Хакни хакера: найден способ локально остановить вирус-вымогатель Petya

Фото: Reuters/ScanPix

Найден способ локально остановить исполнение программы вируса-вымогателя Petya, поразившего многие компьютеры по всему миру. Для этого в папке с Windows надо создать файл без расширения с именем perfc - его отсутствие вирус проверяет перед началом разрушительных действий. Впрочем, эксперты «Лаборатории Касперского» утверждают, что сети атаковал и другой вирус, передает NEWSru.

Инструкцию по блокировке вируса опубликовал в своем Telegram-канале специалист по кибербезопасности Александр Литреев.

Подробно механизм работы вируса описали эксперты компании Positive Technologies. ТАСС передает, что активизировавшийся накануне вирус Petya воздействует на главную загрузочную запись (MBR - код, который нужен для последующей загрузки операционной системы) загрузочного сектора диска. Вредоносная программа шифрует эту запись и заменяет ее собственными данными. После попадания в систему вирус дает компьютеру команду перезагрузиться через один-два часа, а после перезагрузки вместо операционной системы запускается вредоносный код.

Если успеть до перезагрузки запустить команду bootrec/fixMbr (позволяет восстановить MBR), то можно восстановить работоспособность операционной системы и запустить ее, отметили в Positive Technologies. В этом случае файлы все равно останутся зашифрованными, для их расшифровки требуется знание специального ключа.

Локально отключить шифровальщик можно, создав файл C:\Windows\perfc, отмечают эксперты Positive Texhnologies. Вирус, у которого есть права администратора, перед подменой MBR проверяет наличие по указанному адресу пустого файла без расширения с таким же именем, как название файла dll этого шифровальщика. Если вирус найдет такой пустой файл, то выполнение вирусной программы прекратится.

Однако если у вируса нет прав администратора, он не сможет проверить наличия пустого файла в папке C:\Windows\. Тогда процесс шифрования файлов все же запустится, но без подмены MBR и перезапуска компьютера.

Чтобы не стать жертвой подобной атаки, эксперты рекомендуют обновить операционную систему Windows, а также сократить до минимума привилегии пользователей на рабочих станциях.

Если заражение уже произошло - платить злоумышленникам не стоит. «Почтовый адрес нарушителей был заблокирован, и даже в случае оплаты выкупа ключ для расшифровки файлов наверняка не будет получен», - отметили в Positive Technologies.

27 июня вирус-вымогатель, блокирующий доступ к данным и требующий деньги за разблокировку, атаковал десятки компаний и организаций в России и на Украине, а затем распространился по всему миру. Как выяснили специалисты компании Group-IB, специализирующейся на компьютерной безопасности и защите от киберугроз, орудием масштабной атаки на энергетические, телекоммуникационные и финансовые компании на Украине и в России стал вирус-шифровальщик Petya, который препятствует загрузке операционной системы, блокирует компьютеры и требует выкуп.

По предварительным оценкам Group-IB, вирус атаковал около 80 компаний, большинство из которых - украинские. В России были атакованы «Роснефть», «Башнефть», Mars, Nivea и Mondelez International (производитель шоколада Alpen Gold). Банк России также сообщил о кибератаках на российские кредитные организации, которые не привели к нарушениям в работе банков.