A ma ismert zsarolóprogramok, például a Magyarországon is jelentős pusztítást végző Locky, a CryptoWall és a TeslaCrypt egyesével titkosítják a merevlemezen található dokumentumokat, táblázatokat és képeket. A G DATA szakértői által most felfedezett Petya az első olyan zsarolóprogram, amely a teljes merevlemezt zárolja, méghozzá rendkívül gyorsan.

A Petya készítői a cégeket támadják. A kártevőt jellemzően a HR osztályoknak küldik e-mailben, „Jelentkezés állásra” tárggyal. A levél törzse egy Dropbox linket tartalmaz, ahonnan a HR-munkatárs letöltheti a munkakereső „portfólióját”.

A linkre kattintva egy végrehajtható .exe fájl kerül letöltésre, amelynek neve lefordítva körülbelül „jelentkezés_portfólió-becsomagolt.exe”. A fájl futtatásakor azonban a PC kékhalált hal, azaz összeomlik, majd újraindul. Az újraindulás előtt a zsarolóprogram manipulálja a merevlemez első szektorát, az úgynevezett Master Boot Recordot (MBR), így átveszi az irányítást a gép felett.

A kártevő ilyenkor egy fekete képernyőt jelenít meg, amely megtévesztő módon azt mutatja, mintha a számítógép ellenőrzésre és javításra kerülne. Valójában ez az a pillanat, amikor a Petya zárolja a merevlemezt. Jelenleg a G DATA szakértői azt feltételezik, hogy a fájlok maguk nem kerülnek titkosításra, csak az elérésük blokkolt.

A következő – piros halálfejet mutató – képernyő már világosan jelzi a problémát. 

virusirto.hu

Egy billentyű lenyomására pedig megjelenik a TOR böngésző mögé megbújó bűnözők instrukciója is: fel kell keresnünk egy adott weboldalt, ahol meg kell adnunk személyes titkosító kulcsunkat. Az oldalon tájékoztatást kapunk arról, hogy a merevlemezt „katonai szintű titkosítással” zárolták a bűnözők, és megtudhatjuk, hogyan fizethetünk azért, hogy visszakapjuk adatainkat. Az ár minden héten megduplázódik. 

virusirto.hu

A Petya zsarolóprogramot a G DATA „Win32.Trojan-Ransom.Petya.A” néven azonosítja, a vírusvédelmi cég már elkészítette a kártevő ellenszerét, és blokkolta a letöltési linkeket.

Mivel azonban megjelenhetnek új, jelenleg még ismeretlen változatok is, a G DATA arra figyelmeztet, hogy néhány egyszerű szabályt mindig be kell tartani. Az első ilyen, hogy folyamatosan gondoskodjunk az adatok mentéséről. Fontos emellett, hogy a HR osztály munkatársai figyelmet fordítsanak arra, hogy ne töltsenek le, és ne indítsanak el végrehajtható fájlokat. A hamis életrajz elindítása után a fertőzés már nem akadályozható meg.

Amennyiben mégis bekövetkezik a fertőzés, a rendszergazdák azonnal kapcsolják le a hálózatról az érintett számítógépeket, hogy a kártevő terjedését meggátolják. Jelenleg még nem világos, hogy az adatok visszanyerhetőek-e, a váltságdíj kifizetését azonban a szakértők nem javasolják.