Что стоит за вирусной атакой хакеров на планету?

Крупнейшая в мире датская транспортная компания Mayersk, британское рекламное агентство WPP, российские компании «Роснефть», «Башнефть», банки России и Украины, международный аэропорт «Борисполь», Киевский метрополитен и даже правительство Украины, компьютерные сети США, Индии, Нидерландов, Франции, Испании, Норвегии... Все это — лишь малая часть жертв вируса–вымогателя Petya, поразившего на этой неделе планету. Подобной кибератаки, пожалуй, человечество еще не знало.

Зловредный Petya блокирует компьютеры, не позволяя им запустить операционную систему. За возобновление работы и расшифровку файлов он требует выкуп в криптовалюте — биткоинах — в размере 300 долларов. «Лаборатория Касперского» уже вычислила, что вирусы используют поддельную электронную подпись Microsoft. В результате даже тщательно защищенные компьютеры и сети воспринимают их как программы, разработанные доверенным автором и гарантирующие, что не нанесут вреда.

Между тем вред уже нанесен немалый. В Украине пришлось отключить компьютерную систему мониторинга радиационного фона на Чернобыльской АЭС. Перестал работать и официальный сайт ЧАЭС. Проникновение вируса в компьютерные системы по меньшей мере одной АЭС расследуется в эти дни и в США.

Нынешнему вирусу Petya предшествовал другой — WannaCry, масштабная атака которого произошла 12 мая. Тогда больше всех пострадала Россия. Майская кибератака здесь затронула не только Сбербанк и компанию «МегаФон», но и МВД и Минздрав. Эксперты американской компании Flashpoint пришли к выводу, что создателями вируса–вымогателя WannaСry могут быть выходцы из Южного Китая, Гонконга, Тайваня или Сингапура. Андрей Барисевич, представитель фирмы Recorded Future, специализирующейся на компьютерной безопасности, видит ситуацию практически безвыходной:

— Южнокорейская хостинговая компания заплатила миллион долларов, чтобы восстановить данные. Это огромная мотивация, это самое большое вознаграждение, которое могли бы предложить киберпреступнику.

К счастью, в Беларуси пока зафиксировано лишь несколько случаев заражения компьютеров вирусом–вымогателем. В частности — на одном из заводов в Бобруйске и в частной компании в Минске. В адрес Национального центра реагирования на компьютерные инциденты поступили единичные обращения, связанные с этим, то есть волны заражений нет. Но открытость Беларуси и ее компьютерных сетей не дают поводов для самоуспокоения, обращает внимание белорусский эксперт Вадим Боровик:

— Не факт, что удастся найти источник этих кибератак. А без этого говорить о мотивах создателей таких вирусов сложно. Но уже понятно: это не теракт, раз создатели вирусов требуют деньги за разблокировку компьютеров. То есть у них экономический интерес. Что, впрочем, не меняет главного: страны, предприятия и их системы безопасности должны быть готовы к новым способам ведения кибервойн, кибератак. Нужно срочно вырабатывать адекватные решения, так как такие атаки могут повлечь за собой серьезные последствия как экономического, так и политического характера. Факт проникновения вируса в системы АЭС говорит сам за себя.

На еще один важный момент обращает внимание «Лаборатория Касперского». Если ваш компьютер уже заражен данным шифровальщиком и файлы заблокированы, платить выкуп не рекомендуется. Дело в том, что вернуть файлы это не поможет: служба e–mail, услугами которой пользовались создатели вируса, уже заблокировала почтовые адреса, на которые должны приходить данные об уплате выкупа. Так что даже если вы переведете деньги, вам просто не удастся связаться с ними, подтвердить перевод и получить ключ, необходимый для восстановления файлов.

Тем временем эксперты компаний Positive Technologies и Symantec рекомендуют для защиты от заражения вирусом–вымогателем Petya создать иллюзию, что компьютер уже заражен. Дело в том, что этот вирус в момент атаки ищет на компьютере файл C:\Windows\perfc. И если такой файл уже есть, вирус заканчивает работу без заражения. Чтобы создать такую защиту от Petya, можно использовать обычный «Блокнот». Причем разные источники советуют создавать либо файл perfc (без расширения), либо perfc.dll. Специалисты также советуют сделать файл доступным только для чтения, чтобы вирус не мог внести в него изменения. Обязательным для Windows–пользователей является и установка обновления.

osipov@sb.by