Petya ransomware επίθεση: πώς και ποιος είναι μολυσμένος? πώς να το σταματήσετε

Μια νέα επίθεση ransomware που χρησιμοποιεί μια τροποποιημένη έκδοση του ευπάθειας EternalBlue που εκμεταλλεύτηκε στις επιθέσεις WannaCry προέκυψε την Τρίτη και έχει ήδη πλήξει περισσότερους από 2000 υπολογιστές παγκοσμίως στην Ισπανία, τη Γαλλία, την Ουκρανία, τη Ρωσία και άλλες χώρες.

Η επίθεση επικεντρώθηκε κατά κύριο λόγο στις επιχειρήσεις στις χώρες αυτές, ενώ επίσης επλήγη ένα νοσοκομείο στο Pittsburg, ΗΠΑ. Στα θύματα της επίθεσης συγκαταλέγονται η Κεντρική Τράπεζα, οι Σιδηρόδρομοι, η Ukrtelecom (Ουκρανία), η Rosnett (Ρωσία), η WPP (Ηνωμένο Βασίλειο) και η DLA Piper (ΗΠΑ).

Ενώ ο μεγαλύτερος αριθμός μολύνσεων βρέθηκε στην Ουκρανία, ο δεύτερος υψηλότερος στη Ρωσία, ακολουθούμενος από την Πολωνία, την Ιταλία και τη Γερμανία. Ο λογαριασμός bitcoin που δέχτηκε πληρωμές είχε ολοκληρώσει περισσότερες από 24 συναλλαγές πριν κλείσει.

Επίσης, διαβάστε: Οι χάκερ Petya Ransomware χάνουν την πρόσβαση στους λογαριασμούς ηλεκτρονικού ταχυδρομείου. Τα θύματα αμαυρώθηκαν.

Αν και η επίθεση δεν στοχεύει στις επιχειρήσεις στην Ινδία, στόχευσε τον ναυτιλιακό γίγαντα AP Moller-Maersk και το λιμάνι Jawaharlal Nehru κινδυνεύει καθώς η εταιρεία εκμεταλλεύεται τους τερματικούς σταθμούς Gateway στο λιμάνι.

Πώς διαδίδεται το Petya Ransomware;

Το ransomware χρησιμοποιεί μια παρόμοια εκμετάλλευση που χρησιμοποιήθηκε στις επιθέσεις ransomware μεγάλης κλίμακας WannaCry νωρίτερα αυτό το μήνα, οι οποίες στοχεύουν σε μηχανές που λειτουργούν σε ξεπερασμένες εκδόσεις των Windows, με μικρή τροποποίηση.

Η ευπάθεια μπορεί να αξιοποιηθεί μέσω απομακρυσμένης εκτέλεσης κώδικα σε υπολογιστές που εκτελούν Windows XP σε συστήματα Windows 2008.

Το ransomware μολύνει τον υπολογιστή και τον επανεκκινεί χρησιμοποιώντας εργαλεία συστήματος. Κατά την επανεκκίνηση, κρυπτογραφεί τον πίνακα MFT σε κατατμήσεις NTFS και αντικαθιστά το MBR με προσαρμοσμένο φορτωτή που εμφανίζει τη σημείωση λύτρα.

Σύμφωνα με την Kaspersky Labs, "Για να καταγράψετε τα διαπιστευτήρια για τη διάδοση, το ransomware χρησιμοποιεί προσαρμοσμένα εργαλεία, ένα la Mimikatz. Αυτά τα πιστοποιητικά εξαγωγής από τη διαδικασία lsass.exe. Μετά την εξαγωγή, τα διαπιστευτήρια μεταβιβάζονται σε εργαλεία PsExec ή WMIC για διανομή μέσα σε ένα δίκτυο."

Τι συμβαίνει μετά την προσβολή ενός υπολογιστή;

Αφού η Petya μολύνει έναν υπολογιστή, ο χρήστης χάνει πρόσβαση στο μηχάνημα, το οποίο εμφανίζει μια μαύρη οθόνη με κόκκινο κείμενο που έχει ως εξής:

"Αν δείτε αυτό το κείμενο, τότε τα αρχεία σας δεν είναι πλέον προσβάσιμα επειδή έχουν κρυπτογραφηθεί. Ίσως είστε απασχολημένοι ψάχνοντας έναν τρόπο να ανακτήσετε τα αρχεία σας, αλλά μην χάσετε το χρόνο μας. Κανείς δεν μπορεί να ανακτήσει τα αρχεία σας χωρίς την υπηρεσία αποκρυπτογράφησης."

Και υπάρχουν οδηγίες σχετικά με την πληρωμή $ 300 σε Bitcoins και έναν τρόπο εισαγωγής του κλειδιού αποκρυπτογράφησης και ανάκτησης των αρχείων.

Πώς να μείνετε ασφαλείς;

Επί του παρόντος, δεν υπάρχει συγκεκριμένος τρόπος για την αποκρυπτογράφηση των αρχείων που κρατούνται όμηροι από το Petya ransomware, καθώς χρησιμοποιεί ένα στερεό κλειδί κρυπτογράφησης.

Ωστόσο, ο ιστότοπος ασφαλείας Bleeping Computer πιστεύει ότι η δημιουργία ενός αρχείου με όνομα "perfc" και η τοποθέτησή του στο φάκελο των Windows στη μονάδα δίσκου C μπορεί να βοηθήσει να σταματήσει η επίθεση.

Είναι επίσης σημαντικό οι άνθρωποι που δεν έχουν ακόμα να κατεβάσουν και να εγκαταστήσουν άμεσα την ενημερωμένη έκδοση κώδικα της Microsoft για παλαιότερα λειτουργικά συστήματα Windows που τερματίζουν την ευπάθεια που εκμεταλλεύεται η EternalBlue. Αυτό θα βοηθήσει στην προστασία τους από μια επίθεση από ένα παρόμοιο στέλεχος κακόβουλου λογισμικού, όπως η Petya.

Εάν το μηχάνημα επανεκκινηθεί και δείτε αυτό το μήνυμα, απενεργοποιήστε αμέσως! Αυτή είναι η διαδικασία κρυπτογράφησης. Εάν δεν ενεργοποιείτε, τα αρχεία είναι καλά. pic.twitter.com/IqwzWdlrX6

- Hacker Fantastic (@hackerfantastic) 27 Ιουνίου 2017

Ενώ ο αριθμός και το μέγεθος των επιθέσεων ransomware αυξάνεται με κάθε μέρα που περνάει, προτείνεται ότι ο κίνδυνος νέων μολύνσεων μειώνεται σημαντικά μετά τις πρώτες ώρες της επίθεσης.

Επίσης, διαβάστε: Ransomware επιθέσεις στην άνοδο: Εδώ είναι πώς να μείνετε ασφαλείς.

Και στην περίπτωση της Petya, οι αναλυτές προβλέπουν ότι ο κώδικας δείχνει ότι δεν θα εξαπλωθεί πέρα ​​από το δίκτυο. Κανείς δεν κατάφερε να καταλάβει ποιος είναι υπεύθυνος για την επίθεση αυτή ακόμα.

Οι ερευνητές της ασφάλειας εξακολουθούν να μην βρήκαν τρόπο να αποκρυπτογραφήσουν τα συστήματα που έχουν μολυνθεί από τα ραντεβού Petya και δεδομένου ότι ακόμη και οι χάκερ δεν μπορούν να επικοινωνήσουν τώρα, όλοι οι πληγέντες θα παραμείνουν έτσι προς το παρόν.