Атака вируса «Петя» стала неприятной неожиданностью для жителей многих стран. Тысячи компьютеров подверглись заражению, вследствие которого пользователи потеряли важные данные, хранившиеся на их жестких дисках.

Конечно же, сейчас ажиотаж вокруг данного инцидента спал, но никто не может гарантировать, что подобное не повторится вновь. Именно поэтому очень важно защитить свой компьютер от возможной угрозы и не рисковать понапрасну. О том, как сделать это наиболее эффективно, и пойдет речь ниже.

Последствия атаки

Для начала следует вспомнить, к каким последствиям привела недолгая активность Petya.A. Всего за несколько часов пострадали десятки украинских и российских компаний. На Украине, к слову, была практически полностью парализована работа компьютерных отделов таких учреждений, как «Днепрэнерго», «Новая Почта» и «Киевский метрополитен». Более того, не убереглись от вируса «Петя» некоторые государственные организации, банки и операторы мобильной связи.

В странах Европейского союза шифровальщик также успел наделать немало бед. Французские, датские, английские и международные компании сообщили о временных неполадках в работе, связанных с атакой компьютерного вируса «Петя».

Как видите, угроза действительно серьезная. И даже несмотря на то, что злоумышленники выбрали в качестве своих жертв крупные финансовые организации, обычные пользователи пострадали не меньше.

Как работает «Петя»

Чтобы понять, как защититься от вируса «Петя», нужно сначала разобраться, как он работает. Итак, попав на компьютер, вредоносная программа скачивает из интернета специальный шифровальщик, который поражает Master Boot Record. Это отдельная область на жестком диске, скрытая от глаз пользователя и предназначенная для загрузки операционной системы.

Для пользователя этот процесс выглядит как стандартная работа программы Check Disk после внезапного падения системы. Компьютер резко перезагружается, а на экране возникает сообщение о проверке жесткого диска на наличие ошибок и просьба не выключать питание.

Как только этот процесс подходит к концу, появляется заставка с информацией о блокировке компьютера. Создателя вируса «Петя» требуют от пользователя заплатить выкуп в размере 300$ (больше 17,5 тыс. руб.), обещая взамен выслать ключ, необходимый для возобновления работы ПК.

Профилактика

Логично, что намного проще предупредить заражение компьютерным вирусом «Петя», чем потом бороться с его последствиями. Чтобы обезопасить свой ПК:

• Всегда устанавливайте свежие обновления для операционной системы. Это же, в принципе, касается и всего программного обеспечения, установленного на вашем ПК. Кстати, «Петя» не может навредить компьютерам под управлением MacOS и Linux.
• Используйте актуальные версии антивируса и не забывайте обновлять его базы. Да, совет банальный, но далеко не все ему следуют.
• Не открывайте подозрительные файлы, присланные вам на почту. Кроме того, всегда проверяйте приложения, скачанные из сомнительных источников.
• Регулярно делайте резервные копии важных документов и файлов. Лучше всего хранить их на отдельном носителе или в «облаке» (Google Drive, "Яндекс. Диск" и т. д.). Благодаря этому, даже если с вашим компьютером что-то случится, ценная информация не пострадает.

Создание стоп-файла

Разработчики ведущих антивирусных программ выяснили, как удалить вирус «Петя». Точнее, благодаря проведенным исследованиям, им удалось понять, что шифровальщик на начальных этапах заражения пытается найти на компьютере локальный файл. Если ему это удается, вирус прекращает свою работу и не наносит вред ПК.

Проще говоря, вы можете вручную создать своего рода стоп-файл и таким образом защитить компьютер. Для этого:

• Откройте настройки параметров папок и снимите галочку с пункта «Скрывать расширения для зарегистрированных типов файлов».
• Создайте при помощи блокнота новый файл и поместите его в директорию C:/Windows.
• Переименуйте созданный документ, назвав его «perfc». Затем зайдите в и включите опцию «Только для чтения».

Теперь вирус «Петя», попав на ваш компьютер, не сможет нанести ему вред. Но имейте в виду, что злоумышленники могут в будущем модифицировать вредоносную программу и способ с созданием стоп-файла станет неэффективным.

Если заражение уже произошло

Когда компьютер самостоятельно уходит на перезагрузку и запускается работа Check Disk, вирус только начинает шифровать файлы. В этом случае вы еще можете успеть спасти свои данные, выполнив следующие действия:

• Сразу же отключите питание ПК. Только так вы можете предотвратить распространение вируса.
• Далее следует подключить свой жесткий диск к другому ПК (только не в качестве загрузочного!) и скопировать с него важную информацию.
• После этого необходимо полностью отформатировать зараженный винчестер. Естественно, что потом вам придется заново устанавливать на него операционную систему и прочее программное обеспечение.

Кроме того, вы можете попытаться использовать специальный загрузочный диск, чтобы вылечить вирус «Петя». Антивирус Касперского, например, предоставляет для этих целей программу Kaspersky Rescue Disk, которая работает в обход операционной системы.

Стоит ли платить вымогателям

Как уже было сказано ранее, создатели «Пети» требуют от пользователей, чьи компьютеры были заражены, выкуп в размере 300$. По словам вымогателей, пострадавшим после оплаты указанной суммы будет выслан ключ, устраняющий блокировку информации.

Проблема в том, что пользователю, желающему вернуть свой компьютер в нормальное состояние, необходимо написать злоумышленникам на электронную почту. Однако все E-Mail вымогателей оперативно блокируются уполномоченными службами, поэтому связаться с ними попросту невозможно.

Более того, многие ведущие разработчики антивирусного программного обеспечения уверены, что разблокировать каким-либо кодом компьютер, подвергшийся заражению «Петей», и вовсе невозможно.

Как вы наверняка поняли, платить вымогателям не стоит. Иначе вы не только останетесь с нерабочим ПК, но еще и потеряете крупную сумму денег.

Будут ли новые атаки

Впервые вирус Petya был обнаружен еще в марте 2016 года. Тогда специалисты по безопасности быстро заметили угрозу и не допустили ее массового распространения. Но уже в конце июня 2017 года атака повторилась вновь, что привело к весьма серьезным последствиям.

Вряд ли все закончится на этом. Атаки с использованием вирусов-вымогателей - явление нередкое, поэтому очень важно постоянно поддерживать свой компьютер в защищенном состоянии. Проблема заключается в том, что никто не может предугадать, в каком формате произойдет следующее заражение. Как бы там ни было, всегда стоит следовать нехитрым рекомендациям, приведенным в данной статье, чтобы сократить таким образом риски до минимума.

27 июня страны Европы поразила атака вируса-вымогателя, известного под безобидным именем Petya (в различных источниках также можно встретить названия Petya.A, NotPetya и GoldenEye). Шифровальщик требует выкуп в биткоинах, эквивалентный 300 долларам. Заражены десятки крупных украинских и российских компаний, также фиксируется распространение вируса в Испании, Франции и Дании.

Кто попал под удар?

Украина

Украина стала одной из первых стран, подвергшихся атаке. По предварительным оценкам, атакованы около 80 компаний и госучреждений:

На сегодняшний день вирус не просто шифрует отдельные файлы, а полностью забирает у пользователя доступ к жесткому диску. Также вирус-шифровальщик использует поддельную электронную подпись Microsoft, которая показывает пользователям, что программа разработана доверенным автором и гарантирует безопасность. После заражения компьютера вирус модифицирует специальный код, необходимый для загрузки операционной системы. В результате при запуске компьютера загружается не операционная система, а вредоносный код.

Как защититься?

1. Закройте TCP-порты 1024–1035, 135 и 445.
2. Обновите базы ваших антивирусных продуктов.
3. Так как Petya распространяется при помощи фишинга, не открывайте письма из неизвестных источников (если отправитель известен, уточните, безопасно ли это письмо), будьте внимательны к сообщениям из соцсетей от ваших друзей, так как их аккаунты могут быть взломаны.
4. Вирус ищет файл C:\Windows\perfc , и, если не находит его, то создаёт и начинает заражение. Если же такой файл на компьютере уже есть, то вирус заканчивает работу без заражения. Нужно создать пустой файл с таким именем. Рассмотрим этот процесс подробнее.

— Hacker Fantastic (@hackerfantastic)

Во вторник вирус Petya/PetWrap/NotPetya атаковал учреждения и фирмы в России, Украине, Европе и США — всего около двух тысяч жертв. Вредоносная программа шифровала данные на компьютерах и просила выкуп в биткоинах. Рассказываем, что это за вирус, кто от него пострадал и кто его создал.

Что это за вирус?

Вредоносная программа, которая маскируется под вложения в электронной почте. Если пользователь скачивал его и запускал от имени администратора, то программа перезагружает компьютер и запускает якобы функцию проверки диска, а на самом деле шифрует сперва загрузочный сектор, а потом и остальные файлы. После этого пользователь видит сообщение с требованием оплатить сумму в биткоинах эквивалентную $300 взамен на код расшифровки данных.

❗️Вирус "Petya" в действии. Будьте осторожны, обновите Windows, не открывайте никаких ссылок, присланных на почту pic.twitter.com/v2z7BAbdZx

— Буквы (@Bykvu) June 27, 2017

Так работает вирус

Так работал вирус Petya. Его первую версию нашли ещё весной 2016 года . В «Лаборатории Касперского» заявляли , что данные на зашифрованном диске можно восстановить. Рецепт дешифровки тогда публиковал редактор Geektimes Максим Агаджанов. Есть и другие версии дешифровальщиков . Насколько они эффективны и подходят ли к новым версиям вируса, мы подтвердить не можем. Специалист по информационной безопасности Никита Кныш пишет на GitHub, что не подходят. Средства борьбы с вирусом после заражения на данный момент нет .

С какой версией вируса мы имеем дело сейчас, неизвестно. Более того, ряд экспертов считает, что мы имеем дело не с Petya. Служба безопасности Украины (СБУ) заявила , что госучреждения и фирмы страны атаковал вирус Petya.A и восстановить зашифрованные данные невозможно. В «Лаборатории Касперского» вечером во вторник сообщили , что «это не Petya», а некий новый вид вируса, названный экспертами NotPetya. Так же считают в компании «Доктор Веб». Yahoo News со ссылкой на неназванных экспертов пишет , что речь идёт о модификации Petya под названием PetrWrap. В компании Symantec заявили , что речь всё-таки идёт о Petya.

Глава международной исследовательской команды «Лаборатории Касперского» Костин Райю пишет , что вирус распространяется через письма с адреса Также он сообщил , что Petya/PetWrap/NotPetya скомпилировали 18 июня.

Один из вариантов страницы с требованием выкупа (фото: Avast Blog)

В «Лаборатории Касперского» также считают , что новый вирус использовал ту же уязвимость в Windows, что и WannaCry. Эта вредоносная программа поразила компьютеры по всему миру 12 мая. Она также шифровала данные на компьютере и требовала выкупа. Среди пострадавших были МВД России и мобильный оператор «Мегафон» . Microsoft ликвидировал уязвимость ещё в марте: от WannaCry и Petya/PetrWrap/NotPetya пострадали те, кто не обновил систему.

Кто от него пострадал?

Украина

Фото из харьковского супермаркета РОСТ, компьютеры которого тоже поразил вирус

— Ukraine / Україна (@Ukraine) June 27, 2017

Официальный твиттер Украины пытается приободрить граждан при помощи мема «This is fine»

Крупные компании «Киевводоканал», «Новус», «Эпицентра», «Арселлор Миттал», «Артериум», «Фармак», клиника «Борис», больница Феофания, «Укртелеком», «Укрпочта», украинский филиал сети супермаркетов «Ашан» , автозаправки Shell, WOG, Klo и ТНК.

СМИ: «Корреспондент.нет», «КП в Украине» «Обозреватель», «24 Канал», СТБ, «Интер», «Новый канал», ATR, радио «Люкс» , «Максимум» и «Эра-FM».

Компьютер в кабинете министров Украины (фото: Павел Розенко)

Возможно, вы уже в курсе о хакерской угрозе зафиксированной 27 июня 2017 года в странах России и Украины, подвергшиеся масштабной атаке похожей на WannaCry . Вирус блокирует компьютеры и требует выкуп в биткоинах за дешифровку файлов. В общей сложности пострадало более 80 компаний в обеих странах, включая российские «Роснефть» и «Башнефть».

Вирус-шифровальщик, как и печально известный WannaCry, заблокировал все данные компьютера и требует перевести преступникам выкуп в биткоинах, эквивалентный $300. Но в отличии от Wanna Cry, Petya не утруждает шифрованием отдельных файлов — он практически мгновенно «отбирает» у вас весь жесткий диск целиком.

Правильное название этого вируса — Petya.A. Отчет ESET раскрывает некоторые возможности Diskcoder.C (он же ExPetr, PetrWrap, Petya или NotPetya)

По статистике всех пострадавших, вирус распространялся в фишинговых письмах с зараженными вложениями. Обычно письмо приходит с просьбой открыть текстовый документ, а как мы знаем второе расширение файла txt. exe скрывается, а приоритетным является последнее расширения файла. По умолчанию операционная система Windows не отображает расширения файлов и они выгладят вот так:

В 8.1 в окне проводника (Вид \ Параметры папок \ Убираем галочку Скрывать расширения для зарегистрированных типов файлов)

В 7 в окне проводника (Alt \ Сервис \ Параметры папок \ Убираем галочку Скрывать расширения для зарегистрированных типов файлов)

И самое страшное, что пользователей даже не смущает, что письма приходят от неизвестных пользователей и просят открыть непонятные файлы.

После открытия файла пользователь видит «синий экран смерти».

После перезагрузки, похоже на то, что запускается «Скан диск» на самом деле, вирус шифрует файлы.

В отличие от других программ-вымогателей, после того как этот вирус запущен, он немедленно перезапускает ваш компьютер, и когда он загружается снова, на экране появляется сообщение: “НЕ ВЫКЛЮЧАЙТЕ ВАШ ПК! ЕСЛИ ВЫ ОСТАНОВИТЕ ЭТОТ ПРОЦЕСС, ВЫ МОЖЕТЕ УНИЧТОЖИТЬ ВСЕ ВАШИ ДАННЫЕ! ПОЖАЛУЙСТА, УБЕДИТЕСЬ, ЧТО ВАШ КОМПЬЮТЕР ПОДКЛЮЧЕН К ЗАРЯДКЕ!”. Хотя это может выглядеть как системная ошибка, на самом деле, в данный момент Petya молча выполняет шифрование в скрытом режиме. Если пользователь пытается перезагрузить систему или остановить шифрования файлов, на экране появляется мигающий красный скелет вместе с текстом “НАЖМИТЕ ЛЮБУЮ КЛАВИШУ!”. Наконец, после нажатия клавиши, появится новое окно с запиской о выкупе. В этой записке, жертву просят заплатить 0.9 биткойнов, что равно примерно $400. Тем не менее, это цена только за один компьютер. Поэтому, для компаний, которые имеют множество компьютеров, сумма может составлять тысячи. Что также отличает этого вымогателя, так это то, что он дает целую неделю чтобы заплатить выкуп, вместо обычных 12-72 часов, которые дают другие вирусы этой категории.

Более того, проблемы с Petya на этом не заканчиваются. После того, как этот вирус попадает в систему, он будет пытаться переписать загрузочные файлы Windows, или так называемый загрузочный мастер записи, необходимый для загрузки операционной системы. Вы будете не в состоянии удалить Petya вирус с вашего компьютера, если вы не восстановите настройки загрузочного мастера записи (MBR). Даже если вам удастся исправить эти настройки и удалить вирус из вашей системы, к сожалению, ваши файлы будут оставаться зашифрованными, потому что удаление вируса не обеспечивает расшифровку файлов, а просто удаляет инфекционные файлы. Конечно, удаления вируса имеет важное значение, если вы хотите продолжить работу с компьютером

После попадания на ваш компьютер под управлением системы Windows, Petya практически мгновенно зашифровывает MFT (Master File Table — главная таблица файлов). За что же отвечает эта таблица?

Представьте, что ваш жесткий диск - это самая большая библиотека во всей вселенной. В ней содержатся миллиарды книг. Так как же найти нужную книгу? Только с помощью библиотечного каталога. Именно этот каталог и уничтожает Петя. Таким образом, вы теряете всякую возможность найти какой-либо «файл» на вашем ПК. Если быть еще точнее, то после «работы» Petya жесткий диск вашего компьютера будет напоминать библиотеку после торнадо, с обрывками книг, летающими повсюду.

Таким образом, в отличии от Wanna Cry, Petya.A не шифрует отдельные файлы, тратя на это внушительное время - он просто отбирает у вас всякую возможность найти их.

Кто создал вирус Петя?

При создании вируса Петя был задействован эксплойт («дыра») в ОС Windows под названием «EternalBlue». Microsoft выпустил патч kb4012598 (из ранее выпущенных уроков по WannaCry мы уже рассказывали об этом обновлении, которое «закрывает» эту дыру.

Создатель «Petya» смог с умом использовать беспечность корпоративных и частных пользователей и заработать на этом. Его личность пока что неизвестна (да и вряд ли будет известна)

Как удалить вирус Petya?

Как удалить вирус Petya.A с вашего жесткого диска? Это крайне интересный вопрос. Дело в том, что если вирус уже заблокировал ваши данные, то и удалять будет, фактически, нечего. Если вы не планирует платить вымогателям (чего делать не стоит) и не будете пробовать восстанавливать данные на диске в дальнейшем, вам достаточно просто произвести форматирование диска и заново установить ОС. После этого от вируса не останется и следа.

Если же вы подозреваете, что на вашем диске присутствует зараженный файл - просканируйте ваш диск антивирусом от компании ESET Nod 32 и проведите полное сканирование системы. Компания NOD 32 заверила, что в его базе сигнатур уже есть сведения о данном вирусе.

Дешифратор Petya.A

Petya.A зашифровывает ваши данные очень стойким алгоритмом шифрования. На данный момент не существует решения для расшифровки заблокированных сведений.

Несомненно, мы бы все мечтали получить чудодейственный дешифратор (decryptor) Petya.A, однако такого решения просто нет. Вирус WannaCry поразил мир несколько месяцев назад, но лекарство для расшифровки данных, которые он зашифровал, так и не найдено.

Единственный вариант, это если ранее у вас были теневые копии файлов.

Поэтому, если вы еще не стали жертвой вируса Petya.A - обновите ОС систему, установите антивирус от компании ESET NOD 32. Если вы все же потеряли контроль над своими данными - то у вас есть несколько путей.

Заплатить деньги. Делать этого бессмысленно! Специалисты уже выяснили, что данные создатель вируса не восстанавливает, да и не может их восстановить, учитывая методику шифрования.

Попробовать удалить вирус с компьютера, а ваши файлы попробовать восстановить с помощью теневой копии (вирус их не поражает)

Вытащить жесткий диск из вашего устройства, аккуратно положить его в шкаф и жать появления дешифратора.

Форматирование диска и установка операционной системы. Минус - все данные будут утеряны.

Petya.A и Android, iOS, Mac, Linux

Многие пользователи беспокоятся - «а может ли вирус Petya заразить их устройства под управлением Android и iOS. Поспешу их успокоить - нет, не может. Он рассчитан только на пользователей ОС Windows. То же самое касается и поклонников Linux и Mac - можете спать спокойно, вам ничего не угрожает.