Несколько месяцев назад и мы и другие IT Security специалисты обнаружили новый вредонос – Petya (Win32.Trojan-Ransom.Petya.A) . В классическом понимании он не был шифровальщиком, вирус просто блокировал доступ к определенным типам файлов и требовал выкуп. Вирус модифицировал загрузочную запись на жестком диске, принудительно перезагружал ПК и показывал сообщение о том что “данные зашифрованы – гоните ваши деньги за расшифровку”. В общем стандартная схема вирусов-шифровальщиков за исключением того что файлы фактически НЕ зашифровывались. Большинство популярных антивирусов начали идентифицировать и удалять Win32.Trojan-Ransom.Petya.A через несколько недель после его появления. Кроме того появились инструкции по ручному удалению. Почему мы считаем что Petya не классический шифровальщик? Этот вирус вносит изменения в в Master Boot Record и препятствует загрузке ОС, а также шифрует Master File Table (главную таблицу файлов). Он не шифрует сами файлы.

Однако несколько недель тому назад появился более изощренный вирус Mischa , судя по всему написанный теми же мошенниками. Этот вирус ШИФРУЕТ файлы и требует заплатить за расшифровку 500 – 875$ (в разных версиях 1.5 – 1.8 биткоина). Инструкции по “расшифровке” и оплате за нее хранятся в файлах YOUR_FILES_ARE_ENCRYPTED.HTML и YOUR_FILES_ARE_ENCRYPTED.TXT.

Вирус Mischa – содержимое файла YOUR_FILES_ARE_ENCRYPTED.HTML

Сейчас фактически хакеры заражают компьютеры пользователей двумя вредоносами: Petya и Mischa. Первому нужны права администратора в системе. То есть если пользователь отказывается выдать Petya админские права либо же удалил этот зловред вручную – в дело включается Mischa. Этому вирусу не нужны права администратора, он является классическим шифровальщиком и действительно шифрует файлы по стойкому алгоритму AES и не внося никаких изменений в Master Boot Record и таблицу файлов на винчестере жертвы.

Вредонос Mischa шифрует не только стандартные типы файлов (видео, картинки, презентации, документы), но также файлы.exe. Вирус не затрагивает только директории \Windows, \$Recycle.Bin, \Microsoft, \Mozilla Firefox, \Opera, \Internet Explorer, \Temp, \Local, \LocalLow и \Chrome.

Заражение происходит преимущественно через электронную почту, куда приходит письмо с вложенным файлом – инсталятором вируса. Оно может быть зашифровано под письмо с Налоговой, от Вашего бухгалтера, как вложенные квитанции и чеки о покупках и.т.д. Обращайте внимание на расширения файлов в таких письмах – если это исполнительный файл (.exe), то с большой вероятностью он может быть контейнером с вирусом Petya \ Mischa. И если модификация зловреда свежая – Ваш антивирус может и не отреагировать.

Обновление 30.06.2017: 27 июня модифицированный вариант вируса Petya (Petya.A) массово атаковал пользователей в Украине. Эффект от данной атаки был колоссален и экономический ущерб пока не подсчитан. За один день была парализована работа десятков банков, торговых сетей, государственных учреждений и предприятий разных форм собственности. Вирус распространялся преимущественно через уязвимость в украинской системе подачи бухгалтерской отчетности MeDoc с последним автоматическим обновлением данного ПО. Кроме того вирус затронул и такие страны как Россия, Испания, Великобритания, Франция, Литва.

Удалить вирус Petya и Mischa c помощью автоматического чистильщика

Исключительно эффективный метод работы со зловредным ПО вообще и программами-вымогателями в частности. Использование зарекомендовавшего себя защитного комплекса гарантирует тщательность обнаружения любых вирусных компонентов, их полное удаление одним щелчком мыши. Обратите внимание, речь идет о двух разных процессах: деинсталляции инфекции и восстановления файлов на Вашем ПК. Тем не менее, угроза, безусловно, подлежит удалению, поскольку есть сведения о внедрении прочих компьютерных троянцев с ее помощью.

1. . После запуска программного средства, нажмите кнопку Start Computer Scan (Начать сканирование).
2. Установленное ПО предоставит отчет по обнаруженным в ходе сканирования угрозам. Чтобы удалить все найденные угрозы, выберите опцию Fix Threats (Устранить угрозы). Рассматриваемое зловредное ПО будет полностью удалено.

Восстановить доступ к зашифрованным файлам

Как было отмечено, программа-вымогатель Mischa блокирует файлы с помощью стойкого алгоритма шифрования, так что зашифрованные данные нельзя возобновить взмахом волшебной палочки – если не принимать в расчет оплату неслыханной суммы выкупа (иногда доходит до 1000$). Но некоторые методы действительно могут стать палочкой-выручалочкой, которая поможет восстановить важные данные. Ниже Вы можете с ними ознакомиться.

Программа автоматического восстановления файлов (дешифратор)

Известно весьма неординарное обстоятельство. Данная инфекция стирает исходные файлы в незашифрованном виде. Процесс шифрования с целью вымогательства, таким образом, нацелен на их копии. Это предоставляет возможность таким программным средствам как восстановить стертые объекты, даже если надежность их устранения гарантирована. Настоятельно рекомендуется прибегнуть к процедуре восстановления файлов, ее эффективность не вызывает сомнений.

Теневые копии томов

В основе подхода предусмотренная Windows процедура резервного копирования файлов, которая повторяется в каждой точке восстановления. Важное условие работы данного метода: функция “Восстановление системы” должна быть активирована до момента заражения. При этом любые изменения в файл, внесенные после точки восстановления, в восстановленной версии файла отображаться не будут.

Резервное копирование

Это самый лучший среди всех не связанных с выкупом способов. Если процедура резервного копирования данных на внешний сервер применялась до момента атаки программы-вымогателя на Ваш компьютер, для восстановления зашифрованных файлов понадобиться попросту войти в соответствующий интерфейс, выбрать необходимые файлы и запустить механизм восстановления данных из резерва. Перед выполнением операции необходимо удостовериться, что вымогательское ПО полностью удалено.

Проверить возможное наличие остаточных компонентов вымогателя Petya и Mischa

Очистка в ручном режиме чревата упущением отдельных фрагментов вымогательского ПО, которые могут избежать удаления в виде скрытных объектов операционной системы или элементов реестра. Чтобы исключить риск частичного сохранения отдельных зловредных элементов, выполните сканирование Вашего компьютера с помощью надежного защитного программного комплекса, специализирующегося на зловредном ПО.

Petya вирус - очередной вымогатель, который блокирует файлы пользователя. Этот вымогатель может быть очень опасным и заразить любой ПК, но его основной целью являются компьютеры компаний.

Об этом говориться на сайте Bedynet.ru

Эта вредоносная программа входит в компьютеры жертвы и скрытно осуществляет свою деятельность, и компьютер может оказаться под угрозой. Petya шифрует файлы алгоритмами RSA-4096 и AES-256, он используется даже в военных целях. Такой код невозможно расшифровать без приватного ключа. Подобно другим вимогателям, как Locky virus, CryptoWall virus, и CryptoLocker, этот приватный ключ хранится на каком-то удаленном сервере, доступ к которому возможен только заплатив выкуп создателем вируса.

В отличие от других программ-вымогателей, после того как этот вирус запущен, он немедленно перезапускает компьютер, и когда он загружается снова, на экране появляется сообщение: "НЕ ВЫКЛЮЧАЙТЕ ВАШ ПК! ЕСЛИ ВЫ ОСТАНОВИТЕ ЭТОТ ПРОЦЕСС, ВЫ МОЖЕТЕ УНИЧТОЖИТЬ ВСЕ ВАШИ ДАННЫЕ! ПОЖАЛУЙСТА, УБЕДИТЕСЬ, ЧТО ВАШ КОМПЬЮТЕР ПОДКЛЮЧЕН К ЗАРЯДКЕ!".

Хотя это может выглядеть как системная ошибка, на самом деле, в данный момент Petya молча выполняет шифрование в скрытом режиме. Если пользователь пытается перезагрузить систему или остановить шифрования файлов, на экране появляется мигающий красный скелет вместе с текстом “Нажмите любую клавишу”.

Наконец, после нажатия клавиши, появится новое окно с запиской о выкупе. В этой записке, жертву просят заплатить 0.9 биткойнов, что равно примерно $400. Тем не менее, это цена только за один компьютер; поэтому, для компаний, которые имеют множество компьютеров, сумма может составлять тысячи. Что также отличает этого вымогателя, так это то, что он дает целую неделю чтобы заплатить выкуп, вместо обычных 12-72 часов которые дают другие вирусы этой категории.

Более того, проблемы с Petya на этом не заканчиваются. После того, как этот вирус попадает в систему, он будет пытаться переписать загрузочные файлы Windows, или так называемый загрузочный мастер записи, необходимый для загрузки операционной системы. Вы будете не в состоянии удалить Petya вирус с вашего компьютера, если вы не восстановите настройки загрузочного мастера записи (MBR). Даже если вам удастся исправить эти настройки и удалить вирус из вашей системы, к сожалению, ваши файлы будут оставаться зашифрованными, потому что удаление вируса не обеспечивает расшифрование файлов, а просто удаляет инфекционные файлы. Конечно, удаления вируса имеет важное значение, если вы хотите продолжить работу с компьютером. Мы рекомендуем использовать надежные антивирусные инструменты, как Reimage, чтобы позаботиться о удалении Petya.

Как распространяется этот вирус и как он может войти в компьютер?

Petya вирус обычно распространяется через спам сообщения электронной почты, которые содержат загрузочные Dropbox ссылки для файла под названием “приложение folder-gepackt.exe” прикрепленные к ним. Вирус активируется, когда загружен и открыт определенный файл. Так как вы уже знаете, как распространяется этот вирус, вы должны иметь идеи, как защитить свой компьютер от вирусной атаки. Конечно, вы должны быть осторожны, с открытием электронных файлов, которые отправлены подозрительными пользователями и неизвестными источниками, представляющие информацию, которая не относиться к той, которую вы ожидаете.

Вы также должны избегать письма, относящиеся к “спам” категории, так как большинство поставщиков услуг электронной почты автоматически фильтруют письма, и помещают их в соответственные каталоги. Тем не менее, вы не должны доверять этим фильтрам, потому что, потенциальные угрозы могут проскользнуть через них. Также, убедитесь, что ваша система обеспечена надежным антивирусным средством. Наконец, всегда рекомендуется держать резервные копии на каком-то внешнем диске, в случае возникновения опасных ситуаций.

Как я могу удалить вирус Petya с моего ПК?

Вы не можете удалить Petya с вашего компьютера с помощью простой процедуры удаления, потому что это не сработает с этой вредоносной программой. Это означает, что вы должны удалить этот вирус автоматически. Автоматическое удаление вируса Petya должно осуществляться с помощью надежного антивирусного средства, которое обнаружит и удалит этот вирус с вашего компьютера. Тем не менее, если вы столкнулись с некоторыми проблемами удаления, например, этот вирус может блокировать вашу антивирусную программу, вы всегда можете проверить инструкцию удаления.

Шаг 1: Перезагрузите компьютер для Safe Mode with Networking

Windows 7 / Vista / XP Щелкните Start → Shutdown → Restart → OK.

В списке выберите Safe Mode with Networking

Windows 10 / Windows 8В окне логина Windows нажмите кнопку Power. Затем нажмите и удерживайте клавишу Shift и щелкните Restart..
Теперь выберите Troubleshoot → Advanced options → Startup Settings и нажмите Restart.
Когда Ваш компьютер станет активным, в окне Startup Settings выберите Enable Safe Mode with Networking.

Шаг 2: Удалить Petya
Авторизируйтесь, используя Ваш зараженный аккаунт, и запустите браузер. Загрузите Reimage или другую надежную антишпионскую программу. Обновите её перед сканированием и удалите вредоносные файлы, относящиеся к программе-вымогателю, и завершите удаление Petya.

Если программа-вымогатель блокирует Safe Mode with Networking, попробуйте следующий метод.

Шаг 1: Перезагрузите компьютер для Safe Mode with Command Prompt

Windows 7 / Vista / XP
Щелкните Start → Shutdown → Restart → OK.
Когда Ваш компьютер станет активным, нажмите F8 несколько раз, пока не появится окно Advanced Boot Options.
В списке выберите Command Prompt

Теперь введите rstrui.exe и снова нажмите Enter.

После появления нового окна, щелкните Next и выберите Вашу точку восстановления, предшествующую заражению Petya. После этого нажмите Next. В появившемся окне "System Restore" выберите "Next"

Выберите Вашу точку восстановления и щелкните "Next"
Теперь щелкните Yes для начала восстановления системы. Щелкните "Yes" и начните восстановление системы После того, как вы восстановите систему к предыдущей дате, загрузите и просканируйте ваш компьютер убедитесь, что удаление прошло успешно.

"Деньги можно не платить". В ИнАУ заявили, .

После небольшого затишья вновь заявила о себе. Злоумышленники вывели все средства со своего кошелька и опубликовали заявление, в котором предлагают универсальный дешифратор в обмен на 100 биткоинов.
Как сообщает ресурс Motherboard, 5 июля специалистами были обнаружены движения средств на биткоин-счете, связанном с вирусом Petya. Сначала злоумышленники перевели незначительные суммы в размере $300 на кошельки сайтов Pastebin и DeepPaste, которые часто используются хакерами для публикаций сообщений. Затем они вывели все средства с кошелька, на который жертвы вируса отправляли деньги за разблокировку - это почти 4 биткоина (около $10 тыс). Однако самое интересное, что практически одновременно с этими транзакциями, хакеры опубликовали сообщения на Pastebin и DeepPaste, в которых предлагалось следующее:

«Пришлите мне 100 биткоинов и получите приватный ключ для расшифровки любого жесткого диска (кроме загрузочных дисков)».

Связаться с авторами вируса поспешили журналисты Motherboard, в первую очередь поинтересовавшиеся, почему такая большая сумма выкупа за расшифровку данных. Создатели Petya ответили, что предлагают универсальный дешифратор для пострадавших пользователей, который подходит для всех компьютеров. Хакеры предложили журналистам предоставить им зашифрованный документ. В качестве доказательства, они успешно расшифровали документ, хотя эксперты ранее отмечали, что Petya на самом деле не шифрует данные, а безвозвратно их повреждает. Несмотря на это, многие специалисты и сейчас утверждают, что злоумышленники блефуют, а расшифровка одного небольшого файла еще ничего не значит.

Напомним, вирус Petya компьютеры в нескольких странах. Больше всего пострадала Украина, где заражения достигли наибольших масштабов. Причиной этому стала бухгалтерская программа M.E.Doc, серверы компании-разработчика которой полицией для дальнейшего расследования.

Представители M.E.Doc, ранее отрицающие причастность компании «Интеллект-сервис» к распространению вируса, признали, что их серверы были взломаны.

«Впервые за историю существования ПО „MEDoc“ произошел беспрецедентный факт взлома, в результате которого в продукт был внесен вредоносный программный код в пакет обновления. По словам ведущих международных экспертов и правоохранителей, вмешательство было осуществлено высокопрофессиональными специалистами», - из сообщения на официальной странице M.E.Doc в Facebook.

Самыми уязвимыми операционными системами перед вирусами и вредоносными программами являются Windows и Android, значительно реже страдают Linux и OS X. Задачи, которые решают вирусы, достаточно разнообразны, однако в последнее время наблюдается просто вал шифровальщиков, противостоять которым становится все сложнее. И если обычные вирусы можно было вылечить, то против шифровальщика, который уже проник в систему, инструментов для расшифровки не существует.

Мы уже писали, про , который проникая в систему модифицировал загрузочный сектор на накопителе, в результате при загрузке компьютера выходило сообщение о повреждении данных, после чего запускалась утилита CHKDSK. На самом деле вместо работы CHKDSK происходило шифрование данных. По окончании шифрования пользователю выдавалось окно с требованием о выкупе, причем сумма выкупа через неделю удваивалась.

Но то ли автор вируса Petya что-то недоработал, то ли просто допустил ошибку в коде, но некоторым пользователям удалось создать инструменты, позволяющие вылечить зашифрованные данные. Для начала скачиваем вот эту утилиту

(cкачиваний: 253)

Сразу предупредим, информация только для опытных или достаточно уверенных пользователей, поскольку предполагает знание технической части компьютера. Во всех остальных случаях рекомендуем обратиться к специалистам в мастерскую ремонт компьютеров Киев , где опытные мастера проведут полный комплекс мероприятий по восстановлению работоспособности компьютера.

1. Подключаем зашифрованный Петей жесткий диск к другому компьютеру, запускаем утилиту Petya Sector Extractor, программа определит на каком из дисков Петя и сообщит об этом.

2. Переходим в интернете по адресам https://petya-pay-no-ransom.herokuapp.com или https://petya-pay-no-ransom-mirror1.herokuapp.com/, там будут два текстовых поля называющихся Base64encoded 512 bytes verificationdata и Base64encoded 8 bytes nonce, которые нужно будет заполнить, чтобы получить ключ.

3. Для поля Base64encoded 512 bytes verification data в программе Petya Sector Extractor нужно будет кликнуть по кнопке CopySector в Petya Extractor, для поля Base64 encoded 8 bytes nonce данные получаем нажав по кнопке Copy Nonce. После чего утилиту Petya Sector Extractor можно закрыть. Заполнив поля жмем Submit и ждем пару минут, в результате получаем необходимую комбинацию, которую или запомните, или запишите куда-нибудь.

4. Вставляете злополучный жёсткий диск назад, включаете компьютер, дожидаетесь требования Пети ввести код, если все было сделано правильно, то вирус должен будет начать расшифровку данных на диске и после завершения операции компьютер перезагрузится уже в обычном режиме.

Как видите вылечиться от вируса Petya все-таки можно, но на будущее, чтобы избежать подобных инцидентов, стоит пользоваться антивирусными программами. Тем более, что на днях появился у Пети друг, вирус под названием Misha, еще более изощренный и от которого пока нет никакого лекарства.

Программа-вымогатель Petya A, наряду с его вариантом GoldenEye, уже поразила правительства, компании и частных лиц во всем мире. Эта программа настолько катастрофична, что даже те, кто исправили свои OS Windows и обновили его, могут стать жертвами этой кибератаки, что приводит к большим финансовым потерям. В Украине он в основном поразил бухгалтерские компьютеры через программу M.E.Doc.

Для борьбы с киберпреступниками 360 разработал инструмент дешифрования программ-вымогателей для спасения компьютеров, захваченных программами-вымогателями. Этот инструмент может возвращать файлы больше чем из 80 программ-вымогателей Петя А, GoldenEye, и их пресловутый прецедент WannaCry тоже в списке поддержки расшифровки.

Ране мы уже описывали один способ как можно было восстановить часть данных после кибер атаки от 27.06.2017 года, и обещали боле подробную инструкция.

Чтобы разблокировать ПК, зараженный Petya, надо выполнить такие шаги.

Инструкции по расшифровке GoldenEye варианта «Petya»

2. Откройте 360 инструментов дешифрования программ-вымогателей и щелкните желтый баннер сверху, чтобы начать процесс дешифрования.

3. Внесите свой личный код дешифрования в сообщение выкупа (смотрите красное поле, выделенное на скриншоте ниже). 360 инструментов дешифрования программ-вымогателей начнет вычислять ключ дешифрования.

4. Получите ваш ключ дешифрования.

5. Внесите ключ дешифрования в сообщение выкупа, чтобы разблокировать ПК.

6. Важное примечание: Если вы ввели ключ неправильно, то увидите сообщение ниже. В этой ситуации не продолжайте вводить ключ. Перезагрузите компьютер и снова введите ключ

7. Теперь ваша операционная система разблокирована.

Инструкции по расшифровке для версии Red Skeleton

Выполните те же шаги, о которых говорилось ранее. (Код расшифровки длиннее, чем в сообщении выкупа GoldenEye.)

После ввода ключа дешифрования вы увидите сообщение ниже. Это означает, что ваша система была разблокирована.

Если вы используете Windows 7 или более позднюю версию, Petya шифрует не только вашу систему, но и файлы на зараженном ПК. Эти зашифрованные файлы добавляются с 8-символьным расширением. Ransomware также создает файл «YOUR_FILES_ARE_ENCRYPTED.TXT» в папке рабочего стола

Чтобы спасти ваши файлы, используйте 360 инструментов дешифрования программ-вымогателей для сканирования папки, в которой ваши файлы зашифрованы.

Подождите, пока 360 инструмент дешифрования программ-вымогателей вернет ваши файлы обратно. (Не выключайте инструмент до завершения процесса,иначе файлы могут быть повреждены).

В том числе 360 Document Protector и инструмент против кибер-оружия АНБ, подготовленный для защиты от программ-вымогателей. Ваша безопасность - это в настоящее время самая большая наша забота.

Скачать надежный антивирус с несколькими движками проверки на вирусы можно на официальном сайте совсем бесплатно.