Согласно составленному экспертами описанию, вирус атакует компьютеры используя сразу несколько уязвимостей, в том числе эксплоит EternalBlue, который ранее использовался раньше в WannaCry, и EternalRomance, способный инфицировать устройства в сети через ТСР-порт 445. Именно эту уязвимость закрыла Microsoft выпустив обновление MS17-010.
Еще одним вектором атаки стало «нападение» через уязвимость в стороннем украинском приложении MeDoc, которое компании используют для подачи отчетов и документооборота.
После заражения одного из компьютеров в сети, используя права администратора, вирус заражал все остальные компьютеры через WMI or PSEXEC.
Заразив компьютер вирус в течение 10-60 минут перезагружал систему, после чего начинается шифрование содержание диска. Основной целью вируса является главная загрузочная запись (MBR) жесткого диска, впрочем, в случае невозможности получить к ней доступ вирус просто шифрует файлы. После того как шифрование завершиться взору пользователя предстает окно с требованием выкупа.
Для шифрования информации на жестких дисках 128-битное AES-шифрование с открытым ключом (RSA-2048), что делает практически невозможной самостоятельный подбор ключа для дешифровки.
За предоставление ключа хакеры требуют $300 в биткоинах. Киберпреступники уже получили 2,54 биткоина, т.е. порядка $6 тыс. По темпам получения выкупа Petya существенно опередил WannaCry.
В целом же, всем, кто не хочет стать жертвой киберпреступников, эксперты рекомендуют обновить операционную систему Windows, а также сократить до минимума привилегии пользователей на рабочих станциях.
Если же заражения избежать не удалось, то платить злоумышленникам не стоит, уверяют они. Почтовый адрес нарушителей уже заблокирован, и даже если перевести на их счет указанную сумму, вероятность получить ключ для расшифровки файлов практически нулевая, указывают эксперты.
