلاین پتیا به یک سال زندان محکوم کرد. 

 حمله سایبری ۲۰۱۷ 
چپ|بندانگشتی|نمایش یادداشت باج نات‌پتیا در یک سیستم آلوده
در ۲۷ ژوئن ۲۰۱۷،  با استفاده از نوع جدیدی از پتیا یک حمله سایبری بزرگ جهانی آغاز شد. شرکت‌های اوکراینی جزو اولین شرکت‌هایی بودند که اعلام کردند مورد حمله قرار گرفته‌اند. در آن روز، آزمایشگاه کسپرسکی موارد آلودگی را در فرانسه، آلمان، ایتالیا، لهستان، بریتانیا و ایالات متحده گزارش داد، اما اکثریت الودگی‌ها روسیه و اوکراین را هدف قرار داده بودند و در ابتدا بیش از ۸۰ شرکت از جمله بانک ملی اوکراین مورد حمله قرار گرفته بودند. شرکت ایسِت در ۲۸ ژوئن ۲۰۱۷ تخمین زد که ۸۰٪ از کل الودگی‌ها در اوکراین بوده است و آلمان با حدود ۹٪ در رده دوم قرار دارد.  دیمیتری پسکوف، سخنگوی مطبوعاتی ولادیمیر پوتین، رئیس‌جمهور روسیه، اعلام کرد که این حمله آسیب جدی به روسیه وارد نکرده است.  کارشناسان معتقد بودند که این یک حمله با انگیزه سیاسی علیه اوکراین بود، زیرا در آستانه روز قانون اساسی اوکراین رخ داد.

الکساندر کارداکوف، بنیانگذار شرکت حفاظت سایبری اوکتاوا، معتقد است که ویروس پتیا یک سوم اقتصاد اوکراین را به مدت سه روز متوقف کرد و در نتیجه بیش از 4۰۰ میلیون دلار به آن خسارت وارد کرد. 

کسپرسکی این نوع را "نات‌پتیا" نامید، زیرا تفاوت‌های عمده‌ای در عملکرد آن در مقایسه با انواع قبلی خود دارد. کریستیان بیک، مهندس مک‌آفی، اظهار داشت که این نوع جدید برای رسیدن به هدف "گسترش سریع" طراحی شده است و "تمامی شرکت‌های انرژی، شبکه برق، ایستگاه‌های اتوبوس، پمپ بنزین‌ها، فرودگاه و بانک‌ها" را هدف قرار داده است.

میکو هیپونن، تحلیلگر شرکت اف‌سکیور،  به برنامه  اشاره کرده است که یک برنامه آماده‌سازی مالیاتی بسار پرکاربردر اوکراین است. اعتقاد بر این بود که مکانیزم به‌روز‌رسانی نرم‌افزار  برای انتشار بدافزار مورد خطر قرار گرفته بود.  تجزیه و تحلیل شرکت ایسِت نشان داد که حداقل شش هفته قبل از حمله یک در پشتی در سیستم به‌روز‌رسانی وجود داشته است و آن را به عنوان یک "عملیات کاملاً برنامه‌ریزی شده و به خوبی اجرا شده" توصیف می‌کند. توسعه‌دهندگان MEDoc مسئولیت کامل این حمله سایبری را رد کردند و اظهار داشتند که آنها نیز قربانی شده‌اند. 

در 4 ژوئیه ۲۰۱۷، واحد جرایم سایبری اوکراین پس از شناسایی "فعالیت جدید" با منشا سرورهای شرکت M.E.Doc را که معتقد بود منجر به "تکثیر کنترل نشده" بدافزار خواهد شد، سرورهای این شرکت را توقیف کرد. پلیس اوکراین به کاربران MEDoc توصیه کرد استفاده از این نرم‌افزار را متوقف کنند، زیرا گمان می‌رفت که درب پشتی هنوز وجود دارد.   تجزیه و تحلیل سرورهای توقیف شده نشان داد که به روز رسانی نرم افزار از سال ۲۰۱۳ اعمال نشده است، شواهدی از حضور روسیه وجود دارد و حساب یک کارمند در سرورها به خطر افتاده است. رئیس این واحدها هشدار داد که MEDoc ممکن است به دلیل سهل انگاری در حفظ امنیت سرورهای خود، مسئول جنایی فعال کردن حمله باشد.    تاجر فناوری اطلاعات، رئیس هیئت نظارت شرکت Oktava Capital، الکساندر کارداکوف، پیشنهاد ایجاد دفاع سایبری مدنی در اوکراین را داد. 

 روش عملکرد 
بندانگشتی|نمونه پیام باج‌خواهی بدافزار پتیا
سربار پتیا، رکورد راه‌انداز اصلی کامپیوتر را آلوده می‌کند، سپس بوت لودر ویندوز را بازنویسی و سیستم را راه‌اندازی مجدد می‌کند. پس از راه‌اندازی، جدول اصلی فایل‌های سامانه پوشه‌بندی ان‌تی‌اف‌اس را رمزگذاری کرده و سپس پیام باج‌گیری را نشان می‌دهد که خواستار پرداخت از طریق بیت‌کوین است. در همین حین، رابط تصویری برنامه چک دیسک بر روی صفحه نمایش ظاهر می‌شود و وانمود می‌کند که ظاهراً در حال تعمیر بخش‌های هارد دیسک است.

در نسخه ابتدایی، سربار اصلی برای دسترسی به سطح مدیریتی، نیاز به تایید کاربر داشت. یکی از انواع پتیا، با سربار دوم به نام Mischa همراه بود که در صورت عدم نصب پتیا فعال می‌شد. Mischa یک بار باج افزار معمولی است که اسناد کاربر و همچنین فایل‌های اجرایی را رمزگذاری می‌کند و برای اجرا به امتیازات سطح مدیریتی نیاز ندارد.  نسخه‌های قبلی پتیا محموله خود را در قالب یک فایل پی‌دی‌اف که به یک ایمیل الصاق شده پنهان می‌کردند.  تیم واکنش اضطراری رایانه‌ای ایالات متحده و مرکز ملی امنیت سایبری و یکپارچه سازی ارتباطات گزارش یافته‌های اولیه بدافزار در مورد پتیا را در ۳۰ ژوئن ۲۰۱۷ منتشر کردند. 

گونه‌ی «نات‌پتیا» که در حمله سال ۲۰۱۷ استفاده شد، از اکسپلویت اترنال‌بلو بهره می‌برد. این اکسپلویت از یک آسیب‌پذیری در پروتکل بلوک پیام سرور ویندوز سوءاستفاده می‌کند. به‌طور کلی باور بر این است که اترنال‌بلو توسط آژانس امنیت ملی ایالات متحده توسعه یافته است؛ این اکسپلویت در آوریل ۲۰۱۷ به بیرون درز کرد و همچنین در حمله واناکرای مورد استفاده قرار گرفت.  

این بدافزار گذرواژه‌ها را (با استفاده از نسخه دستکاری‌شده‌ای از ابزار متن‌باز میمی‌کتز) گردآوری می‌کند و از روش‌های دیگر بردار حمله برای انتشار در دیگر رایانه‌های همان شبکه بهره می‌گیرد. در ادامه با به‌کارگیری این گذرواژه‌ها در کنار ابزار PSExec، دستور اجرای کد را در سایر رایانه‌های محلی صادر می‌کند.

علاوه بر این، هرچند این بدافزار همچنان وانمود می‌کند یک باج‌افزار است، اما روند رمزگذاری آن طوری تغییر یافته که از نظر فنی امکان بازگردانی تغییرات وجود ندارد. این ویژگی، همراه با نشانه‌های غیرعادی دیگر در مقایسه با واناکرای (از جمله مبلغ نسبتاً پایین ۳۰۰ دلار برای آزادسازی، و استفاده از یک کیف پول بیت‌کوین ثابت به‌جای اختصاص شناسه منحصربه‌فرد به هر آلودگی برای پیگیری پرداخت‌ها)،  پژوهشگران را به این گمان رساند که این حمله احتمالاً یک اقدام برای کسب سود نبوده، بلکه برای تخریب سریع دستگاه‌ها و ride off از توجه رسانه‌ای حمله واناکرای، با ادعای یک باج‌افزار بودن طراحی شده است. پژوهشگران را به این گمان رساند که این حمله احتمالاً یک اقدام برای کسب سود نبوده، بلکه برای تخریب سریع دستگاه‌ها و ride off از توجه رسانه‌ای حمله واناکرای، با ادعای یک باج‌افزار بودن طراحی شده است.

 کاهش خطر 

اکنون مشخص شده‌است که  اگر یک رایانه آلوده را بلافاصله هنگام ظاهرشدن صفحه ساختگی chkdsk خاموش کرد، ممکن است بتوان فرایند رمزگذاری را متوقف کرد.  یک تحلیل‌گر امنیتی پیشنهاد کرده که ایجاد پرونده‌های فقط خواندنی با نام‌های perfc و/یا perfc.dat در پوشه نصب ویندوز می‌تواند جلوی اجرای بدافزار نسخه فعلی را بگیرد. نشانی ایمیل نمایش‌داده‌شده روی صفحه باج‌خواهی توسط ارائه‌دهنده آن، پستئو، به‌دلیل نقض شرایط استفاده مسدود شده است. در نتیجه، کاربران آلوده عملاً نمی‌توانستند تأییدیه پرداخت موردنیاز را برای عامل حمله ارسال کنند. افزون بر این، اگر سامانه پرونده رایانه مبتنی بر FAT بود، مرحله رمزگذاری MFT اجرا نمی‌شد و فقط پیام باج‌افزار نمایش داده می‌شد که این امر امکان بازیابی داده‌ها را به‌سادگی فراهم می‌کرد.

مایکروسافت پیش‌تر در مارس ۲۰۱۷ برای نسخه‌های پشتیبانی‌شده ویندوز وصله‌هایی را برای رفع آسیب‌پذیری اترنال‌بلو منتشر کرده بود. پس از آن نیز در مه ۲۰۱۷، در پی رخداد واناکرای، برای نسخه‌های پشتیبانی‌نشده ویندوز (همچون ویندوز اکس‌پی) نیز وصله‌هایی عرضه شد. مجله وایرد بر این باور بود که «با توجه به میزان خسارتی که پتیا تاکنون وارد کرده‌است، به نظر می‌رسد بسیاری از شرکت‌ها با وجود تهدید آشکار و به‌شدت مخرب یک حمله مشابه، به‌روزرسانی وصله‌ها را به‌تعویق انداخته‌اند.» برخی شرکت‌ها ممکن است نصب به‌روزرسانی‌ها روی برخی سیستم‌ها را بیش‌ازحد مختل‌کننده بدانند، چه به‌دلیل نگرانی از زمان از کار افتادگی احتمالی یا دغدغه‌های سازگاری، که این مسئله می‌تواند در برخی محیط‌ها دردسرساز باشد.

 تأثیرات  
در گزارشی که توسط مجله وایرد منتشر شد، برآورد کاخ سفید میزان خسارت‌های واردشده توسط نات‌پتیا را بیش از ۱۰ میلیارد دلار اعلام کرد. این برآورد توسط مشاور سابق امنیت داخلی تام باسرت نیز تکرار شد. او در زمان حمله، ارشدترین مقام دولتی در حوزه امنیت سایبری در دولت ایالات متحده بود.

در جریان حمله‌ای که در ۲۷ ژوئن ۲۰۱۷ آغاز شد، سیستم پایش پرتوی نیروگاه نیروگاه هسته‌ای چرنوبیل در اوکراین از کار افتاد. چندین وزارتخانه اوکراین، بانک‌ها و سیستم‌های متروی این کشور نیز تحت تأثیر قرار گرفتند. گفته می‌شود این حمله مخرب‌ترین حمله سایبری تاریخ بوده است.

از جمله سازمان‌ها و شرکت‌هایی که در نقاط دیگر تحت تأثیر قرار گرفتند می‌توان به شرکت تبلیغاتی بریتانیاییدبلیوپی‌پی، خطوط مرسک، شرکت داروسازی آمریکایی مرک اند کو (که در سطح بین‌المللی با نام MSD فعالیت می‌کند)، شرکت نفتی روسی روس‌نفت (تولید نفت این شرکت تحت تأثیر قرار نگرفت)، شرکت حقوقی چندملیتی دی‌ال‌ای پایپر، شرکت ساختمانی فرانسوی سن-گوبن و خرده‌فروشی‌ها و زیرمجموعه‌های آن در استونی، شرکت کالای مصرفی بریتانیایی رکیت بنکیزر، شرکت مراقبت شخصی آلمانی بایرسدورف، شرکت لجستیکی آلمانی دی‌اچ‌ال، شرکت غذایی آمریکایی موندلیز و اپراتور بیمارستانی آمریکایی سیستم بهداشت هریتیج ولی اشاره کرد. کارخانه شکلات کدبری در هوبارتِ تاسمانی، نخستین شرکت در استرالیا بود که تحت تأثیر پتیا قرار گرفت. در تاریخ ۲۸ ژوئن ۲۰۱۷، در بندر جواهر لعل نهرو که بزرگ‌ترین بندر کانتینری هند است، گزارشی داده شد که این بندر تحت تأثیر قرار گرفته و تمام عملیات آن متوقف شده است. بیمارستان پرینستون در منطقه روستایی ویرجینیای غربی، برای بازیابی از این حمله، کل شبکه رایانه‌ای خود را کنار گذاشت و با سامانه‌ای جدید جایگزین کرد.

اختلال کسب‌وکار برای شرکت مرسک، بزرگ‌ترین اپراتور کشتی کانتینری و کشتی‌های پشتیبان در جهان، بین ۲۰۰ تا ۳۰۰ میلیون دلار درآمد از دست‌رفته برآورد شده است.. طبق گزارش سالانه ۲۰۱۹ شرکت فدکس، تأثیر این حمله برای فدکس در سال ۲۰۱۸ حدود ۴۰۰ میلیون دلار برآورد شده است.

ینس استولتنبرگ، دبیرکل ناتو، از اعضای این پیمان خواست که دفاع سایبری خود را تقویت کنند و اعلام کرد که یک حمله سایبری می‌تواند موجب فعال شدن اصل Article ۵ در دفاع جمعی شود.

شرکت بیمه گروه بیمه آمریکایی زوریخ که بیمه‌گر ماندلیز اینترنشنال است، از پرداخت خسارت ناشی از پاکسازی آلودگیِ نات‌پتیا خودداری کرد، به این دلیل که این حادثه را «عمل جنگی» خواند که در بیمه‌نامه پوشش داده نشده است. در سال ۲۰۱۸ ماندلیز برای دریافت ۱۰۰ میلیون دلار خسارت، از آمریکایی زوریخ  شکایت کرد. این پرونده در سال ۲۰۲۲ با شرایطی که محرمانه باقی ماند، حل‌وفصل شد.

 عکس‌العمل  
یوروپل اعلام کرد که از گزارش‌های مربوط به یک حمله سایبری در کشورهای عضو اتحادیه اروپا آگاه است و به‌سرعت در حال رسیدگی به آن‌ها است. وزارت امنیت میهن ایالات متحده آمریکا در این موضوع درگیر بود و با شرکا و نهادهای بین‌المللی و محلی خود هماهنگی می‌کرد.  در نامه‌ای به آژانس امنیت ملی آمریکا، نماینده دموکرات تد لیو از این آژانس خواست تا همکاری فعال‌تری با شرکت‌های فناوری داشته باشد و آسیب‌پذیری‌های نرم‌افزاری را به آن‌ها اطلاع دهد و به آن‌ها کمک کند حملات آینده که بر پایه بدافزارهای ساخته‌شده توسط این آژانس هستند را متوقف کنند..

در ۱۵ فوریه ۲۰۱۸، دولت ترامپ روسیه را به‌دلیل این حمله مقصر دانست و هشدار داد که «پیامدهای بین‌المللی» در پی خواهد داشت. دولت بریتانیا و دولت استرالیا نیز بیانیه‌های مشابهی صادر کردند.

در اکتبر ۲۰۲۰، وزارت دادگستری ایالات متحده آمریکا (DOJ) در یک کیفرخواست، افسران دیگری از سازمان اطلاعات نظامی روسیه (GRU) را نام برد.

هم‌زمان، دولت بریتانیا گروه سندوورم متعلق به GRU را نیز بابت حملاتی به بازی‌های المپیک تابستانی ۲۰۲۰ مقصر دانست.

 دیگر بدافزارهای سطح پایین مشهور 

 استاکس‌نت (2010)
 واناکرای (2017)

 جستارهای وابسته 



 بلک‌انرژی
 کنترل‌کننده دامنه (ویندوز)
 اترنال بلو
 میمی‌کتز
 کرم شنی (گروه هکری)
 بلوک پیام سرور

 یادداشت‌ها 

 منابع 

رده:اوکراین در ۲۰۱۷ (میلادی)
رده:باج‌افزار
رده:جرم‌های سایبری
رده:جرم‌های ژوئن ۲۰۱۷
رده:حمله‌های سایبری
رده:علوم رایانه در ۲۰۱۷ (میلادی)
رده:هک کردن در دهه ۲۰۱۰ (میلادی)