Специалисты СБУ рассказали, как уберечься от вируса Petya.A
СБУ заявила о невозможности восстановить данные компьютеров, которые атакованы вирусом Petya.A
Вирус Petya. A, положивший сегодня множество сайтов по всей Украине, заражал компьютеры в основном через открытие документов Word, PDF-файлов, направленных на электронные адреса коммерческих и государственных структур. Об этом сообщает Служба безопасности Украины на официальном сайте.
Напомним, ведущие специалисты по кибербезопасности, не исключают повторения подобной атаки в будущем. А в СНБО заявили о ее российском следе.
«Атака, основной целью которой было распространение шифровальщика файлов Petya.A использовала сетевую уязвимость MS17-010, в результате эксплуатации которой на инфицированную машину устанавливался набор скриптов, используемых злоумышленниками для запуска упомянутого шифровальщика файлов», — сообщает СБУ.
Вирус атаковал компьютеры под управлением ОС Microsoft Windows путем шифрования файлов пользователя, после чего выводит сообщение о преобразовании файлов с предложением произвести оплату ключа дешифрования в биткоинах (по курсу сумму в $300) для разблокировки данных.
«На сегодня зашифрованные данные, к сожалению, расшифровке не подлежат», — сообщили в СБУ.
СБУ советует не перезапускать компьютер, который может быть инфицирован, и сохранить все наиболее ценные файлы на отдельный не подключенный к компьютеру носитель, а в идеале создать резервную копию операционной системы вместе со всеми файлами.
Также в СБУ советуют не пренебрегать рекомендациями антивирусных компаний.
С уже пораженного ПК (не загружается) нужно собрать MBR для дальнейшего анализа
Собрать его можно по следующей инструкции:
«A). Загружайте с ESET SysRescue Live CD или USB (создание в описано в п.3)
b). Согласитесь с лицензией на пользование
c). Нажмите CTRL + ALT + T (откроется терминал)
d). Напишите команду «parted -l» без кавычек, параметр этого маленькая буква «L» и нажмите
e). Смотрите список дисков и идентифицируйте пораженный ПК (должен быть один из / dev / sda)
f). Напишите команду «dd if = / dev / sda of = / home / eset / petya.img bs = 4096 count = 256» без кавычек, вместо «/ dev / sda» используйте диск, который определили в предыдущем шаге и нажмите (Файл / home / eset / petya.img будет создан)
g). Подключите флешку и скопируйте файл /home/eset/petya.img
h). Компьютер можно выключить «.
В компании ISSP, которая занимается кибербезопасностью, исследуют сегодняшнюю атаку и уже готовы делиться промежуточными выводами. По мнению экспертов ISSP Labs, сама атака началась ориентировочно в марте-апреле 2017 года с изучения инфраструктуры, перехвата паролей, административно-технологических учетных записей.
По словам Олега Деревянко, главы совета директоров ISSP, такие атаки называются APT-атаками (APT — advanced persistence threat, то есть, стойкие угрозы высокого уровня). Хакеры проникают и находятся внутри сетей длительное время, изучают их, мимикрируют в среде информационных систем, устанавливают дополнительные бэкдоры и «спящих агентов». После очередной активной фазы они возвращаются и в нужное время запускают финальную фазу атаки, направленную или на вывод систем из строя, или на эксфильтрацию данных.
В настоящий момент проходит финальная стадия кибератаки, известная в модели ThreatSCALE, как Clean up, отмечают эксперты ISSP Labs. На этой стадии выполняются уничтожение MBR (главная загрузочная запись — код и данные, нужные для загрузки системы — ред.) и шифрование диска.
«Специалистам по информационной безопасности и IT-специалистам компаний настоятельно рекомендуем в случае успешного восстановления загрузочной области (MBR) срочно собрать log-записи и проанализировать их с помощью экспертов для выяснения действительной причины и способа первоначального проникновения злоумышленников», — советуют в компании.
Подпишитесь на новости
Коментарі (0)