Рансъмуер вирусът PetnaКак да премахнем?

Рансъмуерът Petna крие няколко тайни в себе си

Вирусът Petna е алтернативно име на скорошната инвазия на зловредни вируси, носещи имена Petya/Notpetya/Expetr/PetrWrap. IT специалистите ще запомнят 27 юни като денят на световния кибер хаос. За съжаление, това е вторият случай за два месеца. Много корпорации по цял свят докладват, че са засегнати от зловредния софтуер Petya.

Веднага след появата си, онлайн медиите бяха залети от доклади, че последната версия на печално известната заплаха е нападнала виртуалната общност.

Малуерът беше наречен NotPetya. И все пак, след по-задълбочен анализ, специалистите стигнаха до извода, че това в действителност Е Petya, но програмният му код е пренаписан.

Най-новата версия на така наречения Pertya.a/Petna се държи по подобие на по-старите версии, които вместо просто да се промъкнат в системата и да криптират личните файлове, модифицират настройките за стартиране, като позволяват вместо операционната система Windows, да се стартира зловредния софтуер.

С помощта на уникалната си операционна система, заплахата кодира ценни документи. Не се забелязва тенденция да се прикрепят някакви файлови разширения. Вероятно, точно тези характеристики позволяват на вируса да създаде глобален хаос. 

Скорошни разкрития показват, че няма смисъл да се плаща откупа, тъй като един от имейл домейните на престъпниците е бил затворен, което означава, че няма да получите файловете си обратно, дори и да платите исканата сума. Затова побързайте с премахването на рансъмуера Petna. FortectIntego или MalwarebytesMalwarebytes могат да ви послужат за изпълнението на тази задача.

Вирусът се оказва нещо повече от рансъмуер

Веднага след като част от потребителите вече си помислиха, че достатъчната защита ще ги подсдсигури да избегнат същия сценарий като атаката на WannaCry, Petna показва силата си на целия свят. Атаката отекна в много страни, включително Украйна, Обединеното Кралство, САЩ, Австралия, Русия, Франция, Испания и много други.

За съжаление, светът не е научил урока си, тъй като зловредният софтуер е използвал същата системна уязвимост като WannaCry – EternalBlue и слаби SMB протоколи.

И все пак, докладите на текущите анализи на Comae Technologies и Kaspersky разкриват изключителен факт – малуерът всъщност не е крипто-вирус!

Изглежда, че зловредният софтуер в действителност е чистач на дискове (disk wiper), но специалистите забелязват, че малуерът не изтрива файлове и не поставя и специфичен идентификационен номер на компютъра на жертвата, което означава, че е почти невъзможно да възстановите файловете без да разполагате с декриптиращ ключ.

Антон Иванов (Anton Ivanov), изследовател в Kaspersky Lab, предполага, че първоначалния мотив зад вируса не са парите, а самото унищожение. Интересно е, че настоящата версия, малуерът Petna, изглежда да е програмиран от друг автор, различен от този на първата. Във всички случаи, няма смисъл да изпращате файловете, а просто да премахнете Petna.

Petna се разпространява чрез фалшива системна актуализация?

Зловредният софтуер изглежда засяга компютрите по същия начин като WannaCry – чрез системни уязвимости. И все пак, по-подробни анализи свързват основния източник на инфекцията с Украинския създател на счетоводен софтуер M.E Doc. Престъпниците хакват системата му и създават фалшива актуализация.

По този начин, всяка компания, която използва този софтуер и инсталира обновлението, също се заразява. Компанията отрича тези обвинения, въпреки че изследователите твърдят, че разполагат с лог файлове като доказателство. 

Технически погледнато, малуерът функционира чрез smbpeyta_kernel.bin, perfc.dat и други подобни файлове. В момента, най-надеждната защита от похищение на Petna, е обновлението на операционната система с инструменти за кибер сигурност. 

Премахване на зловредния софтуер

Тъй като не играе честно при плащането на откупа и възстановяването на файловете, премахването на Petna трябва да е задачата ви с най-голям приоритет. Обичайните методи на деинсталиране и премахване може и да не проработят от първия опит. Тъй като малуерът е направил промени в стартирането на системата ви, няма  да успеете просто да стартирате антивирусните си инструменти. Затова дадените по-долу инструкции може да са ви от полза. 

Имайте предвид, че зловредният софтуер може да се зареди преди операционната система Windows, затова ще трябва да натиснете F8 или F2 веднага след като се появи първоначалното лого на Windows, за да стартирате Разширени настройки на стартиране (Advanced Boot settings). Там трябва да изберете Безопасен режим (Safe Mode) или Системно възстановяване (System Restore), за да премахнете вируса Petna.