Petya: Βρέθηκε το "εμβόλιο" στη νέα κυβερνοεπίθεση

Όπως αναφέραμε εχθές, μια νέα κυβερνοεπίθεση προκάλεσε το ransomware Petya, ούτε μήνα από την επίθεση του προκάτοχου του WannaCry. Με τους ειδικούς ασφαλείας να εργάζονται πυρετωδώς από εχθές, ιδού όσα γνωρίζουμε και όσα όχι.

Άγνωστη, μέχρι τώρα, είναι η προέλευση του Petya καθώς και ο απώτερος σκοπός του. Πολλοί άνθρωποι του χώρου κάνουν λόγο για “βιτρίνα” με ένανμεγαλύτερο στόχο να κρύβεται στα παρασκήνια. Στη συγκεκριμένη δήλωση κατέληξαν, παίρνοντας ως δεδομένο πως ο κώδικας του ιού, όπως και όλο το πλαίσιο στο οποίο εμφανίστηκε, είναι πρόχειρος. Το γεγονός ότι χρησιμοποιεί την ίδια ευπάθεια με τον WannaCry, το ότι έχει πολλές “τρύπες” στον κώδικα του και ζητάει πολύ λίγα χρήματα για λύτρα κάνουν τους ειδικούς να φοβούνται ότι μάλλον κάτι άλλο κρύβεται από πίσω.

#Petya checks for preexisting infection by looking for its own filename,usually C:\windows\perfc.Creating this file may help as a killswitch pic.twitter.com/yh8O1v6CzB

— Security Response (@threatintel) June 27, 2017

Το καλό από το προγραμματιστικό “λάθος” του hacker που βρίσκεται πίσω από το ransomware, προέκυψε σήμερα, αφού οι τεχνικοί μπόρεσαν να καταλάβουν πώς λειτουργεί το κακόβουλο λογισμικό και να δημιουργήσουν μια μεθοδολογία που μπορεί να αποτρέψει την μόλυνση ενός συστήματος. Κοινώς βρήκαν το "εμβόλιο" ενάντια στο Petya, το οποίο κατά την εκκίνηση του κάνει έλεγχο για προηγούμενη μόλυνση από τον εαυτό του.

Αν ανακαλύψει πως το συγκεκριμένο μηχάνημα ήταν μολυσμένο, σταματά χωρίς οποιαδήποτε άλλη ενέργεια. Γνωρίζοντας αυτό, οι ειδικοί δείχνουν πως με τη δημιουργία ενός και μόνο αρχείου μπορεί να αποφευχθεί η μόλυνση από τον ιό.

Η παραπάνω λύση αφορά μόνο σε ένα μηχάνημα. Όπως ανέφερε και ο καθηγητής Alan Woodwand:

Για να χρησιμοποιήσουμε όρους βιολογίας, το μηχάνημα θα έχει ανοσία στον ιό, ωστόσο θα είναι ακόμα φορέας και θα μπορεί να μολύνει τους υπολογιστές που βρίσκονται στο ίδιο δίκτυο.

Πληροφορίες, όμως, υπάρχουν για το πώς ο ιός εξαπλώθηκε. Με την πρώτη αναφορά να γίνεται από το Cisco Talos Intelligence Unit, λέγεται πως το κακόβουλο λογισμικό ήρθε με ένα πακέτο αναβάθμισης του λογιστικού λογισμικού, MeDoc, που χρησιμοποιεί η Ουκρανική κυβέρνηση. Αν και η εταιρία που παράγει το λογισμικό αρνείται πως το λογισμικό της ήταν ο φορέας, όλο και περισσότερες εταιρίες ασφαλείας, όπως η Symantec, υποστηρίζουν πως αυτή είναι η αιτία.

Symantec can confirm that MEDoc software was used to seed initial infections of #petya ransomware

— Security Response (@threatintel) June 28, 2017