Új rémet azonosítottak a vírusszakértők

Új rémet azonosítottak a vírusszakértők
Kártevők milliói igyekeznek ártani a felhasználóknak, ám a G DATA a zsaroló kémprogramok új, még veszélyesebb típusát fedezték fel, amely már nem csupán az egyes fájlokat, hanem a teljes merevlemezt titkosítja.

A ma ismert zsarolóprogramok, például a Magyarországon is jelentős pusztítást végző Locky, a CryptoWall és a TeslaCrypt a merevlemezen található dokumentumokat, táblázatokat és képeket egyesével titkosítják. A G DATA szakértői által most felfedezett Petya az első olyan zsarolóprogram, amely a teljes merevlemezt zárolja, méghozzá rendkívül gyorsan. A Petya készítőinek célkeresztjében a cégek állnak.

Az e­mailben érkező kártevőt jellemzően a HR osztályoknak küldik, „Jelentkezés állásra” tárggyal. A levél törzse egy Dropbox linket tartalmaz, ahonnan a HR munkatárs letöltheti a munkakereső „portfólióját”. A linkre kattintva egy végrehajtható .exe fájl kerül letöltésre, melynek neve lefordítva körülbelül „jelentkezés_portfólió­becsomagolt.exe”. A fájl futtatásakor azonban a PC kékhalált hal, azaz összeomlik, majd újraindul. Az újraindulás előtt a Petya manipulálja a merevlemez első szektorát, az úgynevezett Master Boot Recordot (MBR), így a zsarolóprogram átveszi az irányítást a gép felett. A kártevő ilyenkor egy fekete képernyőt jelenít meg, amely megtévesztő módon azt mutatja, mintha a számítógép ellenőrzésre és javításra kerülne. Valójában ez az a pillanat, amikor a Petya zárolja a merevlemezt.

Jelenleg a G DATA szakértői azt feltételezik, hogy a fájlok maguk nem kerülnek titkosításra, csak az elérésük blokkolt. A következő – piros halálfejet mutató – képernyő már világosan jelzi a problémát. Egy billentyű lenyomására pedig megjelenik a TOR böngésző mögé megbújó bűnözők instrukciója is: fel kell keresnünk egy adott weboldalt, ahol meg kell adnunk személyes titkosító kulcsunkat. Az oldalon tájékoztatást kapunk arról, hogy a merevlemezt „katonai szintű titkosítással” zárolták a bűnözők, és megtudhatjuk, hogyan fizethetünk azért, hogy visszakapjuk adatainkat. Az ár minden héten megduplázódik.

A Petya zsarolóprogramot a G DATA „Win32.Trojan­Ransom.Petya.A” néven azonosítja, a vírusvédelmi cég már elkészítette a kártevő ellenszerét, és blokkolta a letöltési linkeket. Mivel azonban megjelenhetnek új, jelenleg még ismeretlen változatok is, a G DATA arra figyelmeztet, hogy néhány egyszerű szabályt mindig be kell tartani. Az első ilyen, hogy folyamatosan gondoskodjunk az adatok mentéséről. Fontos emellett, hogy a HR osztály munkatársai figyelmet fordítsanak arra, hogy ne töltsenek le, és ne indítsanak el végrehajtható fájlokat. A hamis életrajz elindítása után a fertőzés már nem akadályozható meg.

A rendszergazdák számára hasznos információ, hogy amennyiben mégis bekövetkezik a fertőzés, az érintett számítógépeket azonnal kapcsolják le a hálózatról, hogy a kártevő terjedését meggátolják. Jelenleg még nem világos, hogy az adatok visszanyerhetőek­e, a váltságdíj kifizetését azonban a szakértők nem javasolják.