Petwrap - črv WannaCry, drugi poskus
Zadnji izbruh izsiljevalskega virusa/črva WannaCry je bil omogočen z uporabo varnostne luknje EternalBlue, ki izhaja iz »arzenala digitalnega orožja« ameriške agencije NSA. Predvsem zato, ker je hekerska skupina Shadow Brokers to »orožje«, skupaj z drugimi, javno objavila v spletu in ga dala na voljo vsem, ki bi ga želeli uporabiti. Luknja je bila s strani Microsofta zakrpana že 14. marca, nekaj kasneje celo na nepodprtih sistemih kot so Windows XP, vendar to ni pomagalo, saj velika večina uporabnikov in celo sistemskih upraviteljev pač ne skrbi za dovolj redno in avtomatsko krpanje varnostnih lukenj. WannaCry se je sčasoma vendarle unesel, predvsem zaradi »pritisnjenega stikala za izklop« v obliki spletne domene, ki jo je registriral nek varnostni raziskovalec.
Toda po svetu očitno še vedno ostaja množica računalnikov, ki dotične varnostne luknje še vedno nimajo zakrpane. To dokazuje črv Petwrap (pri Kasperskem ga imenujejo kar NotPetya), nova različica lanskega črva Petya, ki je v splet izbruhnil včeraj in ki za širjenje uporablja isto luknjo EternalBlue, ki je naj ne bi bilo več že od marca… Res pa je, da raziskovalci ugotavljajo, da se širi tudi na druge načine, med drugimi tudi tako, da se oddaljeno zažene, kot to zmore program PSExec.
Največ okuženih računalnikov je trenutno v Ukrajini in Rusiji, vendar o okužbah poročajo tudi iz drugih delov sveta. Iz ukrajinskega urada kiber policije poročajo, da je bil črv vključen kar v sistem samodejnih popravkov za ukrajinski računovodski program M.E.Doc.
Samo »orožje« v črvu Petwrap je sicer drugačno kot v WannaCry. Če je slednji zašifriral datoteke in zahteval odkupnino, Petwrap zašifrira kar MFT, tabelo kazalcev na datoteke v datotečnem sistemu. Kar je veliko hitreje (trenutno) in zato bolj učinkovito. Po okužbi se računalnik ponovno zažene, injektirana programska koda v diskovnem MBR zašifrira MFT in še pred zagonom Oken, v besedilnem načinu javi zahtevo po odkupnini. Raziskovalci sicer menijo, da je slednji del sumljivo preprost, da sistem za pobiranje odkupnine ni narejen tako natančno in učinkovito, da bi lahko deloval. Za začetek za komunikacijo z izsiljevalci uporablja kar navadno elektronsko pošto (in ne omrežja TOR, kot je to bolj običajno), pri čemer je dotični elektronski naslov tako ali tako že izklopljen. Tudi Bitcoin denarnica za pobiranje odkupnine je le ena, medtem ko »resni« izsiljevalci za vsako žrtev generirajo lastno denarnico. Nekateri raziskovalci zato sumijo, da gre pri Petwrapu bolj za preizkus zelo hitrega in uničevalskega orožja, ki se poskuša zamaskirati kot izsiljevalski virus. Smo torej priča novemu državnemu orožju?
