Ransomware Petya pojavio se nešto više od mjesec dana od izbijanja globalne epidemije WannaCry ucjenjivačkog programa, a proširio se na vrlo sličan način i također vrlo velikom brzinom. Pokušat ćemo na jednom mjestu okupiti sve do sada poznate činjenice o njemu i mogućim načinima na koje se zaštiti od napada.

Petya (drugim imenom Petwrap) koristi istu ranjivost Windowsa kao i WannaCry. Riječ je o propustu u komunikacijskom protokolu SMBv1 koji je pod nazivom EternalBlue procurio iz američke agencije NSA. Microsoft je nakon izbijanja WannaCry krize izdao zakrpe za sve Windowse, od XP-a na ovamo. Sumnja se da Petya iskorištava i propust CVE-2017-0199 u Microsoft Officeu, za koji je službena zakrpa izdana u travnju.

Petya, nakon zaraze, ne šifrira datoteke na računalu redom. Ovaj malware ponovno resetira napadnuto računalo te šifrira MFT datoteku (master file table) te onemogućava rad MBR zapisu (master boot record) što rezultira ograničenim pristupom uređaju. Potom se MBR zapis mijenja zlonamjernim kodom, a korisniku se prikazuje poruka kojom se traži otkupnina (300 dolara u bitcoinima).

Kao potencijalni vektor širenja Petye navodi se maliciozni Word dokument koji korisnici (mahom u velikim korporacijama) dobivaju kao privitak u e-mailu. Kada bilo tko od njih pokrene zaraženu datoteku, Petya iskorištava alate zadužene za udaljeni pristup i mrežnu automatizaciju (Windows Management Instrumentation i PsExec), te one za distribuciju ažuriranja, koristeći administratorske ovlasti, kako bi zarazu proširila na ostala računala u mreži. I nažalost po korisnike, čini to vrlo brzo – zaraza se može proširiti na preko 5.000 računala u manje od 10 minuta. Također, otkriveno je i da je među prvima žrtvom postao popularni ukrajinski računovodstveni servis M.E.Doc, pa je stoga u toj zemlji i zabilježen najveći broj uspješnih napada.

Nekoliko sati nakon izbijanja zaraze zabilježeno je da su hakeri primili uplate od nekoliko tisuća dolara na svoj bitcoin račun. Ubrzo potom njemački operater Posteo blokirao je kontakt e-mail adresu napadača, pa je nakon toga postalo uzaludno uplaćivati otkupninu, jer napadače nije moguće kontaktirati i dobiti dekripcijski ključ.

Petya, za razliku od WannaCrya, nema ugrađen “kill switch”, ili on do sada nije otkriven. Stručnjaci preporučuju administratorima da obavezno, uz nadogradnje sustava, imaju na umu da se širenje Petye može zaustaviti ako se dovoljno brzo reagira. Moguće je, prema nekim informacijama, iz Windows Management Instrumentationa blokirati otvaranje datoteke C:\Windows\perfc.dat. Također, preporuča se i koristiti Microsoft Local Administrator Password Solution kako bi se spriječilo malware da “pokupi” lozinke do ostalih računala u mreži.

Povrh antivirusa, firewalla, te redovitog ažuriranja sustava, za zaštitu od ove vrste napada preporuča se i blokiranje vanjskog pristupa portovima 137, 138, 139 i 445, kao i velika pozornost pri dodjeljivanju administratorskih ovlasti korisnicima.

Izvor: http://www.bug.hr/