Появился новый опасный вирус-вымогатель Petya.A: заражены «Роснефть» и десятки других. Роснефть подверглась атаке вируса-шифровальщика Petya

Компания «Роснефть» пожаловалась на мощную хакерскую атаку на свои сервера. Об этом компания сообщила в своем Twitter . «На серверы компании осуществлена мощная хакерская атака. Мы надеемся, что это никак не связано с текущими судебными процедурами», - указывается в сообщении.

«По факту кибератаки компания обратилась в правоохранительные органы», - говорится в сообщении. В компании подчеркнули, что хакерская атака могла привести к серьезным последствиям, однако «благодаря тому, что компания перешла на резервную систему управления производственными процессами, ни добыча, ни подготовка нефти не остановлены». Собеседник газеты «Ведомости», близкий к одной из структур компании, указывает , что все компьютеры в НПЗ «Башнефти», «Башнефть-Добыче» и управлении «Башнефти» «единомоментно перезагрузились, после чего скачали неустановленное программное обеспечение и вывели на экран заставку вируса WannaCry».

На экране пользователям было предложено перевести $300 в биткоинах по указанному адресу, после чего пользователям якобы будет выслан ключ для разблокировки компьютеров на e-mail. Вирус, судя из описания, зашифровал все данные на пользовательских компьютерах.

Group-IB, занимающаяся предотвращением и расследованием киберпреступлений и мошенничеств, идентифицировала вирус, поразивший нефтяную компанию, сообщили Forbes в компании. Речь идет о вирусе-шифровальщике Petya, который атаковал не только «Роснефть». Специалисты Group-IB. выяснили, что атакованы около 80 компаний России и Украины: сети «Башнефти», «Роснефти», украинских компаний «Запорожьеоблэнерго», «Днепроэнерго» и Днепровской электроэнергетической системы, Mondelēz International, «Ощадбанк», Mars, «Новая Почта», Nivea, TESA и другие. Киевский метрополитен также подвергся хакерской атаке. Атакованы правительственные компьютеры Украины, магазины Ашан, украинские операторы (Киевстар, LifeCell, УкрТелеКом), ПриватБанк. Аэропорт «Борисполь», предположительно, также подвергся хакерской атаке.

Вирус распространяется или как wannacry, или через рассылку - сотрудники компаний открывали вредоносные вложения в письмах электронной почты. В результате компьютер жертвы блокировался и MFT (файловая таблица NTFS) надежно шифровалась, объясняет представитель Group-IB. При этом на экране блокировки не указано название программы-шифровальщика, что осложняет процесс реагирования на ситуацию. Также стоит отметить, что в Petya используется стойкий алгоритм шифрования и нет возможности создать инструмент расшифровки. Шифровальщик требует $300 в биткоинах. Потерпевшие начали уже переводить деньги на кошелек злоумышленников.

Специалисты Group-IB установили, что недавно модифицированную версию шифровальщика Petya - «PetrWrap» использовала группа Cobalt для сокрытия следов целевой атаки на финансовые учреждения. Преступная группа Cobalt известна тем, что успешно атаковала банки по всему миру - России, Великобритании, Нидерландах, Испании, Румынии, Белоруссии, Польши, Эстонии, Болгарии, Грузии, Молдавии, Киргизии, Армении, Тайване и Малайзии. Эта структура специализируется на бесконтактных (логических) атаках на банкоматы. Кроме систем управления банкоматами, киберпреступники стараются получить доступ к системам межбанковских переводов (SWIFT), платежным шлюзам и карточному процессингу.

В пресс-службе компании Group-IB, которая занимается расследованием киберпреступлений, РБК сообщили, что хакерская атака на ряд компаний при помощи вируса-шифровальщика Petya «очень схожа» с атакой, которая произошла в середине мая при помощи вредоносной программы WannaCry. Petya блокирует компьютеры и требует взамен $300 в биткоинах.

«Атака произошла около 14.00. Судя по фотографиям, это криптолокер Petya. Способ распространения в локальной сети аналогичен вирусу WannaCry», — следует из сообщения пресс-службы Group-IB.

В это же время сотрудник одной из «дочек» «Роснефти», которая занимается шельфовыми проектами, говорит, что компьютеры не выключались, экраны с красным текстом появились, но не у всех сотрудников. Тем не менее в компании коллапс, работа остановлена. Собеседники также отмечают, что в офисе «Башнефти» в Уфе полностью выключили все электричество.

На момент 15:40 мск официальные сайты «Роснефти» и «Башнефти» недоступны. Факт отсутствия ответа можно подтвердить на ресурсах проверки статуса сервера. Сайт крупнейшей «дочки» «Роснефти» «Юганскнефтегаза» тоже не работает .

Позже компания написала в своем Twitter, что хакерская атака могла привести к «серьезным последствиям». Несмотря на это, производственные процессы, добыча, подготовка нефти не были остановлены благодаря переходу на резервную систему управления, пояснили в компании.

В настоящее время Арбитражный суд Башкирии завершил заседание, на котором рассматривал иск «Роснефти» и подконтрольной ей «Башнефти» к АФК «Система» и «Системе-Инвест» о взыскании 170,6 млрд руб., которые, как утверждает нефтяная компания, «Башнефть» понесла в виде убытков в результате реорганизации в 2014 году.

Представитель АФК «Система» попросил суд отложить следующее заседание на месяц, чтобы стороны успели ознакомиться со всеми ходатайствами. Судья назначила следующее заседание через две недели — на 12 июля, отметив, что у АФК много представителей и они справятся за этот срок.

По материалам СМИ

27 июня мир пострадал от очередной хакерской атаки: вирус с издевательски-легкомысленным именем Petya заблокировал компьютеры во множестве стран, потребовав за возврат доступа к базам данных компаний по 300 долларов. Собрав около 8 тысяч, «Петя» угомонился, оставив, впрочем, массу вопросов.

Самый животрепещущий, конечно - кто, откуда? По версии журнала Fortune - издания весьма авторитетного - «Петя» пришел к нам с Украины. К этой же точке зрения склоняется германская киберполиция, и, что характерно, украинская тоже. «Петя» вышел в большой мир из недр украинской фирмы «Интеллект-Сервис» - разработчика на заказ самого разнообразного программного обеспечения.

В частности, крупнейшим заказчиком компании является украинский оператор сотовой связи Vodafone, более известный как «МТС Украина» - так он и назывался до 2015 года. А вообще же МТС является ключевым активом корпорации АФК «Система», владеет которой небезызвестный Владимир Евтушенков. Уж не приложил ли бизнесмен руку к разработке и запуску «Пети»?

По мнению «Версии» , это более чем вероятно. «Петя» отправился на свою «большую дорогу» как раз накануне заседания Арбитражного суда Башкирии, где рассматривались претензии «Роснефти» к АФК» Система» - бывшему владельцу «Башнефти», перешедшей в распоряжение крупнейшей национальной нефтяной компании. По мнению «Роснефти», своим управлением Евтушенков и его топ-менеджмент нанесли «Башнефти» убытков на 170 миллиардов рублей, возмещения которых и требует по суду.

Суд, кстати, склонен поверить новому владельцу, потому что уже наложил арест на 185 миллиардов рублей, принадлежащих старому, в т.ч., кстати, и на 31,76% акций МТС. В результате состояние Евтушенкова «исхудало» почти вполовину, а нервы самого бизнесмена стали сдавать все чаще. Чего только стоит фальшивое мировое соглашение, неизвестно откуда поступившее в суд - истец его, как выяснилось, в глаза не видел, не то, что подписывать.

Если с подметными письмами не вышло, то следующий логичный шаг - скрыть доказательства сомнительных деяний ответчика, инкриминируемых ему. А доказательства эти хранятся в компьютерах «Башнефти», перешедших вместе со всем остальным ее имуществом к «Роснефти». Так что не стоит смеяться над «Петей» - его создатели не «денег по-легкому срубить» хотели, а концы подчистить.

И, в общем-то, расчет был неплохой. И украинская компания была выбрана не случайно - где, как не на Украине, завязнут все официальные запросы, и сбор доказательств зайдет в тупик? И компьютерная система «Роснефти» пошатнулась под хакерской атакой, но, благодаря системе резервного копирования, все-таки выстояла, на что бывший владелец никак не мог рассчитывать - он, наверное, ожидал, что в системе киберзащиты его оппонента полно прорех, как это было в «Башнефти» времен АФК «Система».

Поэтому, наверное, и поспешили авторы атаки распустить слухи о том, что «Роснефти» пришлось приостановить производство. Нет, производство не встало, но эти слухи лишний раз свидетельствуют о том, что создатели «Пети» были весьма в этом заинтересованы. А на сегодняшний день дискредитация «Роснефти» является пунктом первым в повестке дня структур Владимира Евтушенкова.

Подробно

Крупным планом

В инициативе Росгвардии по ужесточению наказания за незаконную частную охранную деятельность самое интересное - не предлагаемые санкции, а четко определенный самой молодой российской спецслужбой объект приложения силы. Фактически, планируется объявить настоящую войну многоликой армии вахтеров и администраторов.

Одним из ключевых докладчиков Positive Hack Days 9 станет знаменитый исследователь безопасности сетей GSM Карстен Ноль (Karsten Nohl). В студенческие годы его знали как члена сообщества Chaos Computer Club, сегодня Карстен специалист в области шифрования и безопасности данных. Подвергает сомнению и часто опровергает общепринятые идеи о проприетарном программном обеспечении. В своей работе опирается на поддержку Reliance Jio - самой быстрорастущей компании в мире.

Впервые Карстен заявил о себе в 2009 году, когда ему удалось взломать алгоритм кодирования данных в сетях GSM. На конференции Chaos Communication Congress в Берлине он первым публично продемонстрировал процесс взлома.

В 2013 году он обнаружил уязвимость в SIM-картах, которая содержалась в алгоритме шифрования DES (Data Encryption Standard) - он использовался множеством производителей и поддерживался миллионами SIM-карт. Суть атаки заключалась в отправке на телефон специального сообщения, аппарат принимал его за SMS от оператора и выдавал в ответном сообщении криптографическую подпись. Получив это, злоумышленник мог подслушивать разговоры владельца телефона, перехватывать SMS и совершать платежи. На взлом телефона у атакующего могло уйти всего пара минут.

Вместе с Якобом Леллем (Jakob Lell), исследователем компании Security Research Labs, Карстен в 2014 году сообщил об уязвимости устройств USB. С ее помощью злоумышленники могли взломать микроконтроллер и получить возможность управлять компьютером жертвы. Способ получил название BadUSB. В том же году на конференции Chaos Communication Congress Карстен Ноль и исследователь Тобиас Энгель (Tobias Engel) рассказали о серьезных уязвимостях в SS7, которые дают атакующим возможность легко перехватывать телефонные разговоры и SMS-сообщения, даже если в сотовых сетях используются самые современные стандарты шифрования. Уязвимы все телефоны и смартфоны, независимо от операционной системы.

В прошлом году Карстен Ноль и Якоб Лелль на конференции Hack In The Box поделились результатами двухлетнего исследования, в ходе которого они изучили состав обновлений безопасности, выпускаемых крупнейшими производителями устройств на базе Android . Оно показало, что многие крупные производители лишь создают видимость выхода патчей, а на деле многие баги остаются неисправленными.

На PHDays 9, который состоится 21–22 мая 2019 года, Карстен Ноль выступит с докладом «Что там у айсберга под водой: поговорим о реальных киберугрозах». Глобальный анализ данных об уровне защищенности тысяч компаний из десятков отраслей показывает, как непросто бывает большинству организаций интегрировать базовые принципы безопасности. Карстен обсудит с участниками форума, чтó действительно должно волновать общество, стремящееся к информационной безопасности.

Специалисты оценивают урон от вируса Petyа. IT-компании подводят итоги глобальной волны распространения программы-вымогателя. По оценкам ESET, от заражения больше всего пострадала Украина , где и началось распространение вируса. На втором месте среди пострадавших стран находится Италия , а на третьем - Израиль . В первую десятку также вошли Сербия , Венгрия , Румыния , Польша , Аргентина , Чехия и Германия . Россия в данном списке занимает лишь 14-е место.

Petya, как и WannaCry, шифрует все данные на компьютере и требует заплатить 300 долларов в биткоинах. Изначально специалисты пришли к выводу о том, что Petyа использует те же дыры в безопасности, что и его предшественник, информация о них весной была выкрадена у спецслужб США . Однако последние данные показывают: новый вирус сложнее и бьет по компьютерам прицельно, в обход выпущенных компанией Microsoft заплаток.

В России вирус атаковал среди прочих компьютерные сети «Башнефти» и «Роснефти» . Накануне сайты обеих компаний перестали отвечать на запросы. Портал «Роснефти» уже восстановил работу, «Башнефть» на момент публикации статьи была недоступна.

Изначально в «Роснефти» заподозрили, что одной из целей киберпреступников могло быть уничтожение файлов «Башнефти», важных для судебного процесса с участием компании. Однако всю ценную информацию уже удалось восстановить, рассказал Business FM вице-президент и глава информационного департамента нефтяной компании Михаил Леонтьев .

Михаил Леонтьев , пресс-секретарь и вице-президент «Роснефти»

«Башнефть» вообще относительно без потерь вышла из этой ситуации, потому что там сработали системы защиты, больше автономность была, наверное. Я не компьютерный специалист, но тут распространялись как раз некие слухи о том, что в «Башнефти» какие-то отдельные проблемы, это не так. Вообще все сохранилось, были резервные копии, все нормально. Есть последствия какие-то у нас по всей системе, мы их устраняем, но с «Башнефтью» они самые минимальные, хочу вас успокоить - или кого-то расстроить».

В США в связи с распространением вируса Petyа началось расследование. По данным Reuters, среди его жертв были и американские граждане. Министерство внутренней безопасности США заявило, что взаимодействует с другими странами, и советует жертвам вируса не платить шантажистам, поскольку это не гарантирует восстановление доступа к компьютеру.

Тем временем Symantec продемонстрировала метод защиты от вируса. По данным компании, при заражении вирус проверяет наличие на компьютере определенного файла. Если же заранее создать файл с определенным названием вручную, вирус считает компьютер уже зараженным и прекращает работу.