27 czerwca na Ukrainie rozpoczął się jeden z najbardziej dotkliwych w skutkach cyberataków w historii. Początkowo wydawało się, że celem przestępców było wymuszenie na ofiarach okupu. Wiele wskazuje jednak na to, że w rzeczywistości plan był inny – zniszczyć dane i wprowadzić chaos.
Wtorkowy atak dotknął nie tylko firmy na Ukrainie. Wirus szybko rozprzestrzenił się po całej Europie, trafiając także do USA. Ucierpiały również przedsiębiorstwa w Polsce – m.in. InterCars, TNT, Mondelez. Mimo pewnego podobieństwa do wcześniejszej kampanii szkodnika WannaCry, oprogramowanie szyfrujące komputery okazało się znacznie bardziej zaawansowane. W ciągu kolejnych dni specjaliści zdołali przeanalizować przebieg infekcji i wyciągnąć nowe wnioski dotyczące celu atakujących.
Eksperci z firmy Microsoft ustalili, że kluczową rolę w rozprzestrzenieniu się złośliwego oprogramowania (noszącego cechy zbliżone do znanego wcześniej ransomware Petya) odegrała ukraińska firma dostarczająca oprogramowanie do prowadzenia księgowości. Korzystając z mechanizmu automatycznej aktualizacji, wirusa „wypchnięto” do firm, które stanowiły pierwsze ognisko zarazy.
Gdy szkodnik znalazł się już na jednej maszynie w firmie, wykorzystywał kilka metod rozprzestrzeniania się po lokalnej sieci. Pomocne w tym procesie okazały się luki w systemie operacyjnym Windows odkryte przez NSA. Amerykańska agencja rzekomo korzystała z nich od pięciu lat, a Microsoft został powiadomiony o niebezpieczeństwie dopiero w 2017 roku.
Zainfekowane maszyny wyświetlają komunikat o konieczności wpłacenia okupu w bitcoinach na wskazany adres, a następnie przesłania ciągu znaków identyfikującego ofiarę na zaprezentowany na ekranie adres e-mail. To rzekomo miałoby pozwolić otrzymać klucz i odzyskać zaszyfrowane dane. W ciągu kilku godzin od rozprzestrzenienia się szkodnika skrzynka została zablokowana przez dostawcę. Wiele wskazuje jednak na to, że ofiary i tak nie miały szansy na cofnięcie skutków ataku.
Ofiary nie odzyskają danych
Zdaniem badaczy z firmy Kaspersky Lab ciąg znaków stanowiących identyfikator maszyny-ofiary jest generowany losowo i niepowiązany w żaden sposób z kluczem szyfrującym. „To najgorszy możliwy scenariusz – nawet, jeśli ofiara zapłaci okup, nie odzyska danych. Po drugie, to uzasadnia teorię, że głównym motywem ataku ExPetya nie były cele finansowe, ale destrukcja” – czytamy w analizie firmy.
Wielu specjalistów zwraca także uwagę na inne poszlaki wskazujące na użycie schematu ransomware jako zasłony dymnej. Przestępcy korzystali z jednego adresu e-mail jako „punktu kontaktowego” dla ofiar, wiedząc, że narażają się w ten sposób na odcięcie komunikacji. Podobne wątpliwości budzi użycie tylko jednego adresu w sieci bitcoin.
Wiadomo już, że robak nadpisuje w plikach tylko pierwszy megabajt danych. To oznacza, że w przypadku dużych zbiorów większa część pozostaje nietknięta. W niektórych przypadkach możliwe będzie zatem odzyskanie pewnej partii informacji, chociaż proces może okazać się pracochłonny. Kolejne dni przyniosą zapewne następne ustalenia i być może uda się zdobyć poszlaki wskazujące na pochodzenie ataku.
