Киберполиция рассказала, в каких случаях можно восстановиться после вируса Petya
Киберполиция установила три варианта вмешательства троянской программой Petya и рассказала, в каких случаях информацию можно восстановить.
Об этом сообщает пресс-служба ведомства, передает .
Киберполиция в процессе исследования вируса Petya и его вредного воздействия на компьютеры пользователей обнаружила несколько вариантов его вмешательства (в случае предоставления трояну при его запуске, прав администратора).
В первом случае компьютеры заражены и зашифрованы, система полностью скомпрометирована. Восстановление содержания требует знания закрытого ключа. На экране компьютеров выводится окно с сообщением о требовании уплаты средств для получения ключа разблокировки файлов.
Во втором случае компьютеры заражены, частично зашифрованы. Система начала процесс шифрования, но внешние факторы, например отключение питания, прекратили процесс шифрования.
В третьем случае компьютеры заражены, но при этом процесс шифрования таблицы MFT еще не начался.
В киберполиции отметили, что в том, что касается первого сценария – в настоящее время не установлен способ, который гарантированно проводит расшифровку данных. Решением этого вопроса совместно занимаются специалисты Департамента киберполиции, СБУ, ГССИЗИ, отечественных и международных ИТ-компаний.
В то же время в двух последних случаях есть шанс восстановить информацию на компьютере, поскольку таблица разметки MFT не нарушена или нарушена частично, а это значит, что, восстановив загрузочный сектор MBR системы, машина запускается и может работать.
Таким образом, в киберполиции установили, что троянская программа Petya работает в несколько этапов.
Первый: получение привилегированных прав (права администратора). На многих компьютерах в архитектуре Windows (Active Directory) эти права отключены. Вирус сохраняет оригинальный загрузочный сектор операционной системы (MBR) в зашифрованном виде битовой операции XOR (xor 0x7), а затем записывает свой загрузчик на место вышеуказанного сектора, остальные кода трояна записывается в первые сектора диска. На этом этапе создается текстовый файл шифрования, но на самом деле данные еще не зашифрованы.
Второй: после перезагрузки наступает вторая фаза работы вируса, он обращается уже на свой конфигурационный сектор в котором установлен флаг, что данные еще не зашифрованы и их нужно зашифровать, и начинается процесс шифрования, который имеет вид работы программы Check Disk.
Напомним, 27 июня ряд государственных органов власти, финансовых учреждений и крупных предприятий, в том числе и международных аэропортов, подверглись массированной кибератаке.
Полиция получила более 2 тысяч обращений из-за кибератаки.
По данным компании ESET, разрабатывающей программное обеспечение для борьбы с вредоносными компьютерными программами, на Украину пришлось 75% атак вируса Petya.
