Мощный вирус поразил IT-системы крупного банка и металлургической компании Evraz
Клон вируса-вымогателя Wanna Cry Petya, шифрующий содержимое жесткого диска, а после требующий выкуп за расшифровку поразил IT-системы банка «Хоум Кредит» и металлургической компании Evraz, в том числе и в Новокузнецке.
Корреспонденту "Прокопьевск.ру" сообщили сотрудники Evraz, что работа предприятия нарушена. Специалисты пытаются восстановить систему.
По последним данным Group-IB, накануне от вируса пострадали уже более 80 компаний и ведомств в России и на Украине. Кроме того, о сбоях в работе своих систем сообщила датская компания Maersk.
В частности, жертвами хакеров стали «Роснефть»и «Башнефть», российский офис. На Украине вирус заразил компьютеры кабмина, метро Киева, энергетических компаний, аэропорта «Борисполь». Об этом сообщает ФАН .
Портал "Медуза" подробно описывает, как работает вирус, а также путь заражения. Предалагем вам материал.
Наиболее подробно механизм работы вирусов-вымогателей был описан еще в апреле 2016 года в блоге компании Malwarebytes Labs. Тогда вирус распространялся как письмо с резюме сотрудника: по клику на него открывалась Windows-программа, требовавшая прав администратора. Если невнимательный пользователь соглашался, то программа-установщик переписывала загрузочную область жесткого диска и показывала «синий экран смерти»: сообщение о сбое, предлагающее перезагрузить компьютер.
На этой стадии, как пишут исследователи, жесткий диск еще не зашифрован, и данные можно спасти — например, если выключить компьютер и подключить жесткий диск к другому, но не загружаться с него. В этой ситуации все данные можно будет скопировать.
После перезагрузки Petya запускает программу, маскирующуюся под утилиту CHKDSK. На самом деле она не проверяет жесткий диск на предмет ошибок, а шифрует его, причем, как установили исследователи из Malwarebytes Labs, не целиком, а лишь частично. В «Лаборатории Касперского» в конце марта 2016 года утверждали, что метод шифрования, применяемый в Petya, позволяет с помощью специалистов восстановить все данные.
После завершения шифрования компьютер показывает красный экран с сообщением «Вы стали жертвой вируса-вымогателя Petya» и предложением заплатить 300 долларов в биткоинах. Подробная инструкция, как купить необходимую сумму в биткоинах и как ее перечислить, содержалась на сайте в «дарквебе».
Судя по скриншотам современной версии Petya, теперь никакого сайта и подробной инструкции нет: зараженным пользователям предлагается написать на указанный почтовый адрес и в обмен на доказательство перечисления средств получить код для расшифровки жесткого диска.
Исследователи отмечают, что часть Petya, отвечающая за блокировку доступа, перехватывает управление компьютером на самом раннем этапе загрузки. Она написана высококвалифированными программистами.
С начала 2016 года Petya неоднократно видоизменялся. Существуют версии с желтым оформлением экрана с требованием выкупа, существуют и такие, где название вируса не указывается.
Как именно работает и распространяется та версия Petya, с которой столкнулись пользователи 27 июня, пока не сообщается. Судя по масштабу заражения, вирус доработан и имеет какую-то более сложную систему распространения. На Github уже появилась ссылка на один из биткоин-кошельков, который собирает деньги с зараженных вирусом компьютеров. На момент написания текста «Медузы» на него перечислили чуть более 2300 долларов.
Наиболее простой метод защиты от Petya и аналогичных вирусов-вымогателей — не кликать на вложения в подозрительных письмах от людей, которых вы не знаете.
Иточник на предприятии сообщил в редакцию о том, что работа основных цехов ЕВРАЗ-ЗСМК парализована из-за неполадок с компьютерами. Технологические ПК основных цехов оказались заражены компьютерным вирусом WannaCry.
WannaCry - это вирус-вымогатель, который шифрует данные, находящиеся в памяти компьютера и требует деньги за разблокировку.
Как сообщает пресс-служба компании Positive Technologies , специализирующейся на информационной безопасности, за последний месяц от массовой ransomware-атаки WannaCry по всему миру пострадали тысячи пользователей по всему миру. Среди пострадавших крупные международные компании, правительственные учреждения и, конечно, рядовые пользователи Интернета. Охват заражения превысил планку в 200 тысяч машин и, судя по всему, продолжит расти. Атаки зарегистрированы в 150 странах мира, Россия также в числе пострадавших. Есть информация о попытках заражения в нескольких организациях — «Мегафоне», «ВымпелКоме», Сбербанке, «РЖД», Минздраве, МЧС и МВД. Атака оказалась столь масштабной, что Microsoft выпустила соответствующее обновление даже для ОС Windows XP, поддержка которой приостановлена с 2014 года. Для распространения WannaCry используется ETERNALBLUE-эксплойт для ОС Windows из утекшего в сеть набора группировки Shadow Brokers. Стоит отметить, что обновление, устраняющее данную уязвимость, было выпущено еще в марте, то есть за два месяца до этой атаки. Злоумышленники (к слову, получившие на текущий момент порядка 90 тысяч долларов, судя по выплатам на биткойн-кошельки) уже успели выпустить несколько модификаций вредоноса. Вероятно, в определенной степени это связано с преждевременной регистрацией домена-выключателя специалистом по кибербезопасности. Такой шаг замедлил распространение вредоноса на несколько часов. Над решением проблемы расшифровки файлов без оплаты «услуг» распространителей блокера бьются многие специалисты. Ряд компаний уже представили разбор принципа действия WannaCry, распространяемого через SMB и далее заражающего рабочие станции в ЛВС.
Про небезопасность использования SMBv1 известно уже достаточно давно. Патч для устранения уязвимости вышел три месяца назад. Про утечку эксплойт-пака группировки Shadow Brokers говорили буквально везде. О необходимости использования резервных копий не слышал только человек, никогда не пользовавшийся Интернетом. Казалось бы, в таких условиях никакой эпидемии и вовсе не должно быть, но увы. Все говорит о безответственном отношении администраторов, специалистов по безопасности и, в определенной степени, о неосведомленности пользователей в вопросах ИБ. Результаты исследований компании Positive Technologies подтверждают распространенную проблему использования уязвимых версий ПО в корпоративной инфраструктуре. При этом, как показала эпидемия WannaCry, защищенность системы не зависит от отрасли компании, что в целом подтверждается и имеющейся аналитикой. Атакам через уязвимости устаревшего ПО в равной степени подвержены системы промышленных компаний, ИТ, телекома, финансового сектора и государственные учреждения.
Москва, 28 июня - "Вести.Экономика". Вирус-вымогатель Petya оказался мощнее и опаснее недавно нашумевшего WannaCry. Сначала пострадали компании в России и на Украине, но вирус распространился уже по всей планете.
Forbes со ссылкой на экспертов по кибербезопасности пишет, что из-за особенностей распространения и отличия от уже известных программ новый вирус опаснее аналогичных, поэтому распространяется он еще быстрее, а "волшебного рубильника", как это было в случае с WannaCry, нет.
При этом WannaCry атаковал более 200 тыс. пользователей в 150 странах мира, а в оценках ущерба специалисты до сих пор не могут сойтись, но речь идет о сотнях миллиардов долларов.
Примечательно, что атака вируса Petya была нацелена на инфраструктурные компании: нефтяные, телекоммуникационные и финансовые компании России и Украины. В других странах также были атакованы крупные компании, в том числе логистические.
Россия
"Роснефть" и "Башнефть"27 июня "Роснефть" заявила о "мощной хакерской атаке" на свои серверы. По факту кибератаки компания обратилась в правоохранительные органы.
По словам Михаила Леонтьева, хакерская атака могла привести к серьезным последствиям, однако благодаря тому, что компания перешла на резервную систему управления производственными процессами, ни добыча, ни подготовка нефти не остановлены.
"Ведомости" отмечают, что компьютеры в "Башнефти" не работают, также не открывался сайт "Роснефти".
Целью хакеров при атаке на серверы "Роснефти" могла быть информация, важная для судебных процессов, в которых участвует компания, заявил пресс-секретарь "Роснефти" Михаил Леонтьев.
"Если смотреть на рациональные мотивы, которые могли быть у хакеров, то, тем не менее, нельзя не заметить, что таким рациональным мотивом было бы "убить" компьютеры "Башнефти", в которых содержится большое количество информации о деятельности "Башнефти" в период владения ею предыдущими собственниками", - сказал Леонтьев, которого цитирует портал БФМ.
Еvraz
Информационная система Evraz также подверглась хакерской атаке.
"Информационная система Evraz подверглась хакерской атаке. Основные производства продолжают работу, угрозы безопасности предприятий и сотрудников нет", - отметили в пресс-службе.
Mondelez
Проблемы из-за хакерской атаки возникли у российского подразделения компании Mondelez, которая, в частности, производит шоколадки Alpen Gold и Milka.
Банки
Атаке подверглись системы банка "Хоум Кредит", но в ЦБ не исключили, что также пострадавшими могут быть и другие банки.
Украина
Утром 27 июня были поражены компьютеры крупнейших украинских энергетических компаний.В "Киевэнерго" подтвердили факт поражения вирусом, отметив, что персонал вынужден был выключить все компьютеры.
Из-за низкой ликвидности атака не нашла своего отражения в котировках акций.
Позже факт атаки подтвердили в правительстве Украины. Вирусом оказались заражены системы "Ощадбанка", "Новой почты", аэропорта "Борисполь" и метрополитена в Киеве.
Другие страны
В Великобритании от Petya пострадала крупная рекламная компания WPP .Причиной масштабной атаки на нефтяные, телекоммуникационные и финансовые компании в России и на Украине стал вирус-шифровальщик Petya. Атаке, начавшейся сегодня около 14:00, подверглись уже десятки компаний. Вирус блокирует компьютеры и требует $300 в биткойнах. Он распространяется по всему миру и, по данным «Лаборатории Касперского», уже затронул «огромное количество стран».
Как сообщили “Ъ” в компании по предотвращению и расследованию киберпреступлений и мошенничеств Group-IB, криптолокер Petya распространяется аналогично вирусу WannaCry. Среди жертв кибератаки оказались сети российских «Башнефти», «Роснефти», украинских «Запорожьеоблэнерго», «Днепроэнерго» и Днепровской электроэнергетической системы. Также в России атаке подверглись Mondelez International, Mars и Nivea. Помимо этого, по данным Group-IB, на Украине были атакованы правительственные компьютеры, Киевский метрополитен, магазины «Ашан», операторы связи («Киевстар», LifeCell, «Укртелеком»), Приватбанк, Чернобыльская АЭС и, предположительно, аэропорт Борисполь.
Представитель «Роснефти» Михаил Леонтьев сообщил “Ъ”, что атака была очень мощной и, если бы производственные подразделения не были сразу переведены на резервные системы управления, ущерб мог бы быть значительным. «В результате сейчас все производственные активы работают в штатном режиме и в этом сегменте ущерба не было никакого»,- подчеркнул Михаил Леонтьев. Один из собеседников “Ъ” в центральном аппарате «Роснефти» говорит, что не заметил признаков вируса. «После сообщений об атаке нас попросили выключить компьютеры»,- отметил он. Другой источник “Ъ”, близкий к «Роснефти», сообщил, что в ряде дочерних структур компании, в том числе в Уральском федеральном округе, компьютеры сотрудников были заблокированы всплывающими вирусными окнами.
Источник “Ъ” в ЛУКОЙЛе сообщил, что системы работают в штатном режиме. «Сотрудников предупредили не открывать письма с незнакомых адресов и подозрительные вложения»,- сказал он.
Представитель Evraz сообщил, что информационная система компании подверглась атаке, но основные производства продолжают работу. «Угрозы безопасности предприятий и сотрудников нет»,- отметил он.
Центробанк (ЦБ) также выявил случаи заражения IT-систем российских кредитных организаций в результате хакерской атаки. «По информации Банка России, в результате атак зафиксированы единичные случаи заражения объектов информационной инфраструктуры. Нарушений работы систем банков и нарушений предоставления сервисов клиентам не зафиксировано»,- приводит RNS заявление ЦБ.
В российском Mars хакерская атака затронула работу подразделения Royal Canin. Его представитель сказал “Ъ”, что «есть определенные сложности в работе IT». «У нас не работают компьютеры. С проблемой разбираются специалисты»,- уточнил он. В Mondelez International подтвердили, что сотрудники компании столкнулись с технологическими проблемами, которые затронули не только российское представительство, но и европейские филиалы. «На данный момент мы не можем прокомментировать подробности возникшей ситуации и работаем над решением проблемы»,- сообщили в пресс-службе.
Банк «Хоум кредит» приостановил обслуживание клиентов в связи с хакерской атакой. В пресс-службе банка сообщили, что в настоящее время все отделения работают по обычному графику, но в консультационном режиме, клиентские операции в отделениях сейчас проводить нельзя, банкоматы и колл-центр работают. Сайт банка недоступен.
По информации «Лаборатории Касперского», вирус-вымогатель Petya распространился по всему миру. Об этом заявил руководитель международной исследовательской команды «Лаборатории Касперского» Костин Райю в своем микроблоге в Twitter . «Вирус Petya с контактным адресом [email protected] распространяется во всем мире, огромное количество стран затронуто»,- сообщил он.
Несколько европейских компаний уже сообщили о кибератаках на свои компьютеры. Среди них - британская рекламная фирма WPP, голландская транспортная компания APM, датская компания A.P. Moller-Maersk, а также одна из международных компаний в Норвегии. Кроме того, атакам подверглись серверы представительств международных компаний Mondelēz International и DLA Piper в Испании, их компьютерные системы полностью выведены из строя.
Антивирусная компания Dr. Web провела исследование проведенных кибератак. В компании заявили , что, несмотря на проведенные в СМИ параллели с вирусом-вымогателем Petya, поразивший компьютеры ряда компаний России и Украины вирус отличается по способу распространения от Petya. Как и предыдущий вирус WannaCry, троянец распространяется самостоятельно, однако точных данных о способе его распространения и названии пока нет, сообщили в Dr. Web.
Генеральный директор «1С-Битрикс» Сергей Рыжиков в эфире "Ъ FM": «Нельзя написать антивирус, который защищает абсолютно от всех вирусов. Делается модификация вируса, и она получает некоторую фору в течение нескольких дней, пока антивирусы не выпустят соответствующих обновлений. Все это возможно, потому что есть экономическая выгода: создавая клоны вирусов, у преступников есть возможность получить эти деньги через биткоин. А если есть возможность получить и не быть наказанными, то эта история будет продолжаться неоднократно. Есть один надежный способ не заразиться - это навсегда отключиться от интернета, и то гарантии абсолютной нет, потому что что-то в этот компьютер будет втыкаться – те же флешки, - и это создает определенные риски».
Юлия Тишина, Олег Трутнев, Дмитрий Козлов, Анатолий Джумайло, Ольга Мордюшенко
