Cosa sono Petya e NotPetya?

Cos'è il ransomware Petya?

Petya è una variante di ransomware che è stata identificata per la prima volta nel 2016. Come altri tipi di ransomware, Petya crittografa file e dati presenti sul computer della vittima. Gli operatori di Petya richiedono un pagamento in Bitcoin prima di decrittografare i file e renderli nuovamente utilizzabili.

A differenza di alcuni ceppi di ransomware più datati, che crittografano solo alcuni file importanti per mettere in atto un'estorsione, Petya blocca l'intero disco rigido di un computer. Nello specifico, esso crittografa la Master File Table (MFT) di un computer, rendendo impossibile l'accesso a qualsiasi file salvato sul disco rigido.

È stato osservato che Petya prende di mira solo computer con sistemi operativi Windows.

Come si diffonde il ransomware Petya?

Come molti altri attacchi ransomware, Petya si diffonde principalmente tramite allegati e-mail. Gli aggressori inviano e-mail ai dipartimenti delle risorse umane di aziende allegando false domande di lavoro. I PDF allegati contengono un collegamento Dropbox infetto o sono in realtà file eseguibili mascherati, a seconda del metodo di attacco utilizzato.

Cos'è NotPetya?

Nel giugno 2017, un nuovo tipo di ransomware, che per molti aspetti ricordava Petya, ha infettato organizzazioni in tutto il mondo. A causa delle sue somiglianze con Petya e per alcune differenze cruciali, il fornitore di sicurezza Kaspersky lo ha soprannominato "NotPetya". Alla data del 28 giugno 2017, le infezioni di NotPetya avevano interessato almeno 2.000 organizzazioni, la stragrande maggioranza delle quali ubicate in Ucraina.

Come Petya, il ransomware NotPetya comprometteva l'intero disco rigido della vittima. Tuttavia, NotPetya operava crittografando l'intero disco rigido, anziché l'MFT. Il virus si è diffuso improvvisamente e rapidamente, infettando rapidamente intere reti sfruttando diverse vulnerabilità e mediante il furto di credenziali.

In particolare, si è notato che NotPetya utilizzava la stessa vulnerabilità EternalBlue (CVE-2017-0144 ) che l'attacco lanciato su scala mondiale WannaCry aveva già utilizzato all'inizio del 2017. Ciò gli ha consentito di diffondersi rapidamente attraverso le reti senza alcun intervento da parte degli utenti, a differenza di Petya, che richiedeva agli utenti di aprire un allegato e-mail dannoso affinché l'infezione si propagasse. Microsoft aveva rilasciato una patch per la vulnerabilità EternalBlue già nel marzo 2017, ma molte organizzazioni avevano trascurato di installarla.

NotPetya è diverso da Petya 2.0?

Di fatto, sono la stessa cosa. I professionisti della sicurezza informatica hanno battezzato il malware NoPetya con diversi nomi, tra qui Petya 2.0, ExPetr e GoldenEye.

NotPetya era effettivamente un ransomware?

A differenza della maggior parte dei ransomware, che danneggiano i file o ne limitano l'accesso solo temporaneamente, la natura di NotPetya appariva essere puramente distruttiva. Non c'era modo di ripristinare il danno causato, perché il programma spazzava via i file senza possibilità di recuperarli.

Anche se un attacco NotPetya era sempre accompagnato da un messaggio contenente la richiesta di riscatto, sembra che questa tattica sia stata impiegata solo per mascherare le vere intenzioni dei perpetratori. Anche se le vittime di NotPetya avessero voluto pagare il riscatto, il messaggio mostrava un indirizzo Bitcoin falso generato casualmente. L'aggressore non avrebbe mai potuto incassare il riscatto, e questo rafforza l'idea che l'obiettivo di NotPetya fosse la distruzione, e non un tornaconto finanziario.

Il vero ransomware non è concepito per cancellare immediatamente file e dati. Sebbene alcuni autori di attacchi ransomware possano farlo in un secondo momento, se il riscatto non viene pagato, cancellare immediatamente file e dati non incentiva le vittime a pagare, dato che svanisce la speranza di riottenere i propri file. La motivazione principale degli autori di attacchi ransomware è il denaro, non provocare danni permanenti ai sistemi della vittima.

E mentre gli autori degli attacchi Petya del 2016 sembravano essere i tipici criminali informatici che utilizzano ransomware, nel 2018 diverse nazioni hanno dichiarato che il responsabile diretto degli attacchi NotPetya era il governo russo. Questo suggerisce che gli attacchi NotPetya potrebbero aver avuto motivazioni politiche.

Come prevenire le infezioni da Petya e NotPetya

Questi tre passaggi possono contribuire a rendere molto meno probabile un attacco Petya o NotPetya:

• Rafforzamento delle procedure di sicurezza della posta elettronica: la maggior parte degli attacchi Petya e alcuni attacchi NotPetya sono iniziati con un allegato e-mail infetto. Per evitare un attacco, le organizzazioni possono scansionare le e-mail alla ricerca di malware, bloccare gli allegati e-mail provenienti da fonti esterne e formare gli utenti affinché non aprano allegati non attendibili.
• Applicare regolarmente le patch per le vulnerabilità: l'exploit EternalBlue utilizzato da NotPetya disponeva di una patch disponibile già mesi prima che si verificassero gli attacchi. In generale, gli attacchi ransomware sfruttano spesso le vulnerabilità del software per entrare in una rete o muoversi lateralmente al suo interno. L'aggiornamento del software e l'applicazione di patch alle vulnerabilità possono contribuire a eliminare questi vettori di attacco.
• Backup di file e dati: conservare copie di backup di file importanti non previene le infezioni da ransomware, ma aiuta un'organizzazione a riprendersi più rapidamente. In caso di un attacco che distrugge file come NotPetya, questo potrebbe essere l'unico modo per recuperarli.

Per saperne di più, vedere Come impedire il ransomware.

Le organizzazioni possono anche adottare Cloudflare One. Cloudflare One è una piattaforma che aiuta gli utenti a connettersi in modo sicuro alle risorse di cui hanno bisogno. Utilizzando un approccio di sicurezza Zero Trust, Cloudflare One aiuta a prevenire e contenere le infezioni ransomware.