Petya атакует: что известно о новых массовых кибервзломах
Сообщения о новой вирусной атаке начали поступать во вторник, 27 июня. Сначала о «мощной хакерской атаке» заявила компания «Роснефть». Собеседник РБК в правоохранительных органах, куда компания обратилась для расследования инцидента, сообщил, что вирус, поразивший нефтяную компанию, по своему действию похож на WannaCry, который в мае частично нарушил работу МВД, «МегаФона» и других крупных организаций. Оба вируса шифруют информацию на жестких дисках и требуют выкуп за расшифровку данных. По его словам, такой же атаке подверглись сети подконтрольной «Роснефти» «Башнефти». Официальные сайты обоих предприятий на некоторое время перестали открываться. Пресс-секретарь «Роснефти» Михаил Леонтьев заявил, что «Роснефть» и ее дочерние общества работают в штатном режиме, однако в Twitter компании вскоре появилось сообщение, что атака могла привести к «серьезным последствиям».
От действий вируса-вымогателя в России пострадал также банк «Хоум Кредит», который перестал проводить операции, сообщил источник РБК в банке и позднее подтвердила его пресс-служба. В пресс-службе Банка России сообщили, что им известно о единичных случаях заражения инфраструктуры российских кредитных организаций.
Мощная волна заражения вирусом прокатилась и по организациям Украины. Телеканал «112.ua» сообщил о выходе из строя в результате поражения вирусом-вымогателем компьютеров в центральных офисах компаний «Укрэнерго» и Донбасской топливно-энергетической компании. Вице-премьер Украины Павел Розенко на своей странице в Facebook писал о выходе из строя компьютерной сети в кабинете министров.
Первый заместитель гендиректора аэропорта Борисполь Евгений Дыхне сообщил о кибератаке, которая вывела из строя официальный сайт аэропорта и табло с расписанием рейсов, а генеральный директор «Укрпочты» Игорь Смелянский констатировал, что в результате хакерской атаки была повреждена часть компьютеров и серверного программного обеспечения, что привело к невозможности отслеживания отправлений на сайте компании.
Национальный банк Украины сообщил о том, что сразу несколько украинских коммерческих банков и других предприятий подверглись «внешней хакерской атаке неизвестным вирусом». Об атаке, в частности, заявил один из крупнейших банков страны — Ощадбанк. Пострадал и Киевский метрополитен, на странице которого появилось сообщение о невозможности оплаты проезда с помощью банковских карт.
В результате по факту масштабной кибератаки на Украине заведено уголовное производство по ст. 361 УК Украины («Несанкционированное вмешательство в работу электронно-вычислительных машин и компьютерных сетей»), сообщил спикер Национальной полиции Украины Ярослав Тракало.
О случаях атаки вируса-шифровальщика заявило британское рекламное агентство WPP, датская вещательная компания RTV, международные Mars, Nivea, Mondelez International (производитель шоколада Alpen Gold) и другие компании в различных странах. Впрочем, руководитель отдела антивирусных исследований «Лаборатории Касперского» Вячеслав Закоржевский предположил, что больше всего пострадавших от масштабной атаки программы-вымогателя было зафиксировано в России и на Украине.
Природа вируса
В пресс-службе компании Group-IB, которая занимается расследованием киберпреступлений, РБК сообщили, что хакерская атака на ряд компаний произошла при помощи вируса-шифровальщика Petya и действительно схожа с атакой, которая произошла в середине мая при помощи вредоносной программы WannaCry. Petya блокирует компьютеры, и пользователям предлагается заплатить $300 в биткоинах. «Атака произошла около 14:00. Судя по фотографиям, это криптолокер Petya. Способ распространения в локальной сети аналогичен вирусу WannaCry», — следует из сообщения пресс-службы Group-IB.
Главный архитектор компании «Информзащита» Евгений Бородулин подтверждает, что атака была осуществлена с помощью модификации вируса Petya, который уже атаковал компьютеры в 2016 году. «Попадая на рабочую станцию пользователя или сервер, иногда просто через электронную почту сотрудников организации вирус начинает распространяться по сети. По факту заражения рабочая станция загружает шифровальщик и перезагружается через «синий экран», после перезагрузки система загружается и показывает Check Disk — стандартную процедуру Windows по анализу жесткого диска в случае непредвиденного сбоя, однако в случае заражения Petya в это время происходит шифрование всего жесткого диска целиком», — говорит господин Бородулин. По его информации, к 19:00 вторника за расшифровку файлов злоумышленникам уже перевели 1,5 биткоина, или $3,6 тыс.
Это вымогательское программное обеспечение, которое совмещает в себе хакерские методы развития атаки для поражения всей сети через инфицирование даже одной машины, говорит руководитель отдела реагирования на угрозы информационной безопасности Positive Technologies Эльмар Набигаев. «Все это гарантирует высокую скорость распространения зловреда внутри сети и массовость эпидемии в целом при заражении хотя бы одного компьютера. Результатом является полная неработоспособность компьютера и шифрование данных. По предварительным данным, мы готовы подтвердить некоторую схожесть данного зловреда с вредоносным программным обеспечением Petya», — сообщил Набигаев.
В мае от вируса-блокировщика WannaCry пострадали более 511 тыс. компьютеров в 150 странах мира, следует из данных MalwareTech. Злоумышленникам поступило 302 платежа на сумму около $116,5 тыс. «Уроки WannaCry пострадавшими организациями так и не выучены: обновления ПО все так же устанавливаются несвоевременно, общий уровень информированности сотрудников об информационной безопасности низкий, а также зачастую присутствует некорректная конфигурация информационных систем», — говорит Эльмар Набигаев. По его мнению, пострадавшим организациям необходимо не только вовремя ставить обновления софта, но и внедрять процессы мониторинга, а также проводить регулярные аудиты безопасности.
Для борьбы с программами-шифровальщиками уже создан проект No More Ransom, на сайте которого можно найти информацию об исходящих угрозах, получить бесплатный доступ к четырем ключевым инструментам для дешифровки, подходящим для нескольких широко распространенных программ-шифровальщиков. По данным «Лаборатории Касперского», всего за 2016 год программами-шифровальщиками были атакованы 1,4 млн пользователей по всему миру.
Нашли виноватых
Версии того, кто стоит за второй масштабной атакой вируса-шифровальщика, — самые разнообразные. Депутат Верховной рады Украины, член коллегии МВД Антон Геращенко заявил в эфире телеканала «112.ua», что организатором кибератаки выступили российские спецслужбы.
«По предварительной информации, это организованная система со стороны спецслужб России. Вирус попадал на компьютеры несколько дней, даже недель, в виде разного рода сообщений на почту; пользователи, которые открывали эти сообщения, позволяли вирусу разойтись по всем компьютерам. Это еще один пример использования кибератак в гибридной войне против нашей страны», — заявил Геращенко.
Представитель «Роснефти» выразил надежду, что атака «никак не связана с текущими судебными процедурами». В Арбитражном суде Башкирии на данный момент проходит рассмотрение иска «Роснефти» и «Башнефти» к АФК «Система» на 170,6 млрд руб.
«Вряд ли злоумышленники, стоящие за атакой, находятся в России или на Украине, это слишком опасно, — сообщил РБК основатель Group-IB Илья Сачков. — Возможно, хакеры находятся в Северной Корее или Китае. Связано ли это с политикой? Может быть. Но это не похоже на кибертерроризм. Например, на атаку ИГ, после которой публикуются страшные фотографии. Варианта два: либо это банальная попытка кражи денег, либо хитрая экономическая игра на уровне государств».
