Российское кибероружие, построенное на утекших у АНБ эксплоитах, маскировалось под вирус-вымогатель, но целью NotPetya было выведение из строя промышленных объектов, а не получение прибыли. Благодаря дыре в бухгалтерском ПО малварь ушла в свободное плавание и нанесла колоссальный ущерб многим крупным компаниям. Одной из жертв стал крупнейший морской грузоперевозчик — Maersk. История о его заражении и устранении последствий не просто полна захватывающих подробностей, но во многом показательна.
 

Петя или не Петя?

Первое упоминание Petya датируется еще 2016 годом, когда эксперты компании G Data сообщили, что обнаружена опасная вымогательская малварь. Petya работал по принципу криптолокера: предотвращал загрузку ОС, шифровал все данные и просил выкуп за расшифровку, уведомляя жертву, что диск компьютера зашифрован «военным алгоритмом шифрования».

В основном Petya атаковал рекрутеров, рассылая письма от якобы откликнувшихся на определенную вакансию людей. В само письмо злоумышленники добавляли ссылку на полное портфолио на Dropbox. Вместо PDF или файла Word, в формате которых соискатели обычно посылают свои резюме и портфолио, по ссылке находился исполняемый файл application_portfolio-packed.exe.

Запуск приводил к падению системы в «синий экран смерти» и последующей перезагрузке. Перед непосредственным ребутом малварь портила MBR жесткого диска и перехватывала управление процессом загрузки.

Требование выкупа
Требование выкупа

После ребута пользователь мог наблюдать имитацию проверки диска (CHKDSK), но, когда она оканчивалась, видел не продолжение загрузки, а сообщение от «Пети». В нем говорилось, что все файлы на жестком диске зашифрованы, любое их восстановление невозможно. В качестве способа вернуть нажитое Petya предлагал пользователю заплатить выкуп в 0,9 биткойна (примерно 380 долларов на 2016 год) в течение семи дней. В противном случае Petya удваивал сумму до 1,8 биткойна.

 

NotPetya — приемный ребенок Petya

В 2017 году Petya снова дал о себе знать — но уже в модифицированной версии. ИБ-специалисты назвали этот шифровальщик NotPetya (или SortaPetya, ExPetr, Petna, Nyetya). Ведь после детального изучения малвари обнаружилось, что от старого Petya в коде осталось совсем немного.

Для первого преодоления периметра вымогатель использует почтовый спам, скрываясь внутри вредоносных документов Microsoft Office и эксплуатируя уязвимость CVE-2017-0199 — обход защитных механизмов Office для исполнения произвольного кода в системе. Этот эксплоит был найден в 2017 году, в апреле программисты Microsoft закрыли уязвимость патчем.

Проникнув в систему, NotPetya использует технику Mimikatz, которая позволяет получить пароли пользователей Windows из оперативной памяти, чтобы затем атаковать другие машины в локальной сети. Это давний и хорошо известный эксплоит, открытый французским исследователем еще в 2011 году.

Следующий инструмент в наборе «Не-Пети» сильно напоминает эксплоит ETERNALBLUE, который был похищен у АНБ и выложен в открытый доступ хакерской группой The Shadow Brokers. «Лаборатория Касперского» отметила, что авторы малвари использовали также ETERNALROMANCE — еще один инструмент, украденный у спецслужб.

ETERNALBLUE позволяет эксплуатировать уязвимость в протоколе SMB: отправка специально сформированных пакетов дает возможность выполнять произвольный код на удаленной машине.

Закрепившись в системе и заразив все соседние компьютеры, NotPetya шифрует MFT (Master File Table) разделов NTFS и перезаписывает Master Boot Record своим загрузчиком, который показывает типичное вымогательское сообщение. Это одна из немногих вещей, которые были позаимствованы у Petya.

Выдержка из кода NotPetya
Выдержка из кода NotPetya

В отличие от Petya и WannaCry, который также эксплуатировал ETERNALBLUE, NotPetya — это не настоящий вымогатель. Авторы вируса явно не собирались зарабатывать на нем деньги. Запрошенную сумму можно было отправить на указанный кошелек, но это ни к чему не вело. Не известно ни одного случая, когда кому-то пришел бы ключ для расшифровки.

Еще одна интересная примета заключается в том, что NotPetya всегда предлагал один и тот же номер кошелька. Мошенники обычно стараются заметать следы, делая как можно больше кошельков, чтобы потом было легче отмывать полученные в качестве выкупа деньги.

INFO

Подробнее о ходе заражения читай в нашем отчете «Petya, NotPetya или Petna? Все, что нужно знать о новой эпидемии».

ИБ-специалист, известный как The Grugg, высказал предположение о том, что NotPetya — это не обычный вирус-шифровальщик, созданный с целью вымогательства. По его мнению, модернизированная версия Petya — это кибероружие, нацеленное на дестабилизацию крупных компаний.

Белый дом поддержал мнение эксперта и обвинил Россию в создании NotPetya для дестабилизации обстановки в Украине, пообещав доказать причастность Кремля к распространению шифровальщика и наказать всех виновных. Многие зарубежные эксперты также считают, что NotPetya был создан российскими хакерами для скрытия следов вмешательства России в американские выборы 2016 года.

Продолжение доступно только подписчикам

Вариант 1. Оформи подписку на «Хакер», чтобы читать все материалы на сайте

Подписка позволит тебе в течение указанного срока читать ВСЕ платные материалы сайта. Мы принимаем оплату банковскими картами, электронными деньгами и переводами со счетов мобильных операторов. Подробнее о подписке

Вариант 2. Купи один материал

Заинтересовала информация, но нет возможности оплатить подписку? Тогда этот вариант для тебя! Обрати внимание: этот способ покупки доступен только для материалов, опубликованных более двух месяцев назад.


11 комментарий

  1. LuckyTiger

    21.09.2018 at 12:52

    «Российское кибероружие, построенное на утекших у АНБ эксплоитах.»
    Российские хакеры настолько суровы, что они берут эксплоиты напрямую с компьютеров АНБ и не пишут их xD.

  2. e6a3dec

    21.09.2018 at 21:49

    хорошая статья

  3. Capricorn404

    22.09.2018 at 11:04

    Грустно, когда понимаешь, насколько уязвим мир, в котором мы все живём. Насколько зависит от компьютеров каждая отрасль мировой экономики. Насколько всё нынешнее благополучие хрупко.

  4. Redhadevil

    22.09.2018 at 12:04

    И традиционно виной всему устаревшие ОС и нежелание компаний тратить деньги на собственную безопасность. Статья замечательная, с правильным посылом.

    • skyl16ht

      22.09.2018 at 15:21

      Да уж. Пока петух в одно место не клюнет 🙁 Но такие инциденты — хороший пример и доказательная база для получения бюджетов на мероприятия по защите, в конце концов.

  5. un1t

    23.09.2018 at 20:16

    Хотел поделиться статьей, но она доступна только по подписке. Вот все время такая фигня, что не могу поделиться хорошими статьями, т.к. они по подписке.

  6. rim33377

    24.09.2018 at 03:58

    Автор статьи — заполитизированный фуфлогон. Мне жаль «Хакер». Сравниваю его с первыми выпусками — до 2011 года классный был журнал. А сейчас напоминает больше соцсетевой отстойник. Пожелание авторам: не вышибите из себя навальныша — превратитесь в помойку с програмной терминологией.

  7. dendeni

    15.10.2018 at 21:35

    Отличнейшая статья! Такого блокбастера я давно не читал!

Оставить мнение

Check Also

Для шифровальщиков семейства Hidden Tear появился бесплатный дешифровщик HT Brute Forcer

ИБ-специалист Майкл Гиллеспи (Michael Gillespie) создал универсального дешифровщика данных…