Řada ukrajinských firem a institucí - včetně státem vlastněné energetické společnosti nebo kyjevského letiště - hlásí napadení ransomwarem. „V důsledku tohoto útoku mají některé banky problémy s prováděním bankovních operací,“ oznámila ukrajinská centrální banka. Podle antivirové společnosti ESET jsou mezi významně postiženými zeměmi vedle Ukrajiny i Itálie, Izrael, Srbsko, ale také země střední a východní Evropy včetně České republiky. Ta je momentálně na deváté příčce žebříčku nejvíce zasažených států.
Ve stejný den hlásí problémy i řada firem ve zbytku světa. Jednou z nich je britská mezinárodní skupina WPP, sdružující desítky reklamních a PR agentur.
Apparently this is on everyone at @WPP's screens in the Sea Container's office right now #WPPhack https://t.co/5kB4lWFb8R
Ransomware Petya využívá podobného postupu, jako WannaCry
Podle Alana Woodwarda, informatika z Surrey University, jde o variantu ransomware, který je známý už z roku 2016: „Původní verze se jmenovala Petya, nová varianta si říká Petrwrap.“ Existují i další označení nové varianty, například GoldenEye.
Petya zašifruje master boot record i celý disk |
Společnost ESET tuto hrozbu detekuje jako Win32/Diskcoder.C Trojan. Když se mu podaří infiltrovat do MBR (Master boot record), hlavního spouštěcího záznamu počítače, zašifruje celý disk. „V opačném případě šifruje jednotlivé soubory, stejně jako ransomware Mischa,“ říká Robert Lipovský, analytik společnosti ESET.
RansomwareOd roku 2015 jde o nový oblíbený typ útoku na osobní počítače. Virus zašifruje data uživatele a poté po něm žádá výkupné, obvykle formou bitcoinu. Tento styl útoku je na vzestupu. Některé verze ransomware lze dekódovat zdarma, jinde se uživatelé bez zaplacení ke svým datům bez zaplacení již nedostanou. Odborníci doporučují dodržovat zásady bezpečného chování na internetu. |
Problémy podle BBC hlásí i velké firmy z Ruska, Francie, Španělska nebo Dánska. To potvrzuje i Jakub Křoustek z české antivirové firmy Avast: "Zdá se, že útoky se šíří rychle i mimo Ukrajinu a stále přibývají případy z Ruska, Indie, Francie, Španělska a Nizozemí. Útočníci požadují výkupné v bitcoinech odpovídající částce 300 amerických dolarů (téměř 7 000 korun)."
Nová verze ransomware podle zjištění jeho týmu využívá zranitelnosti EternalBlue, podobně jako virus WannaCry.
Podle Mikko Hypponena z bezpečnostní firmy F-Secure nová Petya využívá k šíření interních sítí WMIC a PSEXEC (nástroj pro vzdálenou instalaci a spouštění libovolných aplikací): „Takže i systémy, které jsou záplatované, mohou být napadeny,“ varuje.
Petya uses the NSA Eternalblue exploit but also spreads in internal networks with WMIC and PSEXEC. That's why patched systems can get hit.
Jak se před novým útokem bránit? „V rámci prevence napadení tímto ransomwarem je obecně doporučováno udržovat operační systém aktuální a instalovat veškeré bezpečnostní aktualizace,“ radí CSIRT. „Z dostupných dat o Petya ransomwaru by si uživatelé měli dát pozor na emailové přílohy typu .doc,.docx a .xls či .xlsx. Zatím známé názvy infikovaných dokumentů jsou například Order-20062017.doc a myguy.xls.“
Podobně jako u WannaCry, i tentokrát se bezpečnostním výzkumníkům podařilo najít jednorázovou záplatu, v tomto případě spíše vakcínu. Vytvořením souboru se jménem „perfc“ nebo „perfc.dat“ lze zabránit viru v napadení konkrétního počítače.
Looks like if you block C:\Windows\perfc.dat from writing/executing - stops #Petya. Is used for rundll32 import: https://t.co/iX0hoPO2Dn
Nejlepší obranou proti důsledkům útoku ransomware však nadále zůstává využívání antivirového programu, který dokáže útoky rozpoznat a blokovat, a především pravidelné pečlivé zálohování dat mimo daný počítač.
Neplaťte útočníkům, nemají přístup k poště
Většina ransomware vytváří unikátní bitcoinové peněženky pro různé transakce, čímž dojde ke spárování platby. Autoři viru Petya zvolili jinou metodu: po všech chce poslat platbu na stejnou bitcoinovou adresu. Oběť má poté podle instrukcí poslat unikátní kód instalace na e-mail wowsmith123456@posteo.net.
Tato adresa je ale již nefukční. Provozovatel Posteo ji 27. července večer zrušil: „Nebudeme tolerovat zneužívání naší platformy. Vyděrači již nemají přístup ke svému e-mailu a nemohou posílat zprávy. Stejně tak je znemožněno na tuto adresu e-maily posílat.“
Rozhodně neplaťte výkupné, k ničemu by to nebylo |
Zrušení schránky pro napadené znamená, že nemusejí řešit obvyklé dilema, zda peníze útočníkům poslat (a dostat se tak ke svým datům za cenu podpory vyděračů), nebo neposlat (a nepodpořit vyděrače, ale přijít o data). Nedozvíme se tak zřejmě ani, zda měli vůbec útočníci v plánu dekódovat zašifrovaná data. Peníze zatím do bitcoinové peněženky útočníků poslaly tři desítky lidí. Celkem zatím útočníci nasbírali 3,64 bitcoinu, tedy něco málo přes 200 tisíc Kč.
Pro oběti útoku nemá ale poslání peněz žádný význam, protože útočníci jim nemohou poslat dešifrovací klíč, ani kdyby chtěli. Tentokrát je tedy pro napadené volba jednoduchá: rozhodně výkupné neplatit, k ničemu by to nebylo.
Sčítání škod
Byla cílem útoku Ukrajina?Bezpečnostní odborníci spekulují o tom, že šlo ve skutečnosti o útočný virus (tzv. wiper), který se za ransomware pouze maskoval (více zde) |
Nejvíce úterní útok postihl Rusko s Ukrajinou. Podle Kremlu ale na ruských systémech vir mnoho škody nezpůsobil. Mluvčí ruského prezidenta Vladimira Putina řekl, že Moskva o původu viru nic neví a že nynější incident opět ukazuje, že v boji proti kybernetickému nebezpečí je nutná celosvětová spolupráce.
Ukrajinská vláda dnes rovněž oznámila, že masivní útok na počítačové sítě velkých společností, bank a státních institucí se podařilo zastavit a všechny strategické podniky fungují normálně.
Česka se útok podle NBÚ týkal spíše okrajově, státní úřady ani firmy důležité pro chod státu napadeny nebyly. Terčem byla například francouzská stavební skupina Saint-Gobain, která působí i v Česku, provoz v jejích závodech ale narušen nebyl. Napadena byla i ruská pobočka české skupiny Home Credit, která uvedla, že nepřišla o žádná klientská data a že bankovní operace ovlivněny nebyly.
Zasaženy byly i další nadnárodní firmy jako realitní společnost Real Estate francouzské banky BNP Paribas, francouzský obchodní řetězec Auchan nebo americký potravinářský koncern Mondelez, který musel kvůli výpadku počítačů zastavit provoz ve své australské továrně na cukrovinky Cadbury.
Kyberválka může mít reálné dopadyAnalýza vojenského práva a zvyklostí |
Generální tajemník NATO Jens Stoltenberg dnes v Bruselu prohlásil, že nynější útok i ten květnový, který způsobil ransomware WannaCry, ukazuje na nutnost posílení kybernetické bezpečnosti. Připomenul také loňská slova představitelů aliančních států, podle kterých by počítačový útok mohl aktivovat článek pět severoatlantické smlouvy, který napadení jednoho člena NATO považuje za útok na celý obranný pakt.
Aktualizace: Do článku jsme doplnili citace odborníků a odkazy na nové informace. Doplnili jsme informace o zrušení adresy a další detaily. Doplnili jsme informace o obraně proti viru. Doplnili jsme informace o dopadech viru. Doplnili jsme informace o vyjádření NATO.
