To była tylko kwestia czasu – mówiliśmy to wielokrotnie. WannaCry to był dopiero początek. Potrzebny był jedynie złośliwy element o odpowiednich umiejętnościach i większym budżecie, aby ponownie wykorzystać exploity w znacznie bardziej agresywnej kampanii. Ta kampania już jest wśród nas.
Wiele źródeł wskazuje, że atak rozpoczął się na Ukrainie i mimo skupienia na infekowaniu sieci lokalnych, szybko się rozprzestrzenił. Uderzył w firmy farmaceutyczne, firmy transportowe, kancelarie prawne, banki, producentów żywności, a nawet w systemy monitoringu w Czarnobylu.
Co wiemy o ataku?
Media specjalistyczne wciąż przetwarzają informacje, a my spodziewamy się wielu aktualizacji w nadchodzących godzinach, ale mamy już solidne podstawy, aby wiedzieć, co się stało. Nowa globalna kampania ransomware zakłóciła działalność ponad 80 firm. Wśród wymienianych nazw znalazły się m.in. koncern farmaceutyczny Merck, Mondelez International (Cadbury, Toblerone, Milka, Oreo), gigant żeglugowy Maersk oraz kilku operatorów w Rosji i na Ukrainie, w tym koncern naftowy Rosnieft', huta Evraz, państwowy dystrybutor energii Ukrenergo i międzynarodowe lotnisko Boryspol.
Nie zostało to jeszcze w pełni potwierdzone, ale wstępne analizy kryminalistyczne sugerują, że to wariant ransomware Petya. Podobnie jak WannaCry, ten build Petya (znany również jako PetyaWrap, GoldenEye i Nyetya) wykorzystuje exploit EternalBlue, jednak według Kaspersky stosuje też drugi exploit przeciekający z NSA, EternalRomance.
Nie udało się jeszcze ustalić głównej metody propagacji, ale dostępne dowody wskazują na ukraiński program księgowy MeDoc, którego system aktualizacji został zhakowany. Kaspersky i grupa Talos z Cisco nie doszli do tego wniosku, ale w oficjalnym wpisie badacza MalwareTech (tego samego, który odkrył wyłącznik WannaCry) można znaleźć wiele odniesień.
Sprawcy żądają zapłaty 300 dolarów w bitcoinach, a po jej dokonaniu ofiary muszą wysłać „klucz instalacyjny” na adres e-mail. Ten e-mail korzysta z domeny niemieckiego dostawcy Posteo, który już potwierdził jego zablokowanie. Oznacza to, że dotknięci użytkownicy nie mają żadnego sposobu na otrzymanie klucza deszyfrującego i przywrócenie swoich plików. Dlatego powtarzamy zawsze tę samą rekomendację: nie płacić.
Chociaż istnieje wiele powodów, aby porównywać tę kampanię z WannaCry, różnice techniczne są znaczne. WannaCry skupiło swoją siłę na niewielkiej liczbie terminali i szybko wymknęło się spod kontroli, podczas gdy ta odmiana Petya zaatakowała dużą liczbę komputerów, a następnie przeszła do infekowania sieci wewnętrznych (potrzebuje tylko jednego podatnego terminala). Ma także możliwość kradzieży lokalnych poświadczeń za pomocą Mimikatz i pogłębiania swojej obecności przy użyciu PSExec, oficjalnego narzędzia Microsoft. Po zakończeniu infekcji ransomware może czekać od 10 do 60 minut na ponowne uruchomienie komputera. Większość źródeł zgadza się, że ta kampania jest znacznie bardziej wyrafinowana. Nie ma żadnego magicznego wyłącznika , który by ją dezaktywował, i wydaje się bardziej skoncentrowana na wyrządzaniu szkód (uzyskała tylko 6 000 dolarów). Widziano obrazy ransomware na bankomatach, ale najbardziej niepokojący raport przygotowała CNN, informując, że system automatycznego monitorowania promieniowania w elektrowni jądrowej w Czarnobylu został zaatakowany. Władze będą prowadzić monitoring ręcznie do odwołania.
Na razie jedynym sposobem uniknięcia ransomware jest przerwanie procesu szyfrowania. Jeśli komputer uruchomi się ponownie spontanicznie i wyświetli komunikat informujący o naprawie systemu plików (bardzo podobny do klasycznego CHKDSK), należy go natychmiast wyłączyć. Będziemy informować dalej.
Źródło: Ars Technica
