Вирус Petya — быстро растущий вирус, который положил практически все крупные предприятия в Украине 27 июня 2017 года. Вирус Petya шифрует ваши файлы и предлагает за них потом выкуп.

Новый вирус поражает винчестер компьютера и работает как вирус шифровальщик файлов. Через определённое время, вирус Petya «поедает» файлы на вашем компьютере и они становятся зашифрованными (как будто файлы заархивировали и поставили тяжёлый пароль)
Файлы, которые пострадали от вируса шифровальщика Petya, потом уже не восстановить (процент, что вы их восстановите есть, но он очень маленький)
Алгоритма, который восстанавливает файлы пострадавших от вируса Petya — НЕТ
С помощью этой короткой и МАКСИМАЛЬНО полезной статьи вы сможете уберечь себя от #вирусPetya

Как ОПРЕДЕЛИТЬ Вирус Petya или WannaCry и НЕ Заразиться Вирусом

При загрузке файла через интернет, проверьте его онлайн-антивирусом. Онлайн антивирусы могут заранее определить вирус в файле и предотвратить заражение вирусом Petya. Всё, что стоит сделать, проверить загруженный файл с помощью VirusTotal, а потом его уже запускать. Даже если вы ЗАГРУЗИЛИ ВИРУС PETYA, но НЕ запустили вирусный файл, вирус НЕ активен и вред не наносит. Только после запуска вредного файла вы запускаете вирус, помните это

ИСПОЛЬЗОВАНИЕ ДАЖЕ ТОЛЬКО ЭТОГО МЕТОДА ДАЁТ ВАМ ВСЕ ШАНСЫ НЕ ЗАРАЗИТЬСЯ ВИРУСОМ PETYA
Вирус Petya выглядит вот так:

Как Уберечь Себя От Вируса Petya

Компания Symantec предложила решение, которое позволяет себя уберечь от вируса Petya, сделав вид, что он уже у Вас — установлен.
Вирус Petya при попадании на компьютер, создаёт в папке C:\Windows\perfc файл perfc или perfc.dll
Чтобывирусподумал, что он уже установлен и не продолжил свою активность, создайте в папке C:\Windows\perfc файл с пустым содержанием и сохраните его поставив режим изменения «Только Чтение»
Или загрузите virus-petya-perfc.zip и разархивируйте папку perfc в папку C:\Windows\ и поставьте режим изменения «Только Чтение»
Загрузить virus-petya-perfc.zip

Что Делать Если Компьютер Уже Поражён Вирусом Petya

Не включайте компьютер, который уже поразил вас вирусом Petya. Вирус Petya работает таким образом, что пока заражённый компьютер включён, он шифрует файлы. То есть, пока вы держите включённым поражённый вирусом Petya компьютер, новые и новые файлы поддаются заражению и шифрованию.
Винчестер данного компьютера стоит проверить. Проверить его можно с помощью LIVECD или LIVEUSB с антивирусом
Загрузочная флешка с Kaspersky Rescue Disk 10
Загрузочная флешка Dr.Web LiveDisk

Кто Распространил Вирус Петя По Всей Украине

Компания Microsoft выразила свою точку зрение на счёт глобального заражения сети в крупных компаниях Украины. Причиной стало, обновление к программе M.E.Doc. M.E.Doc — популярная бухгалтерская программа, по-этому такой большой прокол компании, как попадание вируса в обновление и установило вирус Petya на тысячи ПК, на которых стояла программа M.E.Doc. А так как вирус поражает компьютеры в одной сети распространился он молниеносно.
#: петя вирус поражает андроид, вирус Petya, как обнаружить и удалить вирус петя, вирус petya как лечить, M.E.Doc, Microsoft, создать папку вирус петя

Вирус «Петя»: как не поймать, как расшифровать, откуда взялся – последние новости о вирусе-вымогателе Petya, который к третьему дню своей «деятельности» поразил около 300 тысяч компьютеров в разных странах мира, и пока его никто не остановил.

Вирус Petya – как расшифровать, последние новости. Создатели шифровальщика «Петя» после нападения на компьютер требуют выкуп в 300 долларов (в биткоинах), но расшифровать вирус Petya, даже если пользователь заплатит деньги, возможности нет. Специалисты «Лаборатории Касперского», которые разглядели в новом вирусе отличия от «Пети» и назвали его ExPetr, утверждают – для расшифровки необходим уникальный идентификатор конкретной установки трояна.

В ранее известных версиях схожих шифровальщиков Petya/Mischa/GoldenEye идентификатор установки содержал необходимую для этого информацию. В случае ExPetr этого идентификатора нет – пишет РИА Новости.

Вирус «Петя» – откуда взялся, последние новости. Немецкие специалисты по безопасности выдвинули первую версию, откуда взял свой путь этот шифровальщик. По их мнению, вирус Petya начал гулять по компьютерам с открытия файлов M.E.Doc. Это программа бухгалтерской отчетности, используемая на Украине после запрета 1С.

Между тем, в «Лаборатории Касперского» говорят о том, что выводы о происхождении и источнике распространения вируса ExPetr делать пока рано. Не исключено, что у злоумышленников были обширные данные. Например, е-майл адреса с предыдущей рассылки или какие-то другие эффективные способы проникновения в компьютеры.

С их помощью вирус «Петя» и обрушился всей мощностью на Украину и Россию, а также другие страны. Но реальный масштаб этой хакерской атаки будет понятен через несколько дней – сообщает .

Вирус «Петя»: как не поймать, как расшифровать, откуда взялся – последние новости о вирусе-вымогателе Petya, уже получившим в «Лаборатории Касперского» новое имя – ExPetr.

Немецкое Федеральное управление по информационной безопасности полагает, что масштабная кибератака, поразившая десятки стран мира, исходила с территории Украины. В ведомстве подчеркнули, что считают правдоподобным информацию о распространении вируса Petya через украинскую программу бухгалтерской отчётности M.E.Doc.

«Источник и главное направление кибератаки, по всей видимости, находятся на Украине, хотя нападение и приобрело глобальные масштабы», — говорится в заявлении BSI, опубликованном на официальном сайте организации.

«Согласно сообщениям, вредоносная программа была распространена через функцию обновления широко распространённой на Украине программы бухгалтерской отчётности M.E.Doc. Предварительно BSI считает этот тезис правдоподобным», — уточнили в ведомстве.

Глава BSI Арне Шонбом заявил, что нынешняя волна кибератак в очередной раз демонстрирует, насколько уязвимыми могут быть предприятия и организации в цифровом мире.

«В связи с острым кризисом мы призываем сделать информационную безопасность главным приоритетом», — отметил Шонбом.

Информацию о том, что ключевым каналом распространения вируса Petya на Украине стала бухгалтерская программа M.E.Doc украинского производства, ранее распространили в пресс-службе департамента киберполиции Украины.

В ответ разработчики M.E.Doc заявили, что выводы экспертов по кибербезопасности ошибочны, поскольку актуальная версия пакета обновления была выпущена 22 июня, а все файлы были проверены на наличие вирусов.

«Команда разработки M.E.Doc опровергает данную информацию и заявляет, что подобные выводы однозначно ошибочные, — ведь разработчик M.E.Doc, как ответственный поставщик программного продукта, следит за безопасностью и чистотой собственного кода. Для этого были заключены договора с крупными антивирусными компаниями для предоставления исполняемых бинарных файлов на анализ и подтверждение их безопасности. Также перед выпуском каждого обновления M.E.Doc передаёт в антивирусные компании свои файлы для анализа», — заявили в компании.

Вечером 28 июня в Киеве пройдёт пресс-конференция разработчиков M.E.Doc по вопросам кибератак.

Интересно, что программа M.E.Doc, которую часто называют реальной альтернативой попавшей под санкции российской 1С, уже не впервые становится источником проблем для своих пользователей. Так, в мае этого года через систему обновления M.E.Doc распространялся аналогичный вирус-вымогатель XData. Однако последствия той атаки были гораздо менее плачевными, отмечает издание Timer.

Говоря об особенностях нового кибернападения, исследователь Матьё Суиш в разговоре с The New York Times назвал новую атаку «улучшенной и более губительной версией WannaCry».

По сообщению американской компании по производству программного обеспечения Symantec, вирус-шифровальщик Petya использует тот же инструмент EternalBlue, что и вирус WannaCry, майская атака которого вывела из строя более 200 тыс. компьютеров в 150 странах мира.

«Аналитики Symantec подтвердили, что вирус-вымогатель Petya, как и WannaCry, использует эксплойт EternalBlue для распространения», — отметили в компании.

Эксплойтом называют вредоносную программу, которая использует уязвимости в программном обеспечении. Считается, что к разработке EternalBlue, позволявшего WannaCry распространяться из-за уязвимости в сетевом протоколе Windows (SMB), причастно АНБ, однако в ведомстве отрицают эти заявления.

В то же время обозреватель Forbes Томас Фокс-Брюстер отмечает, что для того, чтобы рассматривать нынешний вирус как совершенно новый вид вредоносной программы, корректнее называть его, например, NotPetya, поскольку он довольно существенно отличается от уже известного специалистам вируса Petya.

Сообщается, что, помимо эксплойта EternalBlue, новый вирус пользуется другими путями распространения. Бывший аналитик АНБ Дэвид Кеннеди заявил, что NotPetya находит в памяти заражённого компьютера пароли, чтобы с их помощью перемещаться в другие системы.

Вирус также распространяется с помощью инструмента для удалённого выполнения процессов PsExec: например, если заражённый компьютер имеет администраторский доступ к сети, заразиться может каждый компьютер этой сети, отметил эксперт по безопасности Кевин Бомонт.

«Это опасное сочетание может быть причиной, по которой текущая вспышка вируса так стремительно распространилась по всему миру, хотя после предыдущих атак, прогремевших на весь мир, большинство уязвимостей должны были быть исправлены. Нужен всего один уязвимый компьютер, чтобы получить доступ во внутреннюю сеть, а затем вирус завладеет правами администратора и распространится на другие компьютеры», — полагает сотрудник антивирусной компании ESET Роберт Липовски.

• Сотрудник «Лаборатории Касперского» рассказал RT об особенностях нового вируса

Ещё одной опасной особенностью нового вируса является то, что он может успешно атаковать компьютеры с обновлёнными операционными системами, включая Windows 10, тогда как WannaCry заражал только более старые версии ОС.

Руководитель отдела антивирусных исследований «Лаборатории Касперского» Вячеслав Закоржевский в беседе с RT рассказал, что в компании также приняли решение присвоить новому вирусу отдельное имя в связи с его особенностями.

«Год назад появился шифровальщик под названием Petya, который также поразил ряд компаний по всему миру. Новый шифровальщик появился буквально вчера, и мы его назвали ExPetr из-за некоторого сходства с шифровальщиком Petya, но его функциональность кардинально отличается. Это более совершенная с технической точки зрения угроза, поэтому она достойна отдельного именования», — подчеркнул Закоржевский.

Он добавил, что, по предварительным данным «Лаборатории Касперского», атаки и на российские, и на украинские компании были совершены одной и той же версией шифровальщика ExPetr, добавив, что реальный масштаб текущей атаки можно будет понять, скорее всего, лишь через несколько дней.

«Что касается вектора атаки на Украину, то однозначные выводы делать пока рано. Не исключено, что за счёт того, что у преступников были обширные данные, например, по e-mail адресам с предыдущей атаки или какие-то более эффективные способы проникновения, основная мощь обрушилась именно на Украину и Россию, но это ещё предстоит выяснить», — отметил эксперт.

• Reuters

Ранее бывший сотрудник американских спецслужб Эдвард Сноуден обвинил Агентство национальной безопасности США в масштабах текущей кибератаки. Он заявил, что вирус-шифровальщик Petya работает с эксплойтом EternalBlue, который разведслужбы применяли для использования уязвимости Windows и не делали ничего для устранения этой незащищённости на протяжении пяти лет.

Сноуден также призвал привлечь к ответственности АНБ.

«Сколько раз разработки АНБ цифрового оружия должны приводить к нанесению ущерба гражданской инфраструктуре, прежде чем наступит ответственность?» — задался он вопросом.

«Послушайте, люди могут расходиться во мнениях касательно слежки, но когда из-за сосредоточенности АНБ на нападении вместо защиты закрываются американские больницы, время действовать», — подчеркнул Сноуден.

Во вторник, 27 июня, десятки частных и государственных организаций ряда стран стали жертвами масштабной кибератаки. Основной удар пришёлся на Украину и Россию, а затем вирус начал распространяться на Европу, Америку и Азию. Вредоносная программа шифрует данные на жёстком диске заражённых компьютеров, требуя $300 «выкупа» за дешифровку информации. Расследованием новых атак занимаются специалисты по кибербезопасности и спецслужбы по всему миру, включая ФБР и Министерство внутренней безопасности США.

Вслед за нашумевшей кампанией вируса-шифровальщика WannaCry, которая была зафиксирована в мае этого года, 27 июня более 80 компаний России и Украины стали жертвой новой атаки с использованием шифровальщика-вымогателя Petya. И эта кампания оказалась вовсе не связана с WannaCry. Эксперты Positive Technologies представили детальный разбор нового зловреда и дали рекомендации по борьбе с ним.

Жертвами вымогателя уже стали украинские, российские и международные компании, в частности, Новая Почта, Запорожьеоблэнерго, Днепроэнерго, Ощадбанк, медиахолдинг ТРК «Люкс», Mondelēz International, TESA, Nivea, Mars, операторы LifeCell, УкрТелеКом, Киевстар и многие другие организации. В Киеве оказались заражены в том числе некоторые банкоматы и кассовые терминалы в магазинах. Именно на Украине зафиксированы первые атаки.

Анализ образца вымогателя, проведенный нашими экспертами, показал, что принцип действия Petya основан на шифровании главной загрузочной записи (MBR) загрузочного сектора диска и замене его своим собственным. Эта запись – первый сектор на жёстком диске, в нем расположена таблица разделов и программа-загрузчик, считывающая из этой таблицы информацию о том, с какого раздела жёсткого диска будет происходить загрузка системы. Исходный MBR сохраняется в 0x22-ом секторе диска и зашифрован с помощью побайтовой операции XOR с 0x07.

После запуска вредоносного файла создается задача на перезапуск компьютера, отложенная на 1-2 часа, в это время можно успеть запустить команду bootrec /fixMbr для восстановления MBR и восстановить работоспособность ОС. Таким образом, запустить систему даже после ее компрометации возможно, однако расшифровать файлы не удастся. Для каждого диска генерируется свой ключ AES, который существует в памяти до завершения шифрования. Он шифруется на открытом ключе RSA и удаляется. Восстановление содержимого после завершения требует знания закрытого ключа, таким образом, без знания ключа данные восстановить невозможно. Предположительно, зловред шифрует файлы максимум на глубину 15 директорий. То есть файлы, вложенные на большую глубину, находятся в безопасности (по крайней мере для данной модификации шифровальщика).

В случае, если диски оказались успешно зашифрованы после перезагрузки, на экран выводится окно с сообщением о требовании заплатить выкуп $300 (на 27 июня 2017 - примерно 0,123 биткойна) для получения ключа разблокировки файлов. Для перевода денег указан биткоин-кошелек 1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX . Через несколько часов после начала атаки на кошелек уже поступают транзакции, кратные запрошенной сумме – некоторые жертвы предпочли заплатить выкуп, не дожидаясь, пока исследователи изучат зловред и попытаются найти средство восстановления файлов.

На данный момент число транзакций увеличилось до 45.

Petya использует 135, 139, 445 TCP-порты для распространения (с использованием служб SMB и WMI). Распространение внутри сети на другие узлы происходит несколькими методами: с помощью Windows Management Instrumentation (WMI) и PsExec , а также с помощью эксплойта, использующего уязвимость MS17-010 (EternalBlue). WMI – это технология для централизованного управления и слежения за работой различных частей компьютерной инфраструктуры под управлением платформы Windows. PsExec широко используется для администрирования Windows и позволяет выполнять процессы в удаленных системах. Однако для использования данных утилит необходимо обладать привилегиями локального администратора на компьютере жертвы, а значит, шифровальщик может продолжить свое распространение только с тех устройств, пользователь которых обладает максимальными привилегиями ОС. Эксплойт EternalBlue позволяет получить максимальные привилегии на уязвимой системе. Также шифровальщик использует общедоступную утилиту Mimikatz для получения в открытом виде учетных данных всех пользователей ОС Windows, в том числе локальных администраторов и доменных пользователей. Такой набор инструментария позволяет Petya сохранять работоспособность даже в тех инфраструктурах, где был учтен урок WannaCry и установлены соответствующие обновления безопасности, именно поэтому шифровальщик настолько эффективен .

В рамках тестирований на проникновение современных корпоративных инфраструктур эксперты Positive Technologies регулярно демонстрируют возможность применения эксплойта EternalBlue (в 44% работ в 2017 году), а также успешное применение утилиты Mimikatz для развития вектора атаки до получения полного контроля над доменом (в каждом проекте).

Таким образом, Petya обладает функциональностью, позволяющей ему распространяться на другие компьютеры, причем этот процесс лавинообразный. Это позволяет шифровальщику скомпрометировать в том числе контроллер домена и развить атаку до получения контроля над всеми узлами домена, что эквивалентно полной компрометации инфраструктуры.

О существующей угрозе компрометации мы сообщали более месяца назад в оповещениях об атаке WannaCry и давали рекомендации , каким образом определить уязвимые системы, как их защитить и что делать, если атака уже произошла. Дополнительные рекомендации мы дадим и в данной статье. Кроме того, наша компания разработала бесплатную утилиту WannaCry_Petya_FastDetect для автоматизированного выявления уязвимости в инфраструктуре. Система MaxPatrol выявляет данную уязвимость как в режиме Audit, так и в режиме Pentest. Подробная инструкция указана в наших рекомендациях . Кроме того, в MaxPatrol SIEM заведены соответствующие правила корреляции для выявления атаки Petya.

Эксперты Positive Technologies выявили “kill-switch” – возможность локально отключить шифровальщик. Если процесс имеет административные привилегии в ОС, то перед подменой MBR шифровальщик проверяет наличие файла perfc (либо другого пустого файла с иным названием) без расширения в директории C:\Windows \ (директория жестко задана в коде). Этот файл носит то же имя, что и библиотека dll данного шифровальщика (но без расширения).

Наличие такого файла в указанной директории может быть одним из индикаторов компрометации. Если файл присутствует в данной директории, то процесс выполнения ВПО завершается, таким образом, создание файла с правильным именем может предотвратить подмену MBR и дальнейшее шифрование.

Если шифровальщик при проверке не обнаружит такой файл, то файл создается и стартует процесс выполнения ВПО. Предположительно, это происходит для того, чтобы повторно не запустился процесс подмены MBR.

С другой стороны, если процесс изначально не обладает административными привилегиями, то шифровальщик не сможет выполнить проверку наличия пустого файла в директории C:\Windows\, и процесс шифрования файлов все же запустится, но без подмены MBR и перезапуска компьютера.
Для того, чтобы не стать жертвой подобной атаки, необходимо в первую очередь обновить используемое ПО до актуальных версий, в частности, установить все актуальные обновления MS Windows. Кроме того, необходимо минимизировать привилегии пользователей на рабочих станциях.

Если заражение уже произошло, мы не рекомендуем платить деньги злоумышленникам. Почтовый адрес нарушителей [email protected] был заблокирован, и даже в случае оплаты выкупа ключ для расшифрования файлов наверняка не будет получен. Для предотвращения распространения шифровальщика в сети рекомендуется выключить другие компьютеры, которые не были заражены, отключить от сети зараженные узлы и снять образы скомпрометированных систем. В случае, если исследователи найдут способ расшифрования файлов, заблокированные данные могут быть восстановлены в будущем. Кроме того, данный образ может быть использован для проведения анализа шифровальщика, что поможет исследователям в их работе.

В долгосрочной перспективе рекомендуется разработать систему регулярных тренингов сотрудников с целью повышения их осведомленности в вопросах информационной безопасности, основанную на демонстрации практических примеров потенциально возможных атак на инфраструктуру компании с использованием методов социальной инженерии. Необходимо проводить регулярную проверку эффективности таких тренингов. Также необходимо на все компьютеры установить антивирусное ПО с функцией самозащиты, предусматривающей ввод специального пароля для отключения или изменения настроек. Кроме того, необходимо обеспечить регулярное обновление ПО и ОС на всех узлах корпоративной инфраструктуры, а также эффективный процесс управления уязвимостями и обновлениями. Регулярное проведение аудитов ИБ и тестирований на проникновение позволит своевременно выявлять существующие недостатки защиты и уязвимости систем. Регулярный мониторинг периметра корпоративной сети позволит контролировать доступные из сети Интернет интерфейсы сетевых служб и вовремя вносить корректировки в конфигурацию межсетевых экранов. Для своевременного выявления и пресечения уже случившейся атаки необходимо осуществлять мониторинг внутренней сетевой инфраструктуры, для чего рекомендуется применять систему класса SIEM.

Для выявления атаки Petya в инфраструктуре могут быть использованы следующие индикаторы:

• C:\Windows\perfс
• Задача в планировщике Windows с пустым именем и действием (перезагрузка)
• "%WINDIR%\system32\shutdown.exe /r /f"

• msg: " Unimplemented Trans2 Sub-Command code. Possible ETERNALBLUE (WannaCry, Petya) tool"; sid: 10001254; rev: 2;
• msg: " ETERNALBLUE (WannaCry, Petya) SMB MS Windows RCE"; sid: 10001255; rev: 3;
• msg: " Trans2 Sub-Command 0x0E. Likely ETERNALBLUE (WannaCry, Petya) tool"; sid: 10001256; rev: 2;
• msg: " Petya ransomware perfc.dat component"; sid: 10001443; rev: 1
• msg:" SMB2 Create PSEXESVC.EXE"; sid: 10001444; rev:1

В начале мая порядка 230 000 компьютеров в более чем 150 странах были заражены вирусом-шифровальщиком . Не успели жертвы устранить последствия этой атаки, как последовала новая — под названием Petya. От нее пострадали крупнейшие украинские и российские компании, а также госучреждения.

Киберполиция Украины установила, что атака вируса началась через механизм обновления бухгалтерского программного обеспечения M.E.Doc, которое используют для подготовки и отправки налоговой отчетности. Так, стало известно, что заражения не избежали сети «Башнефти», «Роснефти», «Запорожьеоблэнерго», «Днепроэнерго» и Днепровской электроэнергетической системы. На Украине вирус проник в правительственные компьютеры, ПК Киевского метрополитена, операторов связи и даже Чернобыльской АЭС. В России пострадали Mondelez International, Mars и Nivea.

Вирус Petya эксплуатирует уязвимость EternalBlue в операционной системе Windows. Специалисты Symantec и F-Secure утверждают, что, хотя Petya и шифрует данные, подобно WannaCry, он все же несколько отличается от других видов вирусов-шифровальщиков. «Вирус Петя — это новый вид вымогательства со злым умыслом: он не просто шифрует файлы на диске, а блокирует весь диск, делая его практически негодным, — объясняют F-Secure. - В частности, он шифрует главную файловую таблицу MFT».

Как это происходит и можно ли этот процесс предупредить?

Вирус «Петя» — как работает?

Вирус Petya известен также под другими названиями: Petya.A, PetrWrap, NotPetya, ExPetr. Попадая в компьютер, он скачивает из интернета шифровальщик и пытается поразить часть жесткого диска с данными, необходимыми для загрузки компьютера. Если ему это удается, то система выдает Blue Screen of Death («синий экран смерти»). После перезагрузки выходит сообщение о проверке жесткого диска с просьбой не отключать питание. Таким образом, вирус-шифровальщик выдает себя за системную программу по проверке диска, шифруя в это время файлы с определенными расширениями. В конце процесса появляется сообщение о блокировке компьютера и информация о том, как получить цифровой ключ для дешифровки данных. Вирус Petya требует выкупа, как правило, в биткоинах. Если у жертвы нет резервной копии файлов, она стоит перед выбором — заплатить сумму в размере $300 или потерять всю информацию. По мнению некоторых аналитиков, вирус лишь маскируется под вымогателя, в то время как его истинная цель — нанесение массового ущерба.

Как избавиться от Petya?

Специалисты обнаружили, что вирус Petya ищет локальный файл и, если этот файл уже существует на диске, выходит из процесса шифрования. Это значит, что защитить свой компьютер от вируса-вымогателя пользователи могут путем создания этого файла и установки его только для чтения.

Несмотря на то, что эта хитрая схема предотвращает запуск процесса вымогательства, данный метод можно рассматривать скорее как «вакцинацию компьютера». Таким образом, пользователю придется самостоятельно создавать файл. Сделать это вы можете следующим образом:

• Для начала нужно разобраться с расширением файлов. Убедитесь, что в окне «Параметры папок» в чекбоксе «Скрыть расширения для зарегистрированных типов файлов» нет галочки.
• Откройте папку C:\Windows, прокрутите вниз, пока не увидите программу notepad.exe.
• Кликните по notepad.exe левой кнопкой, затем нажмите Ctrl + C, чтобы скопировать, а затем Ctrl + V, чтобы вставить файл. Вы получите запрос с просьбой предоставить разрешение на копирование файла.
• Нажмите кнопку «Продолжить», и файл будет создан как блокнот — Copy.exe. Кликните левой кнопкой мыши по этому файлу и нажмите клавишу F2, а затем сотрите имя файла Copy.exe и введите perfc.
• После изменения имени файла на perfc нажмите Enter. Подтвердите переименование.
• Теперь, когда файл perfc создан, нужно сделать его доступным только для чтения. Для этого кликните правой кнопкой мыши на файл и выберите «Свойства».
• Откроется меню свойств этого файла. Внизу вы увидите «Только для чтения». Поставьте галочку.
• Теперь нажмите кнопку «Применить», а затем кнопку «ОК».

Некоторые эксперты по безопасности предлагают помимо файла C: \ windows \ perfc создать файлы C: \ Windows \ perfc.dat и C: \ Windows \ perfc.dll, чтобы тщательнее защититься от вируса Petya. Вы можете повторить описанные выше шаги для этих файлов.

Поздравляем, ваш компьютер защищен от NotPetya / Petya!

Эксперты Symantec дают некоторые советы пользователям ПК, чтобы предостеречь их от действий, которые могут привести к блокировке файлов или потере денег.

1. Не платите деньги злоумышленникам. Даже если вы перечислите деньги вымогателям, нет никакой гарантии, что вы сможете восстановить доступ к своим файлам. А в случае с NotPetya / Petya это в принципе бессмысленно, потому что цель шифровальщика — уничтожить данные, а не получить деньги.
2. Убедитесь, что вы регулярно создаете резервные копии данных. В этом случае, даже если ваш ПК станет объектом атаки вируса-вымогателя, вы сможете восстановить любые удаленные файлы.
3. Не открывайте электронные письма с сомнительными адресами. Злоумышленники будут пытаться обмануть вас при установке вредоносных программ или постараются получить важные данные для атак. Обязательно сообщайте ИТ-специалистам о случаях, если вы или ваши сотрудники получают подозрительные письма, ссылки.
4. Используйте надежное программное обеспечение. Важную роль в защите компьютеров от заражений играет своевременное обновление антивирусников. И, конечно, нужно использовать продукты авторитетных в этой области компаний.
5. Используйте механизмы сканирования и блокировки сообщений со спамом. Входящие электронные письма должны проверяться на наличие угроз. Важно, чтобы блокировались любые типы сообщений, которые в своем тексте содержат ссылки или типичные ключевые слова фишинга.
6. Убедитесь, что все программы обновлены. Регулярное устранение уязвимостей программного обеспечения необходимо для предотвращения заражений.

Стоит ли ждать новых атак?

Впервые вирус Petya заявил о себе в марте 2016 года, и его поведение сразу заметили специалисты по безопасности. Новый вирус Петя поразил компьютеры на Украине и в России в конце июня 2017 года. Но этим вряд ли все закончится. Хакерские атаки с использованием вирусов-вымогателей, аналогичных Petya и WannaCry, повторятся, заявил зампред правления Сбербанка Станислав Кузнецов. В интервью ТАСС он предупредил, что подобные атаки точно будут, однако заранее сложно предугадать, в каком виде и формате они могут появиться.

Если после всех прошедших кибератак вы еще не предприняли хотя бы минимальные действия для того, чтобы защитить свой компьютер от вируса-шифровальщика, то настало время этим заняться вплотную.