Як працює вірус вимагач Petya?

Наша взаимовыгодная связь https://banwar.org/

Можливо, ви вже в курсі про хакерську загрозу зафіксованої 27 червня 2017 року країнах Росії та України, які зазнали масштабної атаки схожою на WannaCry . Вірус блокує комп'ютери і вимагає викуп у біткоіни за дешифрування файлів. В цілому постраждало більше 80 компаній в обох країнах, включаючи російські «Роснефть» і «Башнефть».

Вірус-шифрувальник, як і сумнозвісний WannaCry, заблокував всі дані комп'ютера і вимагає перевести злочинцям викуп у біткоіни, еквівалентний $ 300. Але на відміну від Wanna Cry, Petya не обтяжує шифруванням окремих файлів - він практично миттєво «відбирає» у вас весь жорсткий диск цілком.

Правильна назва цього вірусу - Petya.A. Звіт ESET розкриває деякі можливості Diskcoder.C (він же ExPetr, PetrWrap, Petya або NotPetya)

За статистикою всіх постраждалих, вірус поширювався в фішингових листах із зараженими вкладеннями. Зазвичай лист приходить з проханням відкрити текстовий документ, а як ми знаємо друге розширення файлу txt. exe ховається, а пріоритетним є останнім розширення файлу. За замовчуванням операційна система Windows не відображує розширення файлів і вони вигладять ось так:

Так що я рекомендую вам включити відображення розширень.

В 8.1 у вікні провідника (Вид \ Параметри папок \ Прибираємо галочку Приховувати розширення для зареєстрованих типів файлів)

У 7 в вікні провідника (Alt \ Сервіс \ Параметри папок \ Прибираємо галочку Приховувати розширення для зареєстрованих типів файлів)

І найстрашніше, що користувачів навіть не бентежить, що листи приходять від невідомих користувачів і просять відкрити незрозумілі файли.

Після відкриття файлу користувач бачить «синій екран смерті».

Після перезавантаження, схоже на те, що запускається «Скан диск» насправді, вірус шифрує файли.

На відміну від інших програм-вимагачів, після того як цей вірус запущений, він негайно перезапускає ваш комп'ютер, і коли він завантажується знову, на екрані з'являється повідомлення: "НЕ ВИМИКАЙТЕ ВАШ ПК! ЯКЩО ВИ ЗУПИНІТЬ ЦЕЙ ПРОЦЕС, ВИ МОЖЕТЕ ЗНИЩИТИ ВСЕ ВАШІ ДАНІ! БУДЬ ЛАСКА, ПЕРЕВІРТЕ, ЧИ ВАШ КОМП'ЮТЕР ПІД'ЄДНАНО до зарядки! ". Хоча це може виглядати як системна помилка, насправді, в даний момент Petya мовчки виконує шифрування в прихованому режимі. Якщо користувач намагається перезавантажити систему або зупинити шифрування файлів, на екрані з'являється миготливий червоний скелет разом з текстом "НАТИСНІТЬ БУДЬ-ЯКУ КЛАВІШУ!". Нарешті, після натискання клавіші, з'явиться нове вікно з запискою про викуп. У цій записці, жертву просять заплатити 0.9 біткойнов, що дорівнює приблизно $ 400. Проте, це ціна лише за один комп'ютер. Тому, для компаній, які мають безліч комп'ютерів, сума може складати тисячі. Що також відрізняє цього вимагача, так це те, що він дає цілий тиждень щоб заплатити викуп, замість звичайних 12-72 годин, які дають інші віруси цієї категорії.

Більш того, проблеми з Petya на цьому не закінчуються. Після того, як цей вірус потрапляє в систему, він буде намагатися переписати завантажувальні файли Windows, або так званий завантажувальний майстер записи, необхідний для завантаження операційної системи. Ви будете не в змозі видалити Petya вірус з вашого комп'ютера, якщо ви не відновите настройки завантажувального майстра записи (MBR). Навіть якщо вам вдасться виправити ці настройки і видалити вірус з вашої системи, на жаль, ваші файли будуть залишатися зашифрованими, тому що видалення вірусу не забезпечує розшифровку файлів, а просто видаляє інфекційні файли. Звичайно, видалення вірусу має важливе значення, якщо ви хочете продовжити роботу з комп'ютером

Після потрапляння на ваш комп'ютер під управлінням системи Windows, Petya практично миттєво зашифровує MFT (Master File Table - головна таблиця файлів). За що ж відповідає ця таблиця?

Уявіть, що ваш жорсткий диск - це найбільша бібліотека у всьому всесвіті. У ній містяться мільярди книг. Так як же знайти потрібну книгу? Тільки за допомогою бібліотечного каталогу. Саме цей каталог і знищує Петя. Таким чином, ви втрачаєте будь-яку можливість знайти будь-якої «файл» на вашому ПК. Якщо бути ще точніше, то після «роботи» Petya жорсткий диск вашого комп'ютера буде нагадувати бібліотеку після торнадо, з обривками книг, літаючими всюди.

Таким чином, на відміну від Wanna Cry, Petya.A не шифрується окремі файли, витрачаючи на це значний час - він просто відбирає у вас будь-яку можливість знайти їх.

Хто створив вірус Петя?

При створенні вірусу Петя був задіяний експлойт ( «діра») в ОС Windows під назвою «EternalBlue». Microsoft випустив патч kb4012598 (з раніше випущених уроків по WannaCry ми вже розповідали про це оновлення, яке «закриває» цю діру.

Творець «Petya» зміг з розумом використовувати безпечність корпоративних і приватних користувачів і заробити на цьому. Його особа поки що невідома (та й навряд чи буде відома)

Як видалити вірус Petya?

Як видалити вірус Petya.A з вашого жорсткого диска? Це вкрай цікаве питання. Справа в тому, що якщо вірус вже заблокував ваші дані, то і видаляти буде, фактично, нічого. Якщо ви не планує платити здирникам (чого робити не варто) і не будете пробувати відновлювати дані на диску в подальшому, вам досить просто провести форматування диска і заново встановити ОС. Після цього від вірусу не залишиться і сліду.

Якщо ж ви підозрюєте, що на вашому диску присутній заражений файл - проскануйте ваш диск антивірусом від компанії ESET Nod 32 і проведіть повне сканування системи. Компанія NOD 32 запевнила, що в його основі сигнатур вже є відомості про даний вірус.

дешифратор Petya.A

Petya.A зашифровує ваші дані дуже стійким алгоритмом шифрування. На даний момент не існує рішення для розшифровки заблокованих відомостей.

Безсумнівно, ми б все мріяли отримати чудодійний дешифратор (decryptor) Petya.A, проте такого рішення просто немає. Вірус WannaCry вразив світ кілька місяців тому, але ліки для розшифровки даних, які він зашифрував, так і не знайдено.

Єдиний варіант, це якщо раніше у вас були тіньові копії файлів.

Тому, якщо ви ще не стали жертвою вірусу Petya.A - поновіть ОС систему, встановіть антивірус від компанії ESET NOD 32. Якщо ви все ж втратили контроль над своїми даними - то у вас є кілька шляхів.

- Заплатити гроші. Робити цього безглуздо! Фахівці вже з'ясували, що дані творець вірусу не відновлює, та й не може їх відновити, враховуючи методику шифрування.

- Спробувати видалити вірус з комп'ютера, а ваші файли спробувати відновити за допомогою тіньової копії (вірус їх не вражає)

- Витягнути жорсткий диск з вашого пристрою, акуратно покласти його в шафу і жати появи дешифратора.

- Форматування диска і установка операційної системи. Мінус - всі дані будуть втрачені.

Багато користувачів турбуються - «а чи може вірус Petya заразити їх пристрої під управлінням Android і iOS. Поспішу їх заспокоїти - ні, не може. Він розрахований тільки на користувачів ОС Windows. Те ж саме стосується і шанувальників Linux і Mac - можете спати спокійно, вам нічого не загрожує.