Жертвы последней крупной кибератаки, которая была проведена с помощью вируса-вымогателя Petya не смогут вернуть свои файлы. Об этом говорится в записи на официальном сайте «Лаборатории Касперского».
Эксперты лаборатории, проведя анализ той части вируса Petya, которая связана с шифрованием файлов, выяснили, что после заражения и шифрования жесткого диска «у создателей вируса уже нет возможности расшифровать его обратно».
Для расшифровки необходим уникальный идентификатор конкретной установки трояна, который не предусмотрен в этой версии вируса Petya. В других версиях шифровальщиков идентификатор содержал нужную для расшифровки информацию,
«Это означает, что создатели зловреда не могут получать информацию, которая требуется для расшифровки файлов. Иными словами, жертвы вымогателя не имеют возможности вернуть свои данные», — говорится в сообщении.
В «Лаборатории Касперского» эту версию вируса Petya назвали Expetr (aka NotPetya).
Кибератака вируса, который изначально был идентифицирован как Petya.A, произошла 27 июня. Предполагалось, что вирус блокировал компьютерные системы компаний, требуя за разблокировку данных сумму в биткоинах, эквивалентную $300.
Как стало известно 29 апреля, создатели вируса заработали на нем всего четыре биткоина или около $10 тыс. В «Лаборатории Касперского» опосредованно заявляли, что «служба e-mail, услугами которой пользовались злоумышленники, заблокировала почтовые адреса, на которые должны приходить данные об уплате выкупа».
Наибольшее число жертв от кибератаки в России и на Украине. В Киеве пострадали компьютерная система украинского правительства, аэропорт Борисполь, «Укрпочта», «Укртелеком», Министерство инфраструктуры, ряд банковских структур. В России под атаку попали компьютерные системы «Роснефти» и «Башнефти», а также Банка Хоум Кредит.
Впоследствии появлялись сообщения о распространении вируса в Италии, Израиле, Сербии, Румынии, США, Литве, Венгрии, а также Польше, Аргентине, Чехии, Германии и России.
В «Лаборатории Касперского» ранее заявляли, что вирус относится к новому семейству вредоносного программного обеспечения, не упоминая о возможной потере данных. Тогда в лаборатории говорили, что планируют создать специальный инструмент-дешифратор, с помощью которого можно будет расшифровывать данные.
Стоит сказать, что с самого начала атак некоторые исследователи предполагали, что Petya далеко не так прост, как кажется. В частности многим казалось странным, что операторы шифровальщика предусмотрели всего один биткоин-кошелк для перечисления выкупов, да еще и жестко прописали его в код вредоноса. Не менее странным выглядело и создание единственного почтового адреса на Posteo, потому как его оперативную блокировку можно без труда предвидеть. Словом, новая версия Petya, взявшая на вооружение эксплоиты АНБ ETERNALBLUE и ETERNALROMANCE, мало походит на классическую «машину для генерации денег», каковой обычно и являются вымогатели.
«Несмотря на значительное количество одинакового кода, оригинальный Petya был криминальным предприятием для заработка денег. Эта [новая версия] определенно создана не с целью заработать денег. Она создана, чтобы быстро распространяться и причинять ущерб, и действует под правдоподобным прикрытием, как вымогатель», — пишет известный ИБ-специалист The Grugq.
Теперь теории экспертов начинают подтверждаться. Специалисты «Лаборатории Касперского» и исследователь Comae Technologies Мэтью Сюиш (Matt Suiche) пришли к выводу, что Petya вообще некорректно называть шифровальщиком. Дело в том, что вредонос, по сути, создан для уничтожения информации, — восстановить пострадавшие данные мало реально, и это не ошибка, а замысел авторов малвари. Поэтому Petya скорее следует называть вайпером (wiper),
Исследователи «Лаборатории Касперского» объясняют, что каждой зараженной машине Petya присваивает собственный ID, однако данный ID не передается на управляющий сервер (Petya вообще не имеет таковых) и не содержит в себе никакой ценной информации, которая позже помогла бы злоумышленникам «опознать» жертву и предоставить ей ключ для расшифровки файлов.
Как новая версия Petya генерирует ID, показано на иллюстрациях ниже. Малварь использует для этого функцию CryptGenRandom, то есть генерирует случайную последовательность ничего не значащих символов. Такой ID не несет в себе ровным счетом никакой информации, создается лишь для отвода глаз и точно не поможет расшифровать файлы. Таким образом, платить выкуп бесполезно не только из-за того, что Posteo заблокировал почтовый ящик преступников.
В своем отчете Мэтью Сюиш сравнивает Petya с другим известным вайпером, Shamoon. Исследователь сообщает, что зашифрованные Petya диски практически невозможно восстановить. Сравнив Petya образца 2016 года с новой версией, эксперт не мог не заметить существенную разницу: новая версия намеренно уничтожает первые 25 секторов на диске. Первый сектор диска шифруется с помощью XORс 0x07, после чего сохраняется в другом секторе и заменяется кастомным загрузчиком. Но все 24 следующие за ним сектора перезаписываются намеренно и нигде не сохраняются.
Petya 2017 слева и Petya 2016 справа
Оригинальный Petya тоже производил похожие операции, однако он действительно мог обратить все сделанные изменения, тогда как новый Petya повреждает данные умышленно и гораздо серьезнее.
Разработчик САПР «Нанософт» планирует провести IPO до конца апреля. Компания рассчитывает привлечь около 3 млрд рублей. О намерении выйти на биржу сообщили РБК два источника на финансовом рынке.
По информации издания, «Нанософт» уже определила банки-организаторы размещения и нацелена на привлечение порядка 3 млрд рублей.
Партнёр фонда «Восход» Артур Мартиросов отметил, что компания может привлечь от 2 до 4 млрд рублей. Однако окончательное решение фонд примет только после согласования всех условий сделки.
Инвестиционный стратег УК «Арикапитал» Сергей Суверов считает, что именно ИТ-компании будут наиболее привлекательны для инвесторов благодаря высокой рентабельности и относительно низкой налоговой нагрузке.
Что касается сегмента инженерного ПО, то, по прогнозам Strategy Partners, он будет расти в среднем на 16% в год как минимум в течение следующих пяти лет. При этом среди российских компаний данного профиля пока ни одна не проводила IPO. Основным риском для «Нанософта», по мнению опрошенных РБК экспертов, может стать возможный отказ государства от политики импортозамещения и возвращение на рынок иностранных игроков.
Директор по работе с состоятельными клиентами «БКС Мир инвестиций» Андрей Петров выразил осторожный скепсис, сославшись на неудачное IPO JetLend. Он указал на высокую рыночную волатильность и текущую геополитическую обстановку как на сдерживающие факторы.
«Компания динамично развивается и постоянно изучает возможности для дальнейшего роста. Публичный статус, помимо привлечения средств инвесторов, откроет дополнительные перспективы для партнёрств и укрепит наш корпоративный бренд», — прокомментировал возможное размещение генеральный директор «Нанософта» Андрей Серавкин.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
