Mi történt?
Tegnap óriási pánikot okozott egy új zsarolóvírus, amely a korábban ismertté vált Petya alapjaira épül, de sokkal kifinomultabb nála, sőt, a nemrégiben hódító útjára indult Wanna Cry is csak „kiscserkész” hozzá képest. A támadássorozat az aktuális információk szerint Ukrajnából indult, ahol bankokat, közintézményeket és kórházakat vett célba a zsarolóvírus, de az Antonov repülőgépgyár számítógépeit, valamint egyes kormányzati rendszereket és a csernobili sugárzásmérő rendszert is sikerült megfertőznie. Ez persze csak a jéghegy csúcsa, hiszen a felsoroltak mellett a legnagyobb orosz olajvállalatot, a Rosznyeftet is támadás érte, ezzel együtt pedig nagy külföldi vállalatok, mint például a TESA, a MARS (Royal Canine), a TNT, a Nivea, a Maersk és még sok egyéb cég is kellemetlen perceket élt át az új zsarolóvírus miatt.
Hogyan fertőz?
A Petya módosított változata a korábbi kiadás boot loaderét használja, egyéb komponensek terén azonban megújult, sokkal kifinomultabb lett. Terjedése eltér a Wanna Cry-étól, ugyanis nem interneten keresztül, hanem helyi hálózaton belül fertőz, az adott hálózatba pedig biztonsági réseken keresztül, vagy e-mail csatolmányaként kerülhet be, de alkalmazás-frissítés részeként is érkezhet.
Egyelőre néhány bizonyíték alapján úgy tűnik, hogy a zsarolóvírust egy ukrán könyvelőszoftver, a MeDoc megfertőzésével sikerült több millió számítógépre eljuttatni, amelyekre alkalmazás-frissítés formájában került fel. Ha az adott rendszerre felkerül, a helyi hálózaton úgy tud terjedni, mint a WannaCry: a már ismert és javított EternalBlue SMBv1 exploiton keresztül. Az új Petya zsarolóvírus persze nem csak ezt a biztonsági rést használja a terjedésre, hanem újításként a Windows Management Instrumentation Commandline (WMIC) és a PSExec segítségét is. A zsarolóvírus jelszavak és belépési kódok után kutat a helyi számítógépen, majd ha sikerrel jár, a PSExec segítségével – amivel különböző távoli feladatok végezhetőek a távoli rendszereken – további rendszereket is megfertőz, amennyiben adminisztrátori jogokkal hozzáfér a helyi hálózat számítógépeihez. Az ESET biztonságtechnikai kutatói szerint elég, ha az adott hálózatban csak egyetlen olyan PC van, ami nem tartalmazza a frissítést a korábbi biztonsági résre, utána már a frissítéssel rendelkező rendszereket is meg tudja fertőzni a zsarolóvírus.
Mit okoz?
A mutáns Petya zsarolóvírus az adott rendszerre kerülve azonnal nekilát a jelszavak és a belépési adatok keresésének, majd a helyi hálózatot szkennelve az összes lehetséges konfigurációt megfertőzi – ez viszonylag gyorsan történik. Miután az adott rendszert megfertőzte, új célpontok után néz, de a helyi hálózaton belül marad. A fertőzött rendszereknél időzített újraindítást állít be, amire a fertőzéstől számított egy óra múlva kerül sor. Újraindítás közben lezárja az MFT/MBR szektort, ezzel a rendszer indításképtelenné válik, az adatok pedig hozzáférhetetlenek lesznek, hála a titkosításnak – és erre az sem megoldás, ha az adattárolót másik gépbe helyezzük.
A kijelzőn egy figyelmeztetés jelenik meg, amelyben 300 dolláros váltságdíjat kér a zsarolóvírus gazdája, és a fizetéshez szükséges lépéseket is leírja. A figyelmeztetésben megadott e-mail cím már nem aktív, azt ugyanis a szolgáltató hamar blokkolta, így jelenleg nincs értelme váltságdíjat fizetni, hisz a feloldó kulcsot úgysem kapjuk meg. Biztonsági mentésből lehet csak helyreállítani a rendszert, az adatok pedig elvesznek. Legalábbis ma, június 28-án még ez a tényállás, de a kutatók most is folyamatosan vizsgálják a zsarolóvírust, így a helyzet változhat.
Intő jel, amely láttán azonnal érdemes kikapcsolni a PC-t
Egyes források szerint a zsarolóvírus által újraindított számítógépeken egy lemezellenőrzőhöz (CHKDSK) hasonló folyamat indul el, ami látszólag a C meghajtó javítását végzi, valójában azonban magáról az adattitkosító folyamatról van szó. Ha a fenti képet látjuk, érdemes azonnal kikapcsolni a rendszert, így ugyanis a teljes titkosítás elkerülhető.
Megoldás az aktiválódás ellen?
Egyes weboldalakon a további terjedést megállító leírás is olvasható, ami a Windows könyvtáron belül egy perfc nevű fájl létrehozását ajánlja, ugyanis ennek a fájlnak a meglétét ellenőrzi a titkosítás megkezdése előtt a mutáns Petya zsarolóvírus. A trükk működőképességét több kutató is megerősítette.
Ki a felelős?
Nos, ezt így konkrétan még nem lehet tudni, de egyre valószínűbb, hogy egy profi alvilági kiberbűnöző csapat hozta létre a Petya alapjaira épülő, jelenleg több néven is emlegetett zsarolóvírust. A mutáns Petya, NotPetya, Petna és sok egyéb néven futó zsarolóvírus alapját a tavalyi Petya kódjának egy része adja, amihez számos kiegészítést írtak. Ez a zsarolóvírus nem tartalmaz ordító hibákat, mint a Wanna Cry, valamint úgynevezett „kill switch” sincs benne, így távoli leállítására sincs lehetőség.
A Wanna Cry terjedését egyébként ez a „kill switch” állította meg, amit egy brit biztonságtechnikai kutató fedezett fel és aktivált. Aggasztó viszont, hogy a jelek szerint alvilági kiberbűnöző-hálózat lehet a dolog mögött, akik egy újfajta terjesztési módot találtak: jutalékot adnak mindazoknak, akik terjesztik a zsarolóvírust. Az együttműködő feleket a DarkWeben keresik, a jutalék pedig az áldozatok által befizetett váltságdíj 85%-a – 15% a készítőket illeti.
