Odborníci společnosti Kaspersky Lab analyzují novou vlnu útoků ransomwarem, která útočí na organizace po celém světě. Podle nich se nejedná o ransomware Petya, jak již bylo uveřejněno, ale nový ransomware. Nazvali jej proto ExPetr.
Telemetrická data společnosti Kaspersky Lab doposud zaznamenala okolo 2 000 napadených uživatelů. Nejvíce obětí zaznamenali na území Ruska a Ukrajiny, ale mezi napadenými jsou i instituce z Polska, Itálie, Velké Británie, Německa, Francie, Spojených států a mnohých dalších zemí.
Kyberzločinci zodpovědní za tento útok požadují výměnou za opětovné zpřístupnění zašifrovaných dat výkupné ve výši 300 dolarů v bitcoinové měně. Na rozdíl od nedávného ransomwaru WannaCry se zdá, že tato technika bude fungovat, protože útočníci po svých obětech vyžadují zaslání čísel svých bitcoinových peněženek e-mailem na adresu wowsmith123456@posteo.net, čímž potvrdí svou transakci. V době, kdy byl tento komentář vydán, se v bitcoinové peněžence nashromáždilo 24 transakcí v celkové hodnotě 2,54 BTC, což je ekvivalent necelých 6 000 dolarů.
Zdá se, že se jedná o komplexní útok, na kterém se podílí několik aktérů. Pro šíření útoku přinejmenším v rámci podnikové sítě je využíván upravený exploit EternalBlue a EternalRomance. Kaspersky Lab detekuje tuto hrozbu jako UDS:DangeroundObject.Multi.Generic, Trojan-Ransom.Win32.ExPetr.a, HEUR:Trojan-Ransom.Win32.ExPetr.gen.
Odborníci bezpečnostní společnosti Kaspersky Lab dělají vše pro to, aby v co nejkratším čase vydali dílčí komponenty především pro funkci System Watcher. Zároveň se snaží zjistit, jestli je možné odemknout zašifrovaná data, tak aby mohli vyvinout a co nejdříve poskytnout nástroj pro jejich odšifrování.
Kaspersky Lab všem společnostem doporučuje aktualizovat svůj systém Windows, uživatelům Windows XP a Windows 7 pak nainstalovat záplatu MS17-010. Doporučují také prověřit bezpečnostní řešení a ujistit se, že jsou zálohovaná veškerá data a aktivní ransomwarová detekce.
Pokud na svém zařízení nemáte nainstalované produkty Kaspersky Lab, využijte funkcionality AppLocker operačního systému Windows, která znemožňuje otevření jakýchkoliv souborů, které nesou označení „perfc.dat“, a zároveň PSExec utility (součást Sysinternals Suite).
Autorem komentáře je David Emm, hlavní bezpečnostní analytik týmu GReAT společnosti Kaspersky Lab.
