ESET установила, что пострадавшие от эпидемии Petya системы имели доступ к украинским сетям через VPN. В настоящее время у вредоносной программы не обнаружено функций, позволяющих распространяться за пределы локальных сетей.

Источником эпидемии стала компрометация программного обеспечения для отчетности и документооборота украинской компании M.E.Doc. Некоторые корпоративные пользователи установили троянизированное обновление M.E.Doc, что стало началом масштабной атаки, охватившей страны Европы, Азии и Америки.

Вредоносная программа является новой модификацией семейства Petya. Шифратор пытается инфицировать главную загрузочную запись (MBR — Master Boot Record), если попытка успешна, он зашифрует весь жесткий диск, в противном случае – все файлы.

Шифратор распространяется внутри сетей посредством PsExec и SMB-эксплойта EternalBlue, который ранее обусловил массовый характер заражения WannaCry. Это сочетание обуславливает высокую скорость развития эпидемии.

Для заражения корпоративной сети достаточно одного уязвимого компьютера, на котором не установлены обновления безопасности. С его помощью вредоносная программа попадет в сеть, получит права администратора и распространится на остальные устройства.

Продукты ESET детектируют угрозу как Win32/Diskcoder.C Trojan, а также защищают на сетевом уровне от эксплойт-атак с использованием EternalBlue.

Более подробная информация и расширенное руководство по защите и профилактике заражения шифратором Petya.C доступны на сайте.