logo
logo

Atak Petya - komentarze ekspertów Fortinet i F-Secure

 

https://6d63d49ccb7c52435540-5070aa97eaa2b8df4eb5a91600e69901.ssl.cf1.rackcdn.com/aamir-lakhani-largeImage-7-a-1439.jpg

Oprogramowanie Petya wykorzystuje te same podatności, co te użyte przy ataku WannaCry w maju. Jest to tzw. "ransomworm" ten wariant zamiast atakowania pojedynczej organizacji, wykorzystując robaka infekuje każde urządzenie, które napotka na swojej drodze.

Wygląda na to, że ten atak rozpoczął się od rozesłania pliku Excel, który wykorzystuje znaną lukę w pakiecie Microsoft Office. Efektem udanego ataku jest zaszyfrowanie plików w komputerze, a cyberprzestępcy żądają okupu w wysokości 300 dolarów w walucie Bitcoin za ich ponowne udostępnienie. Dodatkowo ostrzegają, że wyłączenie komputera skutkować będzie całkowitą utratą systemu ? czym Petya wyróżnia się od większości dotychczasowych ransomware.

Niestety pomimo nagłośnienia istnienia wielu luk w systemach Microsoft i udostępnienia odpowiednich łat oraz globalnej skali drugiej fali ataku WannaCry, nadal tysiące organizacji, w tym zarządzających infrastrukturą krytyczną, nie zdołały usprawnić swoich zabezpieczeń. Ponieważ Petya wykorzystuje dodatkowe wektory ataku, sama aktualizacja systemu operacyjnego nie wystarcza do całkowitej ochrony. Oznacza to, że oprócz aktualizowania oprogramowania konieczne są odpowiednie praktyki i narzędzia zabezpieczające. Nasi klienci są chronieni, ponieważ wszystkie wektory tego ataku zostały wykryte i zablokowane przez nasze rozwiązania ATP, IPS oraz NGFW.

Z finansowej perspektywy WannaCry nie był szczególnie udany, ponieważ nie wygenerował dużych zysków dla jego twórców. Powodem tego było stosunkowo szybkie odnalezienie recepty na zneutralizowanie ataku. Z kolei Petya jest bardziej zaawansowaną wersją, jednak dopiero się okaże czy przestępcom uda się na niej więcej zarobić.

Aamir Lakhani, ekspert ds. cyberbezpieczeństwa, Fortinet


Leszek Tasiemski - ekspert ds. cyberbezpieczeństwa w firmie F-Secure
(VP, Rapid Detection Center, R&D Radar & RDS w firmie F-Secure)

Petya jest nowszym i skuteczniejszym odpowiednikiem niedawnego ataku ransomware o nazwie WannaCry. W odróżnieniu od niego, infekuje również w pełni zaktualizowane systemy. Atak przebiega w dwóch fazach ? szerzenia infekcji oraz zaszyfrowania dostępu do danych na komputerze ofiary. Petya rozprzestrzenia się po sieci lokalnej próbując infekować sąsiednie komputery przy użyciu nazwy użytkownika i hasła wydobytego z komputera pierwszej ofiary. Po kilkudziesięciu minutach infekowania innych komputerów następuje automatyczny restart, po czym oprogramowanie szyfruje dostęp do plików i wyświetla ekran z żądaniem okupu.

Myślę, że możemy się spodziewać jeszcze wielu tego typu ataków, za każdym razem bardziej wyrafinowanych i skutecznych w rozprzestrzenianiu się. Żyjemy w czasach, kiedy złośliwe oprogramowanie będzie regularnie zakłócać funkcjonowanie nie tylko indywidualnych użytkowników, ale nawet największych instytucji oraz firm.

Szczegóły techniczne dotyczące ataku:
Petya próbuje odzyskać hasła z pamięci systemu Windows, a następnie usiłuje odnaleźć i zainfekować wszystkie urządzenia w sieci lokalnej (z użyciem portów tcp/445 i tcp/139, a także mechanizmów WMI oraz PSexec). Oznacza to tyle, że pierwotny wektor ataku jest klasyczny ? w praktyce ktoś w coś musi kliknąć. Jednak, kiedy już infekcja nastąpi, to o ile na zainfekowanym komputerze znajdują się jeszcze ślady logowania administratora domeny, Petya może zainfekować wszystkie pozostałe komputery w sieci. Po infekcji oprogramowanie modyfikuje sektor startowy dysku (MBR), instalując na nim oprogramowanie szyfrujące. Następnie przez kilkadziesiąt (30-40) minut próbuje infekować inne maszyny w sposób opisany powyżej, po czym następuje restart maszyny i jej uruchomienie do programu szyfrującego (w trybie terminala tekstowego), który jednocześnie wyświetla informację o żądanym okupie. Szyfrowanie odbywa się przy pomocy silnego algorytmu AES-128, co oznacza nikłe szanse na odszyfrowanie zawartości bez zapłacenia okupu. Opłata za odblokowanie danych tradycyjnie odbywa się w kryptowalucie BitCoin ? aktualnie jest to ekwiwalent 300 dolarów.

 


Sean Sullivan, doradca ds. cyberbezpieczeństwa w firmie F-Secure

 Cyberprzestępcom wykorzystującym ostatnio WannaCry nie udało się wyłudzić dużej sumy, ponieważ nie byli w stanie poradzić sobie z liczbą ofiar dotkniętych przez złośliwe oprogramowanie, które rozprzestrzeniło się na niespotykaną skalę. Wygląda na to, że cyberatak przy użyciu ransomware o nazwie Petya jest bardziej ?przemyślanym? działaniem nastawionym na zysk. Skończyły się czasy, w których globalne cyberataki mające na celu wyłudzanie okupów są przeprowadzane przez amatorów.

Zapisz się do naszego newslettera

logo Veracomp Exclusive Networks
info@40camp.pl
Copyright © 2016 – 2024 Exclusive Networks Poland Polityka Prywatności
Realizacja: Bitubi
cross