Служба безпеки України оприлюднила рекомендації щодо захисту комп'ютерів від кібератаки вірусу-вимагача

За даними СБУ, інфікування операційних систем переважно відбувалося через відкриття шкідливих додатків (документів Word, PDF-файлів), які були надіслані на електронні адреси багатьох комерційних та державних структур.

Атака, основною метою якої було розповсюдження шифрувальника файлів Petya.A, використовувала мережеву вразливість MS17-010, внаслідок експлуатації якої на інфіковану машину встановлювався набір скриптів, що використовували зловмисники для запуску згаданого шифрувальника файлів.

Вірус атакує комп'ютери під управлінням ОС Microsoft Windows шляхом шифрування файлів користувача, після чого виводить повідомлення про перетворення файлів з пропозицією здійснити оплату ключа дешифрування у біткоїнах в еквіваленті суми $300 для розблокування даних. На сьогодні зашифровані дані, на жаль, розшифруванню не підлягають.

Рекомендації

1. Якщо комп'ютер увімкнений і працює нормально, але ви підозрюєте, що він може бути заражений, ні в якому разі не перезавантажуйте його (якщо ПК уже постраждав – також не перезавантажуйте його) – вірус спрацьовує при перезавантаженні і зашифровує всі файли, які містяться на комп'ютері.

Читайте також: Кібератака: яких заходів безпеки варто вжити

2. Збережіть усі файли, які найбільш цінні, на окремий не підключений до комп'ютера носій, а в ідеалі – резервну копію разом з операційною системою.

3. Для ідентифікації шифрувальника файлів необхідно завершити всі локальні задачі та перевірити наявність такого файлу – C:\Windows\perfc.dat.

4. Залежно від версії ОС Windows встановити патч із ресурсу, а саме:

– для Windows XP;
– для Windows Vista 32 bit;
– для Windows Vista 64 bit;
– для Windows 7 32 bit;
– для Windows 7 64 bit;
– для Windows 8 32 bit;
– для Windows 8 64 bit;
– для Windows 10 32 bit;
– для Windows 10 64 bit.

Знайти посилання на завантаження відповідних патчів для інших (менш розповсюджених та серверних версій) OC Windows можна за посиланням.

5. Переконатися, що на всіх комп'ютерних системах встановлене антивірусне програмне забезпечення функціонує належним чином та використовує актуальні бази вірусних сигнатур. За необхідністю встановити й оновити антивірусне програмне забезпечення.

6. Для зменшення ризику зараження слід уважно ставитися до всієї електронної кореспонденції, не завантажувати та не відкривати додатки в листах, які надіслані з невідомих адрес. У випадку отримання листа з відомої адреси, який викликає підозру щодо його вмісту, – зв'язатися із відправником та підтвердити факт відправки листа.

7. Зробити резервні копії усіх критично важливих даних.

Довести до працівників структурних підрозділів зазначену інформацію та рекомендації, не допускати працівників до роботи із комп'ютерами, на яких не встановлено вказані патчі, незалежно від факту підключення до локальної чи глобальної мереж.

Існує можливість спробувати відновити доступ до заблокованого зазначеним вірусом комп'ютера з ОС Windows.

Оскільки зазначене ШПЗ вносить зміни до МBR запису, замість завантаження операційної системи користувач бачить вікно з текстом про шифрування файлів. Ця проблема вирішується відновленням MBR запису. Для цього існують спеціальні утиліти. Ми використовували для цього утиліту "Boot-Repair". Інструкція.

Потрібно завантажити ISO образ "Boot-repair". Потім за допомогою однієї з вказаних в інструкції утиліт створюємо Live-USB (ми використовували Universal USB Installer). Завантажитись зі створеної Live-USB та далі йти за інструкцією з відновлення MBR запису.

Після цього Windows завантажується нормально. Але більшість файлів з розширеннями doc, dox, pdf тощо будуть зашифровані. Для їх розшифрування потрібно чекати, поки буде розроблено дешифратор, радимо завантажити потрібні зашифровані файли на USB-носій або диск для подальшого їх розшифрування та перевстановити операційну систему.

Читайте також: #Petya кличе всіх на вулицю гуляти! Масштабна хакерська атака в Україні. Реакція соцмереж

Додатково до зазначених рекомендацій можна скористатися рекомендаціями антивірусних компаній.

a). Завантажте утиліту Eset LogCollector.

b). Запустіть і переконайтеся в тому, що були встановлені усі галочки у вікні "Артефакти для збору".

c). У вкладці "Режим збору журналів Eset" встановіть – "Вихідний двійковий код із диску".
d). Натиснить на кнопку "Зібрати".
e). Надішліть архів із журналами.

Якщо постраждалий ПК увімкнений та його ще не вимикали, перейдіть до виконання
п. 3 для збору інформації, яка допоможе написати декодер,
п. 4 для лікування системи.

Із уже ураженого ПК (який не завантажується) потрібно зібрати MBR для подальшого аналізу. Зібрати його можливо за такою інструкцією:

a). Завантажуйте з ESET SysRescue Live CD або USB (створення в описано в п.3)
b). Погодьтесь з ліцензією на користування
c). Натисніть CTRL+ALT+T (відкриється термінал)
d). Напишить команду "parted -l" без лапок, параметр цього маленька буква "L" і натисніть
e). Перегляньте список дисків та ідентифікуйте уражений ПК (повинен бути один з /dev/sda)
f). Напишіть команду "dd if=/dev/sda of=/home/eset/petya.img bs=4096 count=256" без лапок, замість "/dev/sda" використовуйте диск, який визначили у попередньому кроці і натисніть (Файл /home/eset/petya.img буде створений)
g). Підключіть флешку і скопіюйте файл /home/eset/petya.img
h). Комп'ютер можна вимкнути.

Більше інформації – на сайті СБУ.