Защифрованные Petya файлы утрачены, их расшифровка невозможна

Защифрованные Petya файлы утрачены, их расшифровка невозможна

Защифрованные Petya файлы утрачены, их расшифровка невозможна

Жертвы последней крупной кибератаки, которая была проведена с помощью вируса-вымогателя Petya не смогут вернуть свои файлы. Об этом говорится в записи на официальном сайте «Лаборатории Касперского».

Эксперты лаборатории, проведя анализ той части вируса Petya, которая связана с шифрованием файлов, выяснили, что после заражения и шифрования жесткого диска «у создателей вируса уже нет возможности расшифровать его обратно».

​Для расшифровки необходим уникальный идентификатор конкретной установки трояна, который не предусмотрен в этой версии вируса Petya. В других версиях шифровальщиков идентификатор содержал нужную для расшифровки информацию, пишет rbc.ru.

«Это означает, что создатели зловреда не могут получать информацию, которая требуется для расшифровки файлов. Иными словами, жертвы вымогателя не имеют возможности вернуть свои данные», — говорится в сообщении.

В «Лаборатории Касперского» эту версию вируса Petya назвали Expetr (aka NotPetya).

Кибератака вируса, который изначально был идентифицирован как Petya.A, произошла 27 июня. Предполагалось, что вирус блокировал компьютерные системы компаний, требуя за разблокировку данных сумму в биткоинах, эквивалентную $300.

Как стало известно 29 апреля, создатели вируса заработали на нем всего четыре биткоина или около $10 тыс. В «Лаборатории Касперского» опосредованно заявляли, что «служба e-mail, услугами которой пользовались злоумышленники, заблокировала почтовые адреса, на которые должны приходить данные об уплате выкупа».

Наибольшее число жертв от кибератаки в России и на Украине. В Киеве пострадали компьютерная система украинского правительства, аэропорт Борисполь, «Укрпочта», «Укртелеком», Министерство инфраструктуры, ряд банковских структур. В России под атаку попали компьютерные системы «Роснефти» и «Башнефти», а также Банка Хоум Кредит.

Впоследствии появлялись сообщения о распространении вируса в Италии, Израиле, Сербии, Румынии, США, Литве, Венгрии, а также Польше, Аргентине, Чехии, Германии и России.

В «Лаборатории Касперского» ранее заявляли, что вирус относится к новому семейству вредоносного программного обеспечения, не упоминая о возможной потере данных. Тогда в лаборатории говорили, что планируют создать специальный инструмент-дешифратор, с помощью которого можно будет расшифровывать данные.

Стоит сказать, что с самого начала атак некоторые исследователи предполагали, что Petya далеко не так прост, как кажется. В частности многим казалось странным, что операторы шифровальщика предусмотрели всего один биткоин-кошелк для перечисления выкупов, да еще и жестко прописали его в код вредоноса. Не менее странным выглядело и создание единственного почтового адреса на Posteo, потому как его оперативную блокировку можно без труда предвидеть. Словом, новая версия Petya, взявшая на вооружение эксплоиты АНБ ETERNALBLUE и ETERNALROMANCE, мало походит на классическую «машину для генерации денег», каковой обычно и являются вымогатели.

«Несмотря на значительное количество одинакового кода, оригинальный Petya был криминальным предприятием для заработка денег. Эта [новая версия] определенно создана не с целью заработать денег. Она создана, чтобы быстро распространяться и причинять ущерб, и действует под правдоподобным прикрытием, как вымогатель», — пишет известный ИБ-специалист The Grugq.

Теперь теории экспертов начинают подтверждаться. Специалисты «Лаборатории Касперского» и исследователь Comae Technologies Мэтью Сюиш (Matt Suiche) пришли к выводу, что Petya вообще некорректно называть шифровальщиком. Дело в том, что вредонос, по сути, создан для уничтожения информации, — восстановить пострадавшие данные мало реально, и это не ошибка, а замысел авторов малвари. Поэтому Petya скорее следует называть вайпером (wiper), сообщает xakep.ru.

Исследователи «Лаборатории Касперского» объясняют, что каждой зараженной машине Petya присваивает собственный ID, однако данный ID не передается на управляющий сервер (Petya вообще не имеет таковых) и не содержит в себе никакой ценной информации, которая позже помогла бы злоумышленникам «опознать» жертву и предоставить ей ключ для расшифровки файлов.

 

 

Как новая версия Petya генерирует ID, показано на иллюстрациях ниже. Малварь использует для этого функцию CryptGenRandom, то есть генерирует случайную последовательность ничего не значащих символов. Такой ID не несет в себе ровным счетом никакой информации, создается лишь для отвода глаз и точно не поможет расшифровать файлы. Таким образом, платить выкуп бесполезно не только из-за того, что Posteo заблокировал почтовый ящик преступников.

 

 

В своем отчете Мэтью Сюиш сравнивает Petya с другим известным вайпером, Shamoon. Исследователь сообщает, что зашифрованные Petya диски практически невозможно восстановить. Сравнив Petya образца 2016 года с новой версией, эксперт не мог не заметить существенную разницу: новая версия намеренно уничтожает первые 25 секторов на диске. Первый сектор диска шифруется с помощью XORс 0x07, после чего сохраняется в другом секторе и заменяется кастомным загрузчиком. Но все 24 следующие за ним сектора перезаписываются намеренно и нигде не сохраняются.

 

Petya 2017 слева и Petya 2016 справа

Оригинальный Petya тоже производил похожие операции, однако он действительно мог обратить все сделанные изменения, тогда как новый Petya повреждает данные умышленно и гораздо серьезнее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники выдают себя за СТО и крадут деньги клиентов по телефону

В Москве за последние месяцы резко выросло число мошенничеств, связанных с автосервисами. Об этом сообщили в правоохранительных органах и сами пострадавшие. Схема простая, но эффективная.

Злоумышленники каким-то образом получают доступ к базе клиентов СТО, звонят от имени сервиса и убеждают перевести деньги за якобы уже выполненный ремонт.

Как это работает

Как рассказали эксперты «Известиям», человек сдаёт машину в сервис — это и становится отправной точкой. Мошенники узнают об этом, звонят в сам автосервис и представляются клиентом: уточняют, что с машиной, какие работы проводятся, сколько это стоит. А потом звонят уже настоящему владельцу автомобиля и говорят, что всё готово — нужно только срочно оплатить.

Убедительность добавляют точные суммы, совпадающие с ранее озвученными в сервисе, и знание деталей машины. В итоге люди переводят десятки и даже сотни тысяч рублей — на карты незнакомых лиц. И только потом выясняется, что машина всё ещё на ремонте, а никакие оплаты заранее сервис не просит.

Реальные случаи

Один из пострадавших рассказал, как ему позвонили с просьбой срочно забрать машину и оплатить 99 тысяч рублей. Сумма совпадала с названной ранее в сервисе, так что он перевёл деньги. Только вот авто, как оказалось, никто не ремонтировал.

Другие случаи — не менее изобретательные. У кого-то мошенники под видом «курьера от СТО» похитили комплект зимней резины на полмиллиона рублей. Кому-то звонили и под предлогом срочной замены деталей вытягивали деньги за якобы купленные запчасти. Почти в каждом случае пострадавшие успевали перевести деньги до того, как узнавали правду от настоящих сотрудников СТО.

Почему схема работает

Эксперты говорят: тут нет массовых обзвонов, как в случае с "службой безопасности банка". Это прицельная атака — мошенники знают, что человек действительно сдал машину в ремонт, и используют это, чтобы вызвать доверие.

Информацию они получают по-разному: от заражения компьютеров в сервисе до слива данных кем-то из сотрудников. Нередки и случаи, когда базы клиентов продаются в даркнете или закрытых чатах.

Как не стать жертвой

Самый надёжный способ — не переводить деньги по звонку. Если просят оплатить ремонт — сначала перезвоните в сам сервис по известному вам номеру. Все нормальные СТО берут оплату только после завершения работ и при личной встрече.

Если звонок кажется подозрительным — не стоит продолжать разговор. Лучше уточнить информацию напрямую в мастерской.

Если вы всё же попались и перевели деньги, нужно срочно обратиться в банк — может, перевод ещё удастся остановить. И обязательно — в полицию. Параллельно стоит предупредить сам сервис, чтобы они усилили защиту клиентских данных.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru