Petya ransomware-angrep: hvordan og hvem som er smittet; hvordan du kan stoppe det

Et nytt ransomware-angrep som bruker en modifisert versjon av EternalBlue-sårbarheten som ble utnyttet i WannaCry-angrepene, dukket opp på tirsdag og har allerede truffet mer enn 2000 PC-er over hele verden i Spania, Frankrike, Ukraina, Russland og andre land.

Angrepet har primært rettet virksomheter i disse landene mens et sykehus i Pittsburg, USA også er blitt rammet. Ofrene for angrepet inkluderer blant annet Central Bank, Railways, Ukrtelecom (Ukraina), Rosnett (Russland), WPP (UK) og DLA Piper (USA).

Mens det høyeste antallet infeksjoner er funnet i Ukraina, er det nest høyest i Russland, etterfulgt av Polen, Italia og Tyskland. Bitcoin-kontoen som godtok betalinger hadde gjennomført mer enn 24 transaksjoner før den ble lagt ned.

Les også: Petya Ransomware hackere mister tilgang til e-postkontoer; Ofrene forlot strandet.

Selv om angrepet ikke er rettet mot bedrifter i India, målrettet det fraktgiganten AP Moller-Maersk, og Jawaharlal Nehru havn er truet, da selskapet driver Gateway Terminals i havnen.

Hvordan sprer Petya Ransomware?

Ransomware bruker en lignende utnyttelse som ble brukt i storskala WannaCry ransomware-angrep tidligere denne måneden som målrettet maskiner som kjører på utdaterte versjoner av Windows, med litt modifisering.

Sårbarheten kan utnyttes via en ekstern kjøring av kode på PCer som kjører Windows XP til Windows 2008-systemer.

Ransomware infiserer PC-en og starter den på nytt ved hjelp av systemverktøy. Ved omstart krypterer den MFT-tabellen i NTFS-partisjoner og overskriver MBR med en tilpasset laster som viser løsepenger.

I følge Kaspersky Labs, “For å fange legitimasjon for spredning, bruker ransomware tilpassede verktøy, a la Mimikatz. Disse henter ut legitimasjon fra lsass.exe-prosessen. Etter utvinning sendes legitimasjon til PsExec-verktøy eller WMIC for distribusjon i et nettverk."

Hva skjer etter at en PC er smittet?

Etter at Petya har infisert en PC, mister brukeren tilgang til maskinen som viser en svart skjerm med rød tekst på den som lyder som følger:

“Hvis du ser denne teksten, er ikke filene dine lenger tilgjengelige fordi de er kryptert. Kanskje er du opptatt med å lete etter en måte å gjenopprette filene dine på, men ikke kaste bort tiden vår. Ingen kan gjenopprette filene dine uten vår dekrypteringstjeneste."

Og det er instruksjoner om betaling av $ 300 i Bitcoins og en måte å angi dekrypteringsnøkkelen og hente filene på.

Hvordan være trygg?

For øyeblikket er det ingen konkret måte å dekryptere filene som er holdt som gisler av Petya ransomware, siden den bruker en solid krypteringsnøkkel.

Men sikkerhetsnettstedet Bleeping Computer mener at å lage en skrivebeskyttet fil med navnet 'perfc' og plassere den i Windows-mappen i C-stasjonen, kan bidra til å stoppe angrepet.

Det er også viktig at folk, som fortsatt ikke har det, umiddelbart laster ned og installerer Microsoft-lappen for eldre Windows-operativsystemer som avslutter sårbarheten som blir utnyttet av EternalBlue. Dette vil bidra til å beskytte dem mot et angrep fra en lignende skadelig stamme som Petya.

Hvis maskinen starter på nytt og du ser denne meldingen, slår du av umiddelbart! Dette er krypteringsprosessen. Hvis du ikke slår på, er filene i orden. pic.twitter.com/IqwzWdlrX6

- Hacker Fantastic (@hackerfantastic) 27. juni 2017

Mens antallet og størrelsen på ransomware-angrep øker med hver dag som går, antydes det at risikoen for nye infeksjoner avtar betydelig etter de første timene av angrepet.

Les også: Ransomware Attacks on the Rise: Here is How to Stay Safe.

Og når det gjelder Petya, spår analytikere at koden viser at den ikke vil spre seg utover nettverket. Ingen har klart å finne ut hvem som er ansvarlig for dette angrepet ennå.

Sikkerhetsforskere har fremdeles ikke funnet en måte å dekryptere systemer som er infisert av Petya-ransomware, og siden til og med hackerne ikke kan kontaktes nå, vil alle berørte forbli det foreløpig.