27 червня 2017 року компанії по всьому світу зіткнулися з новою епідемією, причиною якої стала нова версія шифрувальника Petya, що з'явився ще в 2016 році. Оператори малварі явно перейняли кілька прийомів у розробників гучного WannaCry і зуміли спровокувати новий витік паніки.
Нову малваре називають не тільки Petya, але і NotPetya, SortaPetya, Petna, Nyetya, ExPetr і так далі. Справа в тому, що, вивчивши загрозу детально, фахівці прийшли до висновку, що в новому шифрувальнику залишилося не так вже й багато від оригінального Petya. Шкідник був побудований на основі вихідних кодів того самого «Петі», однак нова версія малварі настільки відрізняється від оригіналу, що багато хто визнав логічним присвоїти їй нову назву.
Нагадаємо, що малваре шифрує не тільки файли користувача, але і MFT (Master File Table), перезаписує MBR (Master Boot Record) і має кастомний завантажувач, який відображає здирницьке послання замість завантаження операційної системи.
Більш того, фахівці в області інформаційної безпеки прийшли до висновку, що NotPetya - не шифрувальник в класичному розумінні цього слова.
Шкідливий не просто шифрує файли своїх жертв, щоб принести своїм операторам фінансову вигоду, він навмисне знищує дані, заподіює якомога більше шкоди і робить відновлення інформації практично неможливим. Експерти вважають, що NotPetya коректніше було б називати вайпером (від англійського wiper, «чистильник»).
Таким чином, у жертв NotPetya практично немає надії на відновлення постраждалої інформації. Платити викуп зловмисникам просто марно. Навіть якщо жертви не вірять висновкам експертів, які визнали NotPetya вайпером, у них все одно немає шансів. Справа в тому, що після оплати викупу слід відправити зловмисникам лист на адресу wowsmith123456@posteo.net, щоб отримати інструкції з розшифровки даних. Однак вже ввечері 27 червня 2017 року ця адреса була заблокована адміністрацією сервісу Posteo. Писати просто нікуди і нікому.
Зламати шифрування NotPetya або знайти яку-небудь корисну ваду в коді малварі поки нікому не вдалося. Однак несподівано «подали голос» автори оригінального вимагача Petya, написаного в 2016 році: аккаунт @JanusSecretary в Twitter знову активний. Нагадаємо, що саме цей обліковий запис зловмисники використовували раніше, коли зламали конкурентів, які розробили шифрувальника Chimera, і опублікували у відкритому доступі ключі для дешифрування даних.
Розробники малварі пишуть, що вони вже вивчають код NotPetya і спробують застосувати для зашифрованих файлів ключі від оригінального Petya.
На жаль, ІБ-фахівці вважають, що у авторів оригінального шифрувальника навряд чи щось вийде, так як NotPetya пошкоджує структуру диска навмисне, зокрема шифрує MFT і видаляє ключ. Після цього розшифрувати отриманий результат, швидше за все, не зможе вже ніхто.
