Hvad var årsagerne til den seneste Petya / NotPetya / GoldenEye ransomware udbrud? I betragtning af omstændighederne omkring denne uges malware katastrofe, sikkerhedseksperter har kæmpet for at forstå, hvorfor kampagnen skete i første omgang. Hvem stod bag det? den Petya / GoldenEye angreb meste kompromitteret organisationer i Ukraine, men andre lande blev ramt så godt. Virksomheder i ca. 60 lande blev ramt. Yderligere analyser viser også, at angrebet foregav at være ransomware for at skjule sin sande formål.
Malware foregiver at være Ransomware har mange navne – Petya / NotPetya / GoldenEye / PetrWrap / expetis
Den allerførste ting at nævne her er, at forskerne har givet dette betinget kaldet ransomware en række navne. Det er faktisk ganske forvirrende. Nogle forskere, der straks så lighederne med den tidligere kendte Petya ransomware sagde blot dette var Petya igen. Men, andre forskere kalder det NotPetya, eller GoldenEye, en variant af Petya.
Som vi allerede skrev, Petya / GoldenEye er blevet rapporteret til at målrette primært Ukraine, men malware spredes hurtigt over hele verden. Den ransomware krypterer alle filer på en harddisk og MBR af selve drevet, hvilket gør det næsten umuligt for dig at gendanne dine filer, selvom du betaler løsesummen.
Dekryptering Impossible Selv ved ransomware Forfattere
Forskere ved Kaspersky opdagede, at kryptering af denne ransomware er konstrueret således, at selv om en betaling, de malware forfattere kan ikke dekryptere harddisken, selv om de ønskede at. De samme forskere har fundet andre ligheder med en Petya variant kaldet PetrWrap, som blev angribe organisationer marts. De døbt ransomware ExPetr, forklarer, at:
De første publikationer i massemedierne erklærede, at nye malware var forbundet med kendte skadelige programmer WannaCry og Petya. Men, i henhold til Kaspersky Labs forskning dette er nyt malware med nogle mindre ligheder til PetrWrap (Petya modifikation), men mest sandsynligt at have nogen forbindelse med det. Vi kalder det ”ExPetr”, at understrege, at dette ikke er PetrWrap.
Uanset hvad dens navn er, vi alle er enige om én ting - den ransomware har igen formået at skabe en stressende rod på globalt plan. Det er derfor, forskere er begyndt at lime sammen de forskellige stykker af information og data med det formål at skitsere, hvad der skete, og endnu vigtigere - hvorfor.
Motivation Bag Petya / NotPetya / GoldenEye angreb
Nogle forskere siger, at det har været yderst vanskeligt at identificere motivation og årsagen til denne ondsindede kampagne. Ikke desto mindre, er der flere faktorer, der kan hjælpe efterforskningen.
Den allerførste ting at bemærke er, at Ukraine var en af de primære mål i udbruddet. I Ukraine den mange-faced ransomware var at sprede gennem Médoc, regnskabs software, som er populær i landet. Sikkerhed forskere afsløret at angriberne syntes at have overtrådt virksomhedens edb-systemer og var i stand til at målrette en softwareopdatering blev skubbet til kunderne juni 22. Denne enkelt begivenhed kan have ført til udbruddet.
På den anden side, Reuters har påpegede det følgende:
Det primære mål for en lammende computervirus, der spredes fra Ukraine over hele verden i denne uge er meget sandsynligt, at have været, at landets computer-infrastruktur, en top ukrainsk politi embedsmand til Reuters torsdag.
Et stigende antal forskere mener, at det vigtigste formål med angrebet var at installere ny malware på statslige og virksomhedens maskiner i Ukraine. Formålet med hele kampagnen kan ikke have været afpresse målene, men plantning af frø til fremtidige angreb.
Det er klart, at økonomisk gevinst ikke var hensigten med angrebet. Desuden, malwaren er designet til at overskrive Master Boot Record (MBR) og kryptere individuelle filer matcher en liste over filtypenavne. Mængden af den løsesum, $300 i Bitcoin, er heller ikke tilstrækkelig nok, og hvad værre, betale det vil ikke få ofrenes filer tilbage. Hvad forskerne siger, er, at Petya / GoldenEye / NotPetya foregiver at være ransomware men er i virkeligheden noget andet. Det er også menes at truslen aktører bag det gjorde dekryptering umuligt bevidst.
Indsamling Ransom betalinger ikke det primære formål med angreb
Det er spændende, at angriberne brugte en masse teknik i at udvikle og sprede ransomware men gjorde næsten intet at gøre ofre betale løsesummen. Hvis det var virkelig et stykke af ransomware, indsamle løsesum betalinger burde have været det primære formål med hele operationen.
Kaspersky analyse også for nylig afsløret at mere end 50% af de virksomheder, angribes af de mange-faced ransomware er industrivirksomheder.
Desuden, de første organisationer, der blev angrebet tilhørte kritisk infrastruktur såsom lufthavne, gasselskaber, offentlig transport, etc.
Det faktum, at hjemmebrugere ikke blev angrebet på sådan en skala på bekostning af organisationer taler om truslen aktørers dagsorden.
De fleste forskere mener, at angrebet enten blev udført af en hacktivist søger at bringe bevidsthed til de sårbarheder, vi er omgivet af, eller nation-state hackere søger at dække deres spor. Den mest overbevisende og bekvem måde at gøre verden tror, det er en anden WannaCry udbrud er ved at gøre det til at ligne en.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: