Petya — как работает и как защититься

Petya — вариант вымогателя, который заражает Windows через уязвимость SMBv1 и не шифрует файлы по одному. Он перезаписывает MBR и повреждает MFT, делая систему не загрузочной и требуя выкуп. Немедленно установите последние патчи, удалите поддержку SMBv1 и выполните план реагирования для восстановления систем из резервных копий.

Что произошло

В прошлом месяце мы видели широкое распространение «WannaCry», а на этой неделе появилась новая волна вымогателя, получившего название «Petya» или «Petwrap». Этот вариант использует ту же уязвимость в протоколе SMBv1, что и WannaCry, и быстро распространяется по сетям. Однако способ захвата системы у Petya другой и опаснее.

По сообщениям, Petya за несколько дней поразил сотни тысяч компьютеров. В одном из репортажей указывалось более 300 000 машин за 72 часа и требование выкупа примерно 300 долларов США в биткоинах.

Важно

Petya не шифрует файлы по отдельности. Вместо этого он перезапускает компьютер, перезаписывает загрузочную запись и шифрует таблицу файловой системы, из-за чего система не загружается.

Как работает Petya простыми словами

• Вектор распространения часто использует уязвимость SMBv1 и инструменты, утёкшие из набора NSA. Это позволяет атакующему запускать вредоносный код на уязвимых машинах в сети.
• После заражения вредоносный код перезапускает систему в целях порчи загрузочной области.
• Petya шифрует master file table (MFT) и делает master boot record (MBR) неработоспособным.
• В результате пользователь видит требование выкупа и не может загрузить ОС.

Почему это хуже, чем обычный шифровальщик

Обычные рансомверы шифруют файлы по одному и оставляют систему загружаемой при наличии специальных инструментов восстановления. Petya нарушает структуру диска на уровне загрузчика и таблицы файлов, поэтому восстановление сложнее и чаще требует резервных копий или образов дисков.

Мгновенные действия для всех пользователей

• Не платите выкуп, если это возможно. Платеж не гарантирует восстановление.
• Выключите сеть и отключите от интернета инфицированные машины.
• Сообщите в ИТ-отдел или ответственному за безопасность.
• Если есть возможность, восстановите систему из чистой резервной копии.

Немедленные шаги для системных администраторов

1. Установите все доступные обновления Windows немедленно. Microsoft выпустила исправления ранее и даже выполнила патч для устаревшей Windows XP.
2. Отключите поддержку SMBv1 на всех машинах и на серверных компонентах. Для Windows 10 и 8.1:

• Откройте Панель управления (поиск через Пуск)
• Выберите Программы и компоненты
• Нажмите Включение или отключение компонентов Windows
• Найдите поддержку SMB 1.0/CIFS File Sharing
• Снимите галочку и перезагрузите компьютер

3. Проверьте журналы безопасности и сетевой трафик на признаки распространения по сети.
4. Изолируйте подозрительные хосты и снимите образ диска для последующего анализа.
5. Убедитесь в наличии и доступности свежих резервных копий и проверьте их целостность.

Примечание

Microsoft планирует полностью удалить SMBv1 в будущих релизах Windows. Для большинства современных сред нет причин сохранять SMBv1.

Контрольный список для ролей

Администратор сети

• Установлены последние патчи на серверах и рабочих станциях
• Отключён SMBv1 во всей инфраструктуре
• Настроена сегментация сети и групповые политики, блокирующие распространение
• Наличие процедур восстановления и образов дисков

Пользователь

• Не открывайте неизвестные вложения и ссылки
• Сообщайте о необычных перезагрузках или экранах с требованием выкупа
• Сделайте резервные копии личных данных, если это разрешено политикой компании

Руководитель ИТ

• Актуализируйте контактные списки для инцидентной команды
• Подготовьте коммуникацию для пользователей
• Проверьте SLA с поставщиками резервного копирования

Мини‑методология реагирования

1. Обнаружение — мониторинг на подозрительную активность и сообщения пользователей.
2. Изоляция — отключение инфицированных хостов от сети.
3. Сохранение следов — создание образов и сбор логов для анализа.
4. Восстановление — переустановка ОС или восстановление из резервной копии.
5. Анализ — разбор вектора проникновения и устранение уязвимостей.
6. Улучшение — обновление политики, патчей и обучения пользователей.

План реагирования на инцидент и откат

• Шаг 1. Сообщение о заражении и установление границ инцидента.
• Шаг 2. Отключение сетевого доступа у подозрительных машин и блокировка доменных учетных записей при необходимости.
• Шаг 3. Создание образов дисков для форензики.
• Шаг 4. Восстановление из надежных резервных копий на чистых машинах.
• Шаг 5. Мониторинг восстановленных систем в течение 72 часов.
• Шаг 6. Обновление плана защиты и проверка, что уязвимость в SMBv1 устранена.

Критерии приёмки

• Система загружается и проходит базовые тесты работоспособности
• Отклонений в логах безопасности нет
• Подтверждённое отсутствие остаточных индикаторов компрометации

Технические рекомендации по усилению безопасности

• Удалите или отключите SMBv1 на всех устройствах.
• Поддерживайте регулярное обновление ОС и приложений.
• Ограничьте права пользователей и используйте принцип наименьших привилегий.
• Включите резервное копирование с хранением внешних копий (air‑gapped).
• Настройте сегментацию сети и ограничьте доступ к критическим ресурсам по необходимости.
• Внедрите EDR/AV с поведенческим анализом и регулярные проверки целостности MBR/загрузочной области.

Фактбокс

• Затронуто: более 300 000 компьютеров (сообщалось за первые 72 часа)
• Требование выкупа: около 300 долларов США в биткоинах
• Вектор распространения: уязвимость SMBv1 и утекшие эксплойты

Однострочные определения

• MBR — главная загрузочная запись, отвечает за запуск ОС с диска.
• MFT — таблица файлов в NTFS, содержит метаданные о файлах.
• SMBv1 — устаревший протокол файлового обмена, уязвим к удалённому выполнению кода.
• Рансомваре — вредоносное ПО, которое шифрует данные и требует выкуп.

Когда меры не помогут

• Если у атакующего есть доступ к резервным хранилищам и он также их повредил.
• Если резервные копии отсутствуют или устарели.
• Если сеть не сегментирована и заражение дошло до критических систем.

Альтернативные подходы восстановления

• Восстановление с образов дисков, если резервные копии повреждены.
• Экстренная переустановка ОС с полной очисткой дисков и последующей проверкой на форензик‑индикаторы.
• Использование специализированных служб инцидентного реагирования для корпоративных систем.

Заключение

Petya демонстрирует, что атаки на инфраструктуру могут наносить ущерб на уровне загрузчика, а не только файлов. Удаление SMBv1 и своевременные обновления — простые и эффективные меры. Подготовьте план реагирования, проверяйте резервные копии и внедряйте сегментацию сети. Действуйте быстро и по плану.

Оставайтесь в безопасности.