Petya (вредоносное ПО)

Искусство ASCII черепа и скрещенных костей отображается как часть полезной нагрузки в оригинальной версии Petya.

### Операционная(ые) система(ы) затронута(ы)

Windows

Petya - это семейство шифровальных выкупов, которые были впервые обнаружены в 2016 году. Вредоносная программа нацелена на системы Microsoft Windows, заражая главную загрузочную запись, чтобы выполнить полезную нагрузку, которая шифрует таблицу файловой системы жесткого диска и предотвращает загрузку Windows. Впоследствии он требует, чтобы пользователь произвел платеж в биткойне, чтобы восстановить доступ к системе.

Варианты Петя впервые появились в марте 2016 года, которые распространялись через зараженные вложения электронной почты. В июне 2017 года новый вариант «Петя» использовался для глобальной кибератаки, в первую очередь для Украины. Новый вариант распространяется с помощью эксплойта EternalBlue, который, как считается, был разработан Агентством национальной безопасности США (NSA) и использовался ранее в этом году при помощи WannaCry ransomware. «Лаборатория Касперского» упомянула эту новую версию как NotPetya, чтобы устранить ее из вариантов 2016 из-за этих различий в работе. Кроме того, хотя он и претендует на получение выкупа, этот вариант был изменен так, что он не может фактически отменить свои собственные изменения.

## История

Петя был обнаружен в марте 2016 года; Check Point отметила, что, хотя в начале 2016 года она достигла меньшего количества инфекций, чем в других вымогателях, таких как CryptoWall, в ней были заметные различия в работе, которые заставляли ее «сразу же помечать как следующий шаг в эволюции вымогательства». Другой вариант «Петя», открытый в мае 2016 года, содержал дополнительную полезную нагрузку, используемую, если вредоносное ПО не может получить доступ на уровне администратора.

Имя Петя - это отсылка на фильм 1995 года «Джеймс Бонд» «Золотая Европа», в котором Петя является одним из двух спутников оружия, в котором находится «Голденей» - атомная бомба, взорванная на низкой околоземной орбите, для создания электромагнитного импульса. Учетная запись Twitter, предложенная Хейсом, могла принадлежать автору вредоносного ПО, названному «Janus Cybercrime Solutions» после преступной группы Alec Trevelyan в GoldenEye, имела аватар с изображением персонажа GoldenEye Бориса Грищенко, российского хакера и антагониста в фильме сыграл шотландский актер Алан Камминг.

## Кибер-атака 2017 года

27 июня 2017 года началась крупная глобальная кибератака (украинские компании были в числе первых заявили, что их атакуют), используя новый вариант «Петя». В тот день «Лаборатория Касперского» сообщила об инфекциях во Франции, Германии, Италии, Польше, Соединенном Королевстве и Соединенных Штатах, но большинство заражений предназначалось для России и Украины, где изначально нападали более 80 компаний, в том числе Национальный банк Украины. ESET оценил 28 июня 2017 года, что 80% всех инфекций были в Украине, а в Германии наиболее сильно пострадали около 9%. Пресс-секретарь президента России Владимира Путина Дмитрий Песков заявил, что нападение не нанесло серьезного ущерба в России. Эксперты полагали, что это политически мотивированное нападение на Украину, поскольку оно произошло накануне дня Конституции Украины.

«Касперский» назвал этот вариант «NotPetya», так как он имеет серьезные отличия в своих операциях по сравнению с более ранними вариантами. Инженер McAfee Кристиан Бик заявил, что этот вариант был разработан для быстрого распространения и нацеливался на «полные энергетические компании, энергосистему, автовокзалы, автозаправочные станции, аэропорт и банки».

Считалось, что механизм обновления программного обеспечения MEDoc (uk) - украинской программы налоговой подготовки, которая, согласно аналитику F-Secure Микко Хайппонену, «по-видимому, де-факто» среди компаний, ведущих бизнес в стране, была скомпрометирована для распространения вредоносного ПО. Анализ, проведенный ESET, обнаружил, что бэкдор присутствовал в системе обновления не менее шести недель до атаки, описывая его как «тщательно спланированную и хорошо выполненную операцию». Разработчики M.E.Doc отрицали, что они несут полную ответственность за кибератаку, заявив, что они тоже были жертвами.

4 июля 2017 года подразделение киберпреступности Украины захватило серверы компании после обнаружения «новой активности», которая, по ее мнению, приведет к «неконтролируемому распространению» вредоносного ПО. Полиция Украины посоветовала пользователям M.E.Doc прекратить использование программного обеспечения, поскольку оно предположило, что бэкдор все еще присутствует. Анализ захваченных серверов показал, что обновления программного обеспечения не применялись с 2013 года, были свидетельства присутствия России, а учетная запись сотрудника на серверах была скомпрометирована; глава подразделения предупредил, что M.E.Doc может быть привлечен к уголовной ответственности за включение атаки из-за своей небрежности в обеспечении безопасности своих серверов.

## Операция

Петя использует полезную нагрузку, которая заражает главную загрузочную запись компьютера (MBR), перезаписывает загрузчик Windows, а затем запускает перезапуск. При следующем запуске выполняется полезная нагрузка, которая шифрует таблицу основных файлов файловой системы NTFS, а затем отображает сообщение выкупа, требующее оплаты, сделанного в биткойне. Во время этого процесса текст, предположительно выводимый chkdsk, сканером файловой системы Windows, отображается на экране, предполагая, что сектора жесткого диска ремонтируются. Первоначальная полезная нагрузка требовала от пользователя предоставления ему административных привилегий; один вариант Петя был связан с альтернативной полезной нагрузкой, известной как "Миша", которая используется, если Петя не может установить. "Миша" - это более обычная полезная нагрузка ransomware, которая шифрует пользовательские документы, а также исполняемые файлы и не требует административных прав для выполнения. Ранние версии Petya замаскировали свою полезную нагрузку в виде файла PDF, прикрепленного к электронному письму. Группа США по компьютерному реагированию на чрезвычайные ситуации (US-CERT) и Национальный центр интеграции кибербезопасности и коммуникаций (NCCIC) опубликовали 30 мая 2017 года Отчет о начальных результатах вредоносных программ (MIFR) о Петя.

В варианте «NotPetya», используемом в атаке 2017 года, используется EternalBlue, эксплойт, который использует уязвимость в протоколе Windows Server Message Block (SMB). Как правило, EternalBlue разрабатывается Агентством национальной безопасности США (NSA); он был просочился в апреле 2017 года и также использовался WannaCry. Вредоносная программа использует несколько методов для распространения на другие компьютеры в одной сети, включая сбор паролей и использование этих паролей совместно с PSExec для запуска кода на других локальных компьютерах. Кроме того, несмотря на то, что он все еще претендует на получение выкупа, процедура шифрования была изменена таким образом, что вредоносное ПО не может технически вернуться к его изменениям. Эта характеристика наряду с другими необычными признаками по сравнению с WannaCry (включая относительно невысокую плату за разблокировку в размере 300 долларов США и использование одного фиксированного кода Биткойна для сбора выплат выкупа, а не генерирования уникального идентификатора для каждой конкретной инфекции для целей отслеживания) побудило исследователей предположить, что эта атака не была предназначена для получения прибыли, но быстро наносила ущерб устройствам, а также отвлекала внимание WannaCry от средств массовой информации, требуя получить выкуп.

## Смягчение

Было обнаружено, что можно остановить процесс шифрования, если зараженный компьютер немедленно отключится, когда появится фиктивный экран chkdsk, и аналитик по безопасности предположил, что создание файлов только для чтения с именем perf.c или или perfc.dat в каталоге установки Windows может помешать выполнению рабочей нагрузки текущего напряжения. Адрес электронной почты, указанный на экране выкупа, был приостановлен его провайдером Posteo за нарушение его условий использования. В результате, зараженные пользователи не смогли отправить подтверждение платежа для исполнителя.

Microsoft уже выпустила исправления для поддерживаемых версий Windows в марте 2017 года для устранения уязвимости EternalBlue. За ними последовали плакаты для неподдерживаемых версий Windows (например, Windows XP) в мае 2017 года, прямо вслед за WannaCry. Уайред считал, что «в зависимости от степени ущерба, нанесенного Петя до сих пор, похоже, что многие компании отложили исправление, несмотря на явную и потенциально разрушительную угрозу подобного распространения репатриантов». Некоторые предприятия могут считать это слишком разрушительным для установки обновлений на определенных системах либо из-за возможных простоев, либо проблем с совместимостью, что может быть проблематичным в некоторых средах.

## Влияние

Во время атаки, начатой ​​27 июня 2017 года, система радиационного контроля на Чернобыльской атомной электростанции Украины была отключена. Также пострадали несколько украинских министерств, банков и систем метро.

Среди затронутых в других странах британская рекламная компания WPP, Maersk Line, американская фармацевтическая компания Merck & Co., российская нефтяная компания «Роснефть» (ее добыча нефти не пострадала), многонациональная юридическая фирма DLA Piper, французская строительная компания Saint-Gobain и ее розничная и дочерняя компания в Эстонии, британская компания потребительских товаров Reckitt Benckiser, немецкая компания по личной гигиене Beiersdorf, немецкая логистическая компания DHL, пищевая компания Соединенных Штатов Mondelez и американский больничный оператор Heritage Valley Health System. Шоколадная фабрика Cadbury в Хобарте, Тасмания, является первой компанией в Австралии, на которую влияет Petya. 28 июня 2017 года, как сообщается, был затронут JNPT, крупнейший контейнерный порт Индии, при этом все операции остановились. Принстонская общественная больница в сельской части Западной Вирджинии будет ломать и заменять всю свою компьютерную сеть на своем пути к выздоровлению.

Йенс Столтенберг, Генеральный секретарь НАТО, призвал альянс к укреплению своей киберзащиты, заявив, что кибератака может спровоцировать принцип коллективной обороны по статье 5.

## Реакция

Европол сказал, что это известно и срочно отвечает на сообщения о кибератаке в государствах-членах Европейского Союза. В Соединенных Штатах Департамент внутренней безопасности участвует и координирует свои международные и местные партнеры. В письме к NSA Демократический конгрессмен Тед Лиу просит агентство более активно сотрудничать с технологическими компаниями, чтобы уведомить их об уязвимостях программного обеспечения и помочь им предотвратить будущие атаки на основе вредоносного ПО, созданного NSA.