NotPetya
folcloreUm surto de malware destrutivo de 2017 disfarçado de ransomware.
O NotPetya se espalhou usando o mesmo exploit EternalBlue do WannaCry, mas foi projetado para destruir dados em vez de coletar resgate. Causou bilhões em prejuízos a empresas globais e é amplamente atribuído a um Estado-nação.
O NotPetya se apresentou como ransomware e não era. Ele criptografava sistemas e exibia um pedido de resgate, mas a criptografia foi construída de modo que a recuperação fosse impossível mesmo com pagamento, o que significa que o resgate era camuflagem para destruição.
Sua disseminação se deu por um mecanismo comprometido de atualização de um software contábil ucraniano, que é ataque de cadeia de suprimentos em sua forma mais pura: o código malicioso chegou assinado, pelo canal confiável, vindo do fornecedor. Depois se propagou lateralmente usando credenciais roubadas e um exploit vazado, o que significou que organizações com uma única subsidiária ucraniana perderam a rede global inteira em horas.
O dano é estimado em bilhões e é o ciberataque mais caro já registrado, e o desdobramento produziu uma questão jurídica que importou mais que o malware. Seguradoras negaram sinistros sob exclusões de guerra com base na atribuição estatal, e o litígio resultante remodelou como o seguro cibernético é escrito. O NotPetya é, portanto, o caso que estabeleceu que um ataque destrutivo pode passar de incidente de segurança a ato não segurável, que é categoria de risco que a maioria das organizações jamais havia considerado.
Também conhecido como: NotPetya, ExPetr
Fontes
- Cisco Talos, 'New Ransomware Variant Nyetya Compromises Systems Worldwide', 27 June 2017: "The sample leverages EternalBlue, EternalRomance, WMI, and PsExec for lateral movement inside an affected network"; infections "associated with software update systems for a Ukrainian tax accounting package called MeDoc"; and Talos "assesses with high confidence that the intent of the actor behind Nyetya was destructive in nature and not economically motivated". Talos does not attribute the attack to a state
- CISA alert TA17-181A, 'Petya Ransomware', last revised 15 February 2018, which carries the attribution: "This Alert has been updated to reflect the U.S. Government's public attribution of the 'NotPetya' malware variant to the Russian military", and records that the malware "encrypts files with extensions from a hard-coded list" and, with administrator rights, "encrypts the master boot record (MBR), making the infected Windows computers unusable"