Специалисты оценивают урон от вируса Petyа. IT-компании подводят итоги глобальной волны распространения программы-вымогателя. По оценкам ESET, от заражения больше всего пострадала Украина , где и началось распространение вируса. На втором месте среди пострадавших стран находится Италия , а на третьем - Израиль . В первую десятку также вошли Сербия , Венгрия , Румыния , Польша , Аргентина , Чехия и Германия . Россия в данном списке занимает лишь 14-е место.
Petya, как и WannaCry, шифрует все данные на компьютере и требует заплатить 300 долларов в биткоинах. Изначально специалисты пришли к выводу о том, что Petyа использует те же дыры в безопасности, что и его предшественник, информация о них весной была выкрадена у спецслужб США . Однако последние данные показывают: новый вирус сложнее и бьет по компьютерам прицельно, в обход выпущенных компанией Microsoft заплаток.
В России вирус атаковал среди прочих компьютерные сети «Башнефти» и «Роснефти» . Накануне сайты обеих компаний перестали отвечать на запросы. Портал «Роснефти» уже восстановил работу, «Башнефть» на момент публикации статьи была недоступна.
Изначально в «Роснефти» заподозрили, что одной из целей киберпреступников могло быть уничтожение файлов «Башнефти», важных для судебного процесса с участием компании. Однако всю ценную информацию уже удалось восстановить, рассказал Business FM вице-президент и глава информационного департамента нефтяной компании Михаил Леонтьев .
Михаил Леонтьев , пресс-секретарь и вице-президент «Роснефти»
«Башнефть» вообще относительно без потерь вышла из этой ситуации, потому что там сработали системы защиты, больше автономность была, наверное. Я не компьютерный специалист, но тут распространялись как раз некие слухи о том, что в «Башнефти» какие-то отдельные проблемы, это не так. Вообще все сохранилось, были резервные копии, все нормально. Есть последствия какие-то у нас по всей системе, мы их устраняем, но с «Башнефтью» они самые минимальные, хочу вас успокоить - или кого-то расстроить».
В США в связи с распространением вируса Petyа началось расследование. По данным Reuters, среди его жертв были и американские граждане. Министерство внутренней безопасности США заявило, что взаимодействует с другими странами, и советует жертвам вируса не платить шантажистам, поскольку это не гарантирует восстановление доступа к компьютеру.
Тем временем Symantec продемонстрировала метод защиты от вируса. По данным компании, при заражении вирус проверяет наличие на компьютере определенного файла. Если же заранее создать файл с определенным названием вручную, вирус считает компьютер уже зараженным и прекращает работу.
Одним из ключевых докладчиков Positive Hack Days 9 станет знаменитый исследователь безопасности сетей GSM Карстен Ноль (Karsten Nohl). В студенческие годы его знали как члена сообщества Chaos Computer Club, сегодня Карстен специалист в области шифрования и безопасности данных. Подвергает сомнению и часто опровергает общепринятые идеи о проприетарном программном обеспечении. В своей работе опирается на поддержку Reliance Jio - самой быстрорастущей компании в мире.
Впервые Карстен заявил о себе в 2009 году, когда ему удалось взломать алгоритм кодирования данных в сетях GSM. На конференции Chaos Communication Congress в Берлине он первым публично продемонстрировал процесс взлома.
В 2013 году он обнаружил уязвимость в SIM-картах, которая содержалась в алгоритме шифрования DES (Data Encryption Standard) - он использовался множеством производителей и поддерживался миллионами SIM-карт. Суть атаки заключалась в отправке на телефон специального сообщения, аппарат принимал его за SMS от оператора и выдавал в ответном сообщении криптографическую подпись. Получив это, злоумышленник мог подслушивать разговоры владельца телефона, перехватывать SMS и совершать платежи. На взлом телефона у атакующего могло уйти всего пара минут.
Вместе с Якобом Леллем (Jakob Lell), исследователем компании Security Research Labs, Карстен в 2014 году сообщил об уязвимости устройств USB. С ее помощью злоумышленники могли взломать микроконтроллер и получить возможность управлять компьютером жертвы. Способ получил название BadUSB. В том же году на конференции Chaos Communication Congress Карстен Ноль и исследователь Тобиас Энгель (Tobias Engel) рассказали о серьезных уязвимостях в SS7, которые дают атакующим возможность легко перехватывать телефонные разговоры и SMS-сообщения, даже если в сотовых сетях используются самые современные стандарты шифрования. Уязвимы все телефоны и смартфоны, независимо от операционной системы.
В прошлом году Карстен Ноль и Якоб Лелль на конференции Hack In The Box поделились результатами двухлетнего исследования, в ходе которого они изучили состав обновлений безопасности, выпускаемых крупнейшими производителями устройств на базе Android . Оно показало, что многие крупные производители лишь создают видимость выхода патчей, а на деле многие баги остаются неисправленными.
На PHDays 9, который состоится 21–22 мая 2019 года, Карстен Ноль выступит с докладом «Что там у айсберга под водой: поговорим о реальных киберугрозах». Глобальный анализ данных об уровне защищенности тысяч компаний из десятков отраслей показывает, как непросто бывает большинству организаций интегрировать базовые принципы безопасности. Карстен обсудит с участниками форума, чтó действительно должно волновать общество, стремящееся к информационной безопасности.
Так теперь появился новый вирус.
Что за вирус и стоит ли его бояться
Вот так он выглядит на зараженном компьютере
Вирус под названием mbr locker 256 (который на мониторе именует себя Petya) атаковал сервера российских и украинских компаний.
Он блокирует Файлы на компьютере и шифрует их. За разблокировку хакеры требуют $300 в биткоинах.
MBR – это главная загрузочная запись, код, необходимый для последующей загрузки ОС. Он расположен в первом секторе устройства.
После включения питания компьютера проходит процедура POST, тестирующая аппаратное обеспечение, а после неё BIOS загружает MBR в оперативную память по адресу 0x7C00 и передает ему управление.
Таким образом вирус попадает в компьютер и поражает систему. Модификаций зловреда существует много.
Работает он под управлением Windows, как и прежний зловред.
Кто уже пострадал
Украинские и российские компании. Вот часть из всего списка:
Многие компании оперативно отразили атаку, но не все это сделать смогли. Из-за него не работает часть серверов.
Банки не могут осуществить из-за «Пети» ряд денежных операций. Аэропорты откладывают или задерживают рейсы. Метрополитен Украины не принимал бесконтактные платежи до 15:00.
Что касается офисной техники, компьютеров, они не работают. При этом с энергосистемой, с энергообеспечением никаких проблем нет. Это коснулось только офисных компьютеров (работают на платформе Windows). Нам дали команду отключить компьютеры. - Укрэнерго
Операторы жалуются на то, что тоже пострадали. Но при этом стараются работать для абонентов в штатном режиме.
Как защититься от Petya.A
Для защиты от него нужно закрыть на компьютере TCP-порты 1024-1035, 135 и 445. Это сделать достаточно просто:
Шаг 1 . Открываем брэндмауэр.
Шаг 2 . В левой части экрана переходим в «Правила для входящих подключений».
Шаг 3 . Выбираем «Создать правило» -> «Для порта» -> «Протокол TCP» -> «Определенные локальные порты».
Шаг 4 . Пишем «1024-1035, 135, 445», выбираем все профили, щелкаем «Блокировать подключение» и везде «Далее».
Шаг 5 . Повторяем действия для исходящих подключений.
Ну и второе - обновить антивирус. Эксперты сообщают, что необходимые обновления уже появились в базах антивирусного ПО.
Компания «Роснефть» подверглась мощной хакерской атаке, о чем сообщила в своем твиттере.
«На серверы компании осуществлена мощная хакерская атака. Мы надеемся, что это никак не связано с текущими судебными процедурами», — говорится в сообщении. Сайт «Роснефти» на момент публикации заметки был недоступен.
Нефтяная компания сообщила, что обратилась в правоохранительные органы в связи с инцидентом. Из-за оперативных действий службы безопасности работа «Роснефти» не нарушилась и продолжается в штатном режиме.
«Хакерская атака могла привести к серьезным последствиям, однако благодаря тому, что компания перешла на резервную систему управления производственными процессами, ни добыча, ни подготовка нефти не остановлены», — сообщили представители компании корреспонденту «Газеты.Ru».
Они предупредили, что все, кто будут распространять недостоверные данные, «будут рассматриваться как сообщники организаторов атаки и вместе с ними нести ответственность.»
Кроме того, были заражены компьютеры компании «Башнефть», сообщили «Ведомости» . Вирус-шифровальщик, как и печально известный WannaCry, заблокировал все данные компьютера и требует перевести преступникам выкуп в биткоинах, эквивалентный $300.
К сожалению, это не единственные пострадавшие от масштабной хакерской атаки — Telegram-канал «Сайберсекьюрити и Ко.» сообщает о кибервзломе Mondelez International (бренды Alpen Gold и Milka), Ощадбанка, Mars, Новой Почты, Nivea, TESA и других компаний.
Автор канала Александр Литреев заявил, что вирус носит название Petya.A и что он действительно похож на WannaCry, поразивший более 300 тыс. компьютеров по всему миру в мае этого года. Petya.A поражает жесткий диск и шифрует главную таблицу файлов (MFT). По данным Литреева, вирус распространялся в фишинговых письмах с зараженными вложениями.
В блоге «Лаборатории Касперского» появилась публикация с информацией о том, как происходит заражение. По словам автора, вирус распространяется в основном через HR-менеджеров, так как письма маскируются под сообщение от кандидата на ту или иную должность.
«HR-специалист получает фальшивое письмо со ссылкой на Dropbox, по которой якобы можно перейти и скачать «резюме». Вот только файл по ссылке является не безобидным текстовым документом, а самораспаковывающимся архивом с расширением.EXE», — рассказывает эксперт.
После открытия файла пользователь видит «синий экран смерти», после которого Petya.A блокирует систему.
Специалисты компании Group-IB рассказали «Газете.Ru», что недавно шифровальщик Petya использовала группа Cobalt для сокрытия следов целевой атаки на финансовые учреждения.
Снова русские хакеры
Наиболее сильно от вируса Petya.A пострадала Украина. Среди пострадавших — «Запорожьеоблэнерго», «Днепроэнерго», Киевский метрополитен, украинские мобильные операторы «Киевстар», LifeCell и «Укртелеком», магазин «Ашан», Приватбанк, аэропорт Борисполь и другие организации и структуры.
Всего в общей сложности были атакованы свыше 80 компаний в России и на Украине.
Депутат украинской Рады от «Народного фронта», член коллегии МВД Антон Геращенко заявил, что в кибератаке виноваты российские спецслужбы.
«По предварительной информации, это организованная система со стороны спецслужб РФ. Целью данной кибератаки являются банки, СМИ, «Укрзализниця», «Укртелеком». Вирус попадал на компьютеры несколько дней, даже недель в виде разного рода сообщений на почту, пользователи, которые открывали это сообщения, позволяли вирусу разойтись по всем компьютерам. Это еще один пример использования кибератак в гибридной войне против нашей страны», — сообщил Геращенко.
Атака вирусом-вымогателем WannaCry случилась в середине мая 2017 года и парализовала работу нескольких международных компаний по всему миру. Ущерб, нанесенный мировому сообществу масштабным вирусом WannaCry, оценили в $1 млрд.
Зловред использовал уязвимость в операционной системе Windows, блокировал компьютер и требовал выкуп. Распространение вируса было остановлено случайно одним британским программистом — он зарегистрировал доменное имя, к которому обращалась программа.
Несмотря на то что кибератака WannaCry имела планетарный масштаб, всего было зафиксировано только 302 случая уплаты выкупа, в результате чего хакеры смогли заработать $116 тыс.