Petya Malware vạch trần các lỗ hổng phần mềm máy tính

Gần đây, một số tổ chức ở cả châu Âu và Mỹ đã bị quỳ gối bởi một cuộc tấn công bằng đồng tiền mới gọi là" Petya. "Đây là một phần mềm độc hại, đã được tìm thấy thông qua một số công ty lớn bao gồm Mondelez, một công ty thực phẩm, WPP, một nhà quảng cáo, Maersk, một công ty hậu cần của Đan Mạch, và DLA Piper, một công ty luật. Tất cả các công ty này đã có kinh nghiệm máy tính và dữ liệu khóa up, và được yêu cầu phải trả một khoản tiền chuộc để truy cập.

Cuộc tấn công này gây phiền hà vì đây là vụ tấn công bằng đồng rensomware lớn thứ hai trong hai tháng, gây ảnh hưởng đến các công ty trên khắp thế giới. Bạn có thể nhớ rằng vào tháng Năm, Dịch vụ Y tế Quốc gia, NHS, ở Anh, đã bị nhiễm phần mềm độc hại có tên WannaCry. Chương trình này đã ảnh hưởng đến NHS và nhiều tổ chức khác trên toàn cầu. WannaCry lần đầu tiên được tiết lộ cho công chúng khi các tài liệu rò rỉ liên quan đến NHS đã được phát hành trực tuyến bởi các hacker được biết đến với cái tên Shadow Brokers vào tháng Tư.

Phần mềm WannaCry, còn được gọi là WannaCrypt, đã ảnh hưởng tới hơn 230.000 máy tính, được đặt tại hơn 150 quốc gia trên toàn cầu. Ngoài NHS, Telefonica, một công ty điện thoại Tây Ban Nha, và các đường ray nhà nước ở Đức cũng bị tấn công.

Tương tự như WannaCry, "Petya" nhanh chóng lan rộng khắp các mạng sử dụng Microsoft Windows. Tuy nhiên, câu hỏi đặt ra là nó là gì? Chúng tôi cũng muốn biết lý do tại sao nó xảy ra và làm thế nào nó có thể được dừng lại.

Ransomware là gì?

Điều đầu tiên bạn phải hiểu là định nghĩa của ransomware. Về cơ bản, ransomware là bất kỳ loại phần mềm độc hại nào hoạt động để chặn truy cập của bạn vào máy tính hoặc dữ liệu. Sau đó, khi bạn cố truy cập vào máy tính hoặc dữ liệu trên máy tính đó, bạn không thể truy cập vào máy tính đó trừ khi bạn phải trả tiền chuộc. Khá khó chịu, và hết sức ý nghĩa!

Ransomware làm việc như thế nào?

Cũng cần phải hiểu cách hoạt động của ransomware. Khi máy tính bị nhiễm ransomware, nó sẽ được mã hóa. Điều này có nghĩa là các tài liệu trên máy tính của bạn sau đó bị khoá và bạn không thể mở chúng mà không phải trả tiền chuộc. Để làm phức tạp hơn nữa mọi thứ, tiền chuộc phải được thanh toán bằng Bitcoin, chứ không phải tiền mặt, cho một chìa khóa kỹ thuật số mà bạn có thể sử dụng để mở khóa các tệp. Nếu bạn không có bản sao lưu các tệp của mình, bạn có hai lựa chọn: bạn có thể trả tiền chuộc, thường là vài trăm đô la cho vài nghìn đô la, hoặc bạn mất quyền truy cập vào tất cả các tệp của mình.

Công việc Ransomware "Petya" hoạt động như thế nào?

Giá chuộc "Petya" hoạt động giống như hầu hết tiền chuộc. Nó mất hơn một máy tính, và sau đó yêu cầu $ 300 trong Bitcoin. Đây là một phần mềm độc hại lây lan nhanh chóng qua mạng hoặc tổ chức khi một máy tính bị nhiễm.Phần mềm đặc biệt này sử dụng lỗ hổng EternalBlue, là một phần của Microsoft Windows. Mặc dù Microsoft đã phát hành bản vá cho lỗ hổng, nhưng không phải ai cũng đã cài đặt nó. Các ransomware cũng có khả năng lây lan qua Windows công cụ hành chính, có thể truy cập nếu không có mật khẩu trên máy tính. Nếu phần mềm độc hại không thể theo một cách nào đó, nó sẽ tự động thử một cách khác, đó là cách nó đã lan rộng nhanh chóng giữa các tổ chức này.

Như vậy, "Petya" dễ lây lan hơn WannaCry, theo các chuyên gia bảo mật trên mạng.

Có cách nào để tự bảo vệ mình khỏi "Petya? "

Có lẽ bạn đang tự hỏi tại thời điểm này nếu có bất cứ cách nào để tự bảo vệ mình khỏi" Petya. "Hầu hết các công ty chống virus lớn đều khẳng định rằng họ đã cập nhật phần mềm của họ để giúp không chỉ phát hiện, mà còn để bảo vệ chống lại sự lây nhiễm phần mềm độc hại" Petya ". Ví dụ, phần mềm Symantec cung cấp sự bảo vệ từ "Petya", và Kaspersky đã cập nhật tất cả phần mềm của mình để giúp khách hàng tự bảo vệ mình tránh khỏi phần mềm độc hại. Trên hết, bạn có thể tự bảo vệ mình bằng cách giữ cho Windows cập nhật. Nếu bạn không làm bất cứ điều gì khác, ít nhất hãy cài đặt bản vá quan trọng mà Windows phát hành hồi tháng 3, nhằm bảo vệ chống lại lỗ hổng EternalBlue này. Điều này ngăn cản một trong những cách chính để bị nhiễm bệnh, và nó cũng bảo vệ chống lại các cuộc tấn công trong tương lai.

Một tuyến phòng vệ khác cho vụ bùng phát phần mềm độc hại "Petya" cũng có sẵn, và nó chỉ mới được phát hiện gần đây. Phần mềm độc hại kiểm tra ổ C: cho tệp tin chỉ đọc có tên perfc. dat. Nếu phần mềm độc hại tìm thấy tập tin này, nó không chạy mã hóa. Tuy nhiên, ngay cả khi bạn có tập tin này, nó không thực sự ngăn chặn được sự lây nhiễm phần mềm độc hại. Nó vẫn có thể lây lan phần mềm độc hại sang các máy tính khác trên mạng ngay cả khi người dùng không nhận thấy nó trên máy tính của họ.

Tại sao loại Malware này được gọi là "Petya? "

Bạn cũng có thể tự hỏi tại sao phần mềm độc hại này được đặt tên là" Petya. "Trên thực tế, nó không phải là kỹ thuật gọi là" Petya. "Thay vào đó, có vẻ như chia sẻ rất nhiều mã với một mảnh ransomware cũ được gọi là" Petya. Tuy nhiên, trong vài giờ sau vụ bùng phát ban đầu, các chuyên gia an ninh ghi nhận rằng hai vụ phá giá này không giống như lần đầu tiên được nghĩ đến. Vì vậy, các nhà nghiên cứu tại Kaspersky Lab đã bắt đầu đề cập đến phần mềm độc hại là "NotPetya" (đó là bản gốc!) Cũng như các tên khác bao gồm "Petna" và "Pneytna. "Ngoài ra, các nhà nghiên cứu khác gọi chương trình này là" Goldeneye "mà Bitdefender, từ Romania, bắt đầu gọi nó là" Goldeneye ". Tuy nhiên, "Petya" đã bị mắc kẹt.

Bắt đầu "Petya" ở đâu?

Bạn đang tự hỏi nơi "Petya" bắt đầu? Nó dường như đã bắt đầu thông qua một cơ chế cập nhật từ phần mềm được xây dựng trong một chương trình kế toán nhất định. Các công ty này đã làm việc với chính phủ Ucraina và yêu cầu của chính phủ để sử dụng chương trình này đặc biệt. Đây là lý do tại sao rất nhiều công ty ở Ukraine đã bị ảnh hưởng bởi điều này.Các tổ chức bao gồm các ngân hàng, chính phủ, hệ thống tàu điện ngầm của Kiev, sân bay Kiev chính, và các tiện ích điện của nhà nước.

Hệ thống giám sát mức độ bức xạ ở Chernobyl cũng bị ảnh hưởng bởi giá chuộc và cuối cùng được đưa vào ngoại tuyến. Điều này buộc nhân viên sử dụng các thiết bị cầm tay cầm tay để đo bức xạ trong khu vực loại trừ. Trên hết, đã có một đợt lây nhiễm phần mềm độc hại thứ hai được tạo ra bởi chiến dịch chứa các tệp đính kèm e-mail, chứa đầy phần mềm độc hại.

Mức độ nhiễm trùng "Petya" lan tràn đến mức nào?

Phần thưởng chuộc "Petya" đã lan rộng và đã làm gián đoạn hoạt động kinh doanh của các công ty ở cả Mỹ và châu Âu. Ví dụ, WPP, công ty quảng cáo ở Mỹ, Saint-Gobain, một công ty vật liệu xây dựng ở Pháp và cả Rosneft và Evraz, các công ty dầu khí ở Nga cũng bị ảnh hưởng. Một công ty của Pittsburgh, Heritage Valley Systems, cũng bị ảnh hưởng bởi phần mềm độc hại "Petya". Công ty này điều hành các bệnh viện và cơ sở chăm sóc khắp khu vực Pittsburgh.

Tuy nhiên, khác với WannaCry, phần mềm độc hại "Petya" cố gắng lây lan nhanh chóng thông qua mạng mà nó truy cập, nhưng nó không cố gắng lây lan ra bên ngoài mạng. Thực tế này thực sự đã giúp ích cho nạn nhân của phần mềm độc hại này, vì nó đã hạn chế sự lây lan của nó. Vì vậy, có vẻ như có sự giảm xuống trong bao nhiêu trường hợp nhiễm mới đã được nhìn thấy.

Động cơ thúc đẩy cho những kẻ phạm tội có khả năng "Petya? "

Khi" Petya "được phát hiện ban đầu, có vẻ như sự bùng nổ của phần mềm độc hại chỉ đơn giản là một nỗ lực của một tội phạm mạng để tận dụng các vũ khí không gian mạng trực tuyến bị rò rỉ. Tuy nhiên, khi các chuyên gia bảo mật xem xét kỹ lưỡng hơn khi phát tán phần mềm độc hại "Petya", họ nói rằng một số cơ chế, chẳng hạn như phương thức thanh toán được thu thập, khá là nghiệp dư, do đó họ không tin rằng tội phạm mạng nghiêm trọng đang đứng sau nó.

Trước tiên, thông tin về tiền chuộc đi kèm với phần mềm độc hại "Petya" bao gồm địa chỉ thanh toán chính xác giống nhau cho mọi nạn nhân phần mềm độc hại. Điều này là lạ vì những thuận lợi tạo ra một địa chỉ riêng cho mỗi nạn nhân của họ. Thứ hai, chương trình yêu cầu nạn nhân trực tiếp liên lạc với kẻ tấn công thông qua một địa chỉ email cụ thể, ngay lập tức bị ngưng khi phát hiện ra rằng địa chỉ email đã được sử dụng cho nạn nhân "Petya". Điều này có nghĩa là ngay cả khi một người trả tiền chuộc 300 đô la Mỹ, họ không thể giao tiếp với kẻ tấn công, và hơn nữa, họ không thể truy cập khóa giải mã để mở khóa máy tính hoặc các tệp tin của họ.

Ai là kẻ tấn công, vậy thì sao?

Các chuyên gia bảo mật Cyber ​​không tin rằng tội phạm mạng chuyên nghiệp là đằng sau phần mềm độc hại "Petya", vì vậy ai? Không ai biết tại thời điểm này, nhưng có thể người hoặc những người phát hành nó muốn phần mềm độc hại trông giống như ransomware đơn giản, nhưng thay vào đó, nó là phá hoại nhiều hơn so với ransomware điển hình. Một nhà nghiên cứu về an ninh, Nicolas Weaver, tin rằng "Petya" là một cuộc tấn công nguy hiểm, phá hoại và cố ý.Một nhà nghiên cứu, người đi bởi Grugq, tin rằng bản gốc "Petya" là một phần của một tổ chức tội phạm để kiếm tiền, nhưng điều này "Petya" không làm như vậy. Cả hai đều đồng ý rằng phần mềm độc hại được thiết kế để lây lan nhanh chóng và gây ra rất nhiều thiệt hại.

Như chúng tôi đã đề cập, Ukraine đã bị đánh bại bởi "Petya", và đất nước này đã chỉ ra những ngón tay của mình tại Nga. Điều này không đáng ngạc nhiên khi xem xét Ukraine đã đổ lỗi cho Nga cho một số vụ tấn công không gian mạng trước đó. Một trong những cuộc tấn công mạng này xảy ra vào năm 2015, và nó nhằm vào lưới điện của Ucraina. Nó cuối cùng đã kết thúc tạm thời để lại phần của miền tây Ukraine mà không có bất kỳ quyền lực. Nga, tuy nhiên, đã phủ nhận bất kỳ sự tham gia vào các cuộc tấn công mạng vào Ukraine.

Bạn nên làm gì nếu bạn tin rằng bạn là nạn nhân của Ransomware?

Bạn có nghĩ rằng bạn có thể là nạn nhân của một cuộc tấn công ransomware? Cuộc tấn công đặc biệt này lây nhiễm vào máy tính và đợi khoảng một giờ trước khi máy tính bắt đầu tự khởi động lại. Nếu điều này xảy ra, ngay lập tức cố gắng tắt máy tính. Điều này có thể ngăn các tệp trên máy tính không được mã hóa. Tại thời điểm đó, bạn có thể thử đưa các tệp khỏi máy.

Nếu máy tính kết thúc khởi động lại và tiền chuộc không xuất hiện, đừng trả. Hãy nhớ rằng, địa chỉ email được sử dụng để thu thập thông tin từ nạn nhân và để gửi chìa khóa được đóng lại. Vì vậy, thay vào đó, ngắt kết nối máy PC khỏi Internet và mạng, định dạng lại ổ cứng, và sau đó sử dụng một bản sao lưu để cài đặt lại các tập tin. Đảm bảo rằng bạn luôn sao lưu các tệp của mình thường xuyên và luôn cập nhật phần mềm chống vi-rút.