Petya é uma família de malware criptografado que foi descoberta pela primeira vez em 2016. O malware tem como alvo sistemas baseados no Windows da Microsoft, infectando o registro mestre de inicialização para executar uma carga útil que criptografa a tabela do sistema de arquivos de um disco rígido e impede a inicialização do Windows. Posteriormente, exige que o usuário faça um pagamento em Bitcoin para recuperar o acesso ao sistema.
Variantes do Petya foram vistas pela primeira vez em março de 2016, e se propagaram por meio de anexos de correspondências eletrônicas infectados. Em junho de 2017, uma nova variante do Petya foi usada para um ataque cibernético global, visando principalmente a Ucrânia. A nova variante se propaga por meio da exploração EternalBlue, que geralmente se acredita ter sido desenvolvido pela Agência de Segurança Nacional (A.S.N.) dos Estados Unidos da América (E.U.A.), e foi usado no início do ano pelo ransomware WannaCry. A Kaspersky Lab referiu-se a esta nova versão como NotPetya para distingui-la das variantes de 2016, devido a estas diferenças de funcionamento. Parecia um ransomware, mas sem o recurso de recuperação funcional era equivalente a um limpador. Os ataques NotPetya foram atribuídos ao governo russo, especificamente ao grupo de hackers Sandworm dentro da organização de inteligência militar russa GRU, por pesquisadores de segurança, Google e vários governos.
História Petya foi descoberto em março de 2016; A Check Point observou que embora tivesse alcançado menos infecções do que outros ransomware ativos no início de 2016, como o CryptoWall, continha diferenças notáveis na operação que fizeram com que fosse "imediatamente sinalizado como o próximo passo na evolução do ransomware". Outra variante do Petya descoberta em maio de 2016 continha uma carga secundária usada se o malware não conseguisse obter acesso de nível de administrador.
O nome "Petya" é uma referência ao filme GoldenEye de James Bond de 1995, em que Petya é um dos dois satélites de armas soviéticos que carregam um "Goldeneye" - uma bomba atômica detonada na órbita baixa da Terra para produzir um pulso eletromagnético. Uma conta do Twitter que a Heise sugeriu que pode ter pertencido ao autor do malware, chamada "Janus Cybercrime Solutions" em homenagem ao grupo criminoso de Alec Trevelyan em GoldenEye, tinha um avatar com uma imagem do personagem de GoldenEye Boris Grishenko, um hacker russo e antagonista no filme interpretado pelo ator escocês Alan Cumming.
Em 30 de agosto de 2018, um tribunal regional em Nikopol, na região de Dnipropetrovsk, na Ucrânia, condenou um cidadão ucraniano não identificado a um ano de prisão após se declarar culpado de ter espalhado uma versão do Petya online.
Ataque cibernético de 2017
right|thumb|Nota de resgate do NotPetya mostrada em um sistema comprometido Em 27 de junho de 2017, teve início um grande ataque cibernético global (as empresas ucranianas foram das primeiras a declarar que estavam sendo atacadas), utilizando uma nova variante do Petya. Naquele dia, a Kaspersky Lab relatou infecções em França, Alemanha, Itália, Polónia, Reino Unido e Estados Unidos, mas que a maioria das infecções teve como alvo a Rússia e a Ucrânia, onde mais de 80 empresas foram inicialmente atacadas, incluindo o Banco Nacional da Ucrânia. A ESET estimou em 28 de junho de 2017 que 80% de todas as infecções ocorreram na Ucrânia, sendo a Alemanha a segunda mais atingida, com cerca de 9%. O secretário de imprensa do presidente russo Vladimir Putin, Dmitry Peskov, afirmou que o ataque não causou danos graves na Rússia. Os especialistas acreditam que este foi um ataque com motivação política contra a Ucrânia, uma vez que ocorreu na véspera do feriado ucraniano, Dia da Constituição.
A Kaspersky apelidou esta variante de "NotPetya", pois apresenta grandes diferenças em suas operações em comparação com variantes anteriores. O engenheiro da McAfee, Christiaan Beek, afirmou que esta variante foi projetada para se espalhar rapidamente e que tinha como alvo "companhias de energia completas, rede elétrica, estações de ônibus, postos de gasolina, aeroporto e bancos".
Acreditava-se que o mecanismo de atualização de software do M.E.Doc – um programa ucraniano de preparação de impostos que, segundo Mikko Hyppönen, analista da F-Secure, “parece ser de fato” entre as empresas que fazem negócios no país – havia sido comprometido para espalhar o malware. A análise da ESET descobriu que um backdoor estava presente no sistema de atualização por pelo menos seis semanas antes do ataque, descrevendo-o como uma "operação cuidadosamente bem planejada e bem executada". Os desenvolvedores do M.E.Doc negaram que fossem inteiramente responsáveis pelo ataque cibernético, afirmando que também foram vítimas.
Em 4 de julho de 2017, a unidade de crimes cibernéticos da Ucrânia apreendeu os servidores da empresa após detectar "novas atividades" que acreditava que resultariam na "proliferação descontrolada" de malware. A polícia ucraniana aconselhou os usuários do M.E.Doc a pararem de usar o software, pois presumia que o backdoor ainda estava presente. A análise dos servidores apreendidos revelou que as atualizações de software não eram aplicadas desde 2013, havia provas da presença russa e a conta de um funcionário nos servidores tinha sido comprometida; o chefe das unidades alertou que o M.E.Doc poderia ser considerado criminalmente responsável por possibilitar o ataque devido à sua negligência em manter a segurança de seus servidores.
Operação A carga útil do Petya infecta o registro de inicialização mestre (R.I.M.) do computador, sobrescreve o carregador de inicialização do Windows e aciona uma reinicialização. Na inicialização, a carga útil criptografa a tabela de arquivos mestre (M.F.T.) do sistema de arquivos NTFS e, em seguida, mostra a mensagem de resgate exigindo um pagamento feito em Bitcoin. Enquanto isso, a tela do computador mostra uma saída supostamente do chkdsk, o varredor do sistema de arquivos do Windows, sugerindo que os setores do disco rígido estão sendo reparados.
A carga útil original exigia que o usuário concedesse privilégios administrativos; uma variante do Petya foi fornecida com uma segunda carga útil, Mischa, que era ativada se o Petya falhasse na instalação. A Mischa é uma carga útil de ransomware mais convencional que criptografa documentos do usuário, bem como arquivos executáveis, e não requer privilégios administrativos para ser executada. As versões anteriores do Petya disfarçavam sua carga como um arquivo de Formato de documento portátil (P.D.F.), anexado a uma correspondência eletrônica. A Equipe de resposta a emergências informáticas dos Estados Unidos (U.S.-C.E.R.T.) e o Centro nacional de segurança cibernética e integração de comunicações (N.C.C.I.C.) divulgaram o relatório de descobertas iniciais de malware (M.I.F.R.) sobre Petya em 30 de junho de 2017.
A variante "NotPetya" usada no ataque de 2017 usa a EternalBlue, uma exploração que tira vantagem de uma vulnerabilidade no protocolo Bloco de mensagens de servidor (S.M.B.) do Windows. Acredita-se que a EternalBlue tenha sido desenvolvida pela Agência de Segurança Nacional dos E.U.A. (A.S.N.); ela vazou em abril de 2017 e também foi usada pelo WannaCry. O malware coleta senhas (usando uma versão aprimorada da Mimikatz de código aberto) e usa outras técnicas para se espalhar para outros computadores na mesma rede, e usa essas senhas em conjunto com o PSExec para executar código em outros computadores locais. Além disso, embora ainda pareça ser um ransomware, a rotina de criptografia foi modificada para que o malware não pudesse reverter tecnicamente suas alterações. Esta característica, juntamente com outros sinais incomuns em comparação com o WannaCry (incluindo a taxa de desbloqueio relativamente baixa de US$ 300, e o uso de uma única carteira Bitcoin fixa para coletar pagamentos de resgate em vez de gerar uma ID exclusiva para cada infecção específica para fins de rastreamento), levou os pesquisadores a especularem que esse ataque não tinha a intenção de ser um empreendimento gerador de lucro, mas de danificar dispositivos rapidamente e desviar a atenção da mídia que o WannaCry recebeu ao alegar ser um ransomware.
Mitigação
Descobriu-se que pode ser possível interromper o processo de criptografia se um computador infectado for desligado imediatamente quando a tela fictícia do chkdsk aparecer, e um analista de segurança propôs que a criação de arquivos somente de leitura chamados perfc e/ou perfc.dat no diretório de instalação do Windows pode impedir a execução da carga útil da tensão atual. O endereço de correio eletrônico listado na tela de resgate foi suspenso por seu provedor, Posteo, por violar seus termos de uso. Como resultado, os usuários infectados não conseguiram enviar a confirmação de pagamento necessária ao perpetrador. Além disso, se o sistema de arquivos do computador fosse baseado em Tabela de alicação de arquivos (F.A.T.), a sequência de criptografia da tabela de arquivos mestre era ignorada e apenas a mensagem do ransomware era mostrada, permitindo que os dados fossem recuperados de maneira trivial.
A Microsoft já havia lançado correções para versões suportadas do Windows em março de 2017 para resolver a vulnerabilidade EternalBlue. Isto foi seguido por correções para as versões do Windows que não são mais suportadas (como o Windows XP) em maio de 2017, logo após o WannaCry. A Wired acredita que "com base na extensão dos danos que a Petya causou até agora, parece que muitas empresas adiaram a correção, apesar da ameaça clara e potencialmente devastadora de uma propagação de ransomware semelhante." Algumas empresas podem considerar isso muito perturbador para instalar atualizações em determinados sistemas, seja devido a possíveis tempos de inatividade ou problemas de compatibilidade, o que pode ser problemático em alguns ambientes.
Impacto Num relatório publicado pela Wired, uma avaliação da Casa Branca estimou os danos totais provocados pela NotPetya em mais de 10 bilhões de dólares. Esta avaliação foi repetida pelo antigo conselheiro de Segurança Interna, Tom Bossert, que na altura do ataque era o funcionário mais graduado do governo dos E.U.A. com foco em segurança cibernética.
Durante o ataque iniciado em 27 de junho de 2017, o sistema de monitorização da radiação na Central nuclear de Chernobyl, na Ucrânia, ficou offline. Vários ministérios, bancos e sistemas de metrô ucranianos também foram afetados. Diz-se que foi o ataque cibernético mais destrutivo de todos os tempos.
Entre os afetados em outros lugares estavam a empresa de publicidade britânica WPP, a Maersk Line, a empresa farmacêutica americana Merck & Co. (fazendo negócios internacionalmente como MSD), a empresa petrolífera russa Rosneft (sua produção de petróleo não foi afetada), o escritório de advocacia multinacional DLA Piper, a empresa de construção francesa Saint-Gobain e suas lojas de varejo e subsidiárias na Estônia, a empresa britânica de bens de consumo Reckitt Benckiser, a empresa alemã de cuidados pessoais Beiersdorf, a empresa de logística alemã DHL, a empresa de alimentos dos Estados Unidos Mondelēz International e a operadora hospitalar americana Heritage Valley Health System. o processo foi resolvido em 2022, com os termos do acordo permanecendo confidenciais.
Reação