Новая атака программы-вымогателя поразила авиакомпании, банки и коммунальные компании в Европе

Больше всех пострадали украинские компании

Крупная атака программы-вымогателя привела к остановке множества бизнесов по всей Европе, что напомнило недавнюю атаку WannaCry в прошлом месяце. Самый серьезный ущерб нанесен украинским предприятиям. Были скомпрометированы системы в центральном банке Украины, государственной телекоммуникационной компании, муниципальном метро и киевском аэропорту «Борисполь». Системы были также скомпрометированы у украинского поставщика электроэнергии Укренего, хотя на электроснабжение атака не повлияла.

Атака даже затронула операции на Чернобыльской атомной электростанции, которая в результате атаки переключилась на ручной радиационный мониторинг. Инфекции также коснулись более изолированных устройств, таких как терминалы продаж и банкоматы.

Вирус также распространился в других странах. Датская судоходная компания Maersk сообщила об отказах систем во множестве локаций, включая российский логистический отдел компании Damco. Вирус достиг серверов российской нефтяной компании «Роснефть», хотя неясно, насколько она пострадала. Также было зарегистрировано несколько случаев в Соединенных Штатах, включая фармацевтическую компанию Merck, больницу в Питтсбурге и офисы юридической фирмы DLA Piper.

Отчеты исследователей из Лаборатории Касперского идентифицировали вирус как вариант рецессии Petya, хотя позже компания выяснила, что вирус является совершенно новым штаммом, который они назвали «NotPetya». Телеметрия Лаборатории Касперского указывает, что сегодня по меньшей мере 2000 пользователей были атакованы вирусом.

Две отдельные фирмы сообщили, что в новой программе-вымогателе используется тот же эксплойт EternalBlue, который использует WannaCry, что позволяет ему быстро распространяться между зараженными системами. Опубликованный Shadow Brokers в апреле, EternalBlue нацелен на систему обмена файлами Windows SMB и, как полагают, был разработан NSA. С тех пор Microsoft исправила уязвимость для всех версий Windows, но многие пользователи остаются уязвимыми, а ряд вариантов вредоносных программ используют этот эксплойт для заражения вымогателями или для майнинга криптовалютыа.

Petrwrap представляет собой простую программу для вымогательства. После заражения вирус шифрует компьютер с помощью закрытого ключа, делая его непригодным до расшифровки. Затем программа инструктирует пользователя как заплатить выкуп в 300 долларов США на статический адрес Bitcoin, а затем отправить номер биткойн-кошелька и ключ установки на адрес электронной почты Posteo. 

Истоки нападения до сих пор не ясны, но участие украинских энергетических компаний, скорее всего, вызовет подозрения в отношении России. Энергетическая сеть Украины пострадала от настойчивой и изощренной атаки в декабре 2015 года, которую многие приписывали России. Атака в конечном счете оставила 230 000 жителей без электричества в течение шести часов.