Dal bancomat a Chernobyl, l'ultima campagna di ransomware che utilizza una variante del noto Petya sta spazzando via tutto ciò che non è inchiodato al suolo. Decine di ricercatori in tutto il mondo hanno iniziato a studiarne il funzionamento e, anche se non hanno scoperto un interruttore come è successo con WannaCry, esiste una piccola risorsa che ne impedisce l'installazione. In sostanza, Petya verifica la presenza di un file specifico per determinare se il computer è già stato infettato. Riproducendo quel file, otteniamo un vaccino temporaneo.
Un dettaglio che abbiamo menzionato in questo nostro ultimo articolo è che la campagna di Petya (o anche «NotPetya», a seconda della fonte) sembra più orientata a causare danni che a ottenere denaro. Attaccando l'MBR e l'MFT del disco rigido invece di cifrare file individuali, le probabilità di ripristinare i dati sono molto più basse, e i suoi sviluppatori forse non hanno mai pensato di consentirlo. Se consideriamo la delicata situazione tra Ucraina (dove sarebbe nato l'attacco) e Russia, l'idea di un attacco informatico nascosto dietro una campagna di ransomware non è così assurda. Per quanto duro possa essere l'impatto iniziale, c'è qualcosa che non cambia: gli esperti hanno bisogno solo di poche ore per creare una barriera di difesa di base. Questo è stato molto più efficace in WannaCry perché, una volta scoperto il suo interruttore, il ransomware ha smesso di funzionare, ma nel caso di Petya-NotPetya quello che hanno trovato è un vaccino.
Secondo il ricercatore Amit Serper, il ransomware verifica la presenza di un file nella cartella di Windows prima di avviare l'infezione: perfc.dll. D'altra parte, Dave Kennedy di TrustedSec ha indicato che il file in questione è perfc.dat. Al di là di queste differenze, il codice esegue semplicemente un controllo su «perfc.*», cioè qualsiasi file perfc, con o senza estensione, soddisfa questa condizione. Non sappiamo ancora il motivo per cui il ransomware effettua questa ricerca. Probabilmente si tratta di un residuo del Petya originale per evitare che infetti due volte lo stesso computer, oppure i responsabili della nuova campagna l'hanno inserito con l'obiettivo di proteggere la propria infrastruttura. In un modo o nell'altro, possiamo usarlo.
Come creare il file perfc
Esistono diversi metodi per creare il file perfc, ma il più popolare finora è usare copie del Blocco Note e cambiarne il nome. Qui su NeoTeo lo faremo alla vecchia maniera: Con la console di sistema. Il primo passo è aprire cmd.exe con privilegi di amministratore (fai clic con il tasto destro per vedere l'opzione). Poi inseriamo cd.. per scendere alla directory di Windows e, una volta lì, digitiamo «copy notepad.exe perfc», senza virgolette. Il resto si riduce ad aprire Esplora file, andare alla cartella Windows, individuare il file perfc appena creato, entrare nelle sue proprietà (sempre con clic destro) e attivare l'attributo di sola lettura (Windows chiederà un permesso aggiuntivo in questo passaggio). Chi vuole può ripetere il processo con perfc.dat e perfc.dll. Gli ultimi dati dicono che non è strettamente necessario, ma alla fine si tratta di qualcosa di temporaneo. Tutto ciò che devono fare coloro che hanno accesso al codice di Petya è eliminare o modificare questa funzione, e ricominciare il ciclo...
