Ransomware Petya não é simplesmente uma variante do WannaCry

Depois do novo surto ocorrido nesta semana que utiliza uma variante do ransomware denominada PETYA, empresas de segurança, como Trend Micro e Kaspersky, chegaram à conclusão que esse novo ataque vai além e não é uma simples variante que apenas utiliza as técnicas de propagação já estabelecidas pelo WannaCry.

O ataque parece ter sido inicialmente planejado como um ataque direcionado, com origem em uma falha de atualização da infraestrutura do software de contabilidade ucraniano conhecido como MEDoc (aparentemente assumido pelo website, mas categoricamente negado pela MEDoc no Facebook).

Este ataque de island-hopping, que começa com um fornecedor pequeno de software, cujo produto é obrigatório para as empresas que pagam impostos na Ucrânia, pode ter sido alvo especificamente nesse país. No entanto, como em qualquer ataque direcionado comum, houve danos colaterais.

O fato de que o malware estava configurado para aguardar cinco dias antes de ser acionado no dia 27 de junho, um dia antes de um feriado público ucraniano, também tem um peso circunstancial de que o ataque foi direcionado principalmente às vítimas na Ucrânia.

Malware do tipo wiper

Porém, segundo Matt Suiche, fundador da empresa de segurança Comae, ao analisar o código fonte do vírus, foi descoberto que ele não possui a capacidade de descriptografar os arquivos sequestrados – ou seja, mesmo se o usuário pagar o resgate, não terá seus arquivos de volta. O Petya foi criado somente para destruir e tentar roubar algum dinheiro dos usuários desesperados.

O especialista explicou que “a versão atual do Petya claramente foi reescrita para ser um exterminador, e não um ransomware autêntico”. Segundo ele, “o objetivo de um wiper é destruir e danificar, enquanto o objetivo de um ransomware é fazer dinheiro”. São diferentes intenções, com diferentes narrativas. Suiche acredita, ainda, que o pedido de resgate por parte dos cibercriminosos seja uma distração para não revelar seu verdadeiro objetivo, que seria sabotar a infraestrutura da Ucrânia.

Para a Trend Micro, os criadores deste malware em particular são claramente qualificados e experientes, tendo em vista que usaram o código do Petya, reutilizaram exploits usadas pelo WannaCry, adicionaram capturas de hash de senhas e mais duas outras técnicas de propagação de rede, com o ofuscamento de código e certificados falsos da Microsoft.

Alcance global

Algumas importantes empresas globais possuem escritórios e operações na Ucrânia e provavelmente são usuários do MEDoc. Além disso, a Rosneft, empresa petrolífera estatal russa, embora não seja necessariamente usuária do software, ainda assim conta com presença na Ucrânia e, portanto, pode estar exposta ao MEDoc através de sua rede.

Parece que este ataque cibernético está seguindo a lei de consequências não intencionais, com crescente número de vítimas incluindo alvos originários de locais fora da Ucrânia.

Ainda segundo Suiche, da Comae, o país do Leste Europeu vem sendo alvo de uma série de incidentes virtuais que podem estar ligados a grupos patrocinados pela Rússia, e tudo estaria acontecendo por conta de disputas territoriais. Apesar de a explicação fazer sentido, Suiche não explicou com a epidemia iniciada na terça-feira (27) se espalhou por outros países, já que o alvo seria apenas a Ucrânia.

Quem está vulnerável?

Até agora, todos os mecanismos de propagação altamente eficazes estão completamente sintonizados para propagação interna baseada em rede a um ritmo acelerado. Aparentemente não parece ter sido uma campanha construída com grande foco para entregar esta payload além da base de usuários do software MEDoc.

Segundo a Trend Micro, companhias que têm presença na Ucrânia ou tem parceiros imediatos com operações no país, devem considerar diretamente esse ataque em risco. Fora deste grupo imediato, o risco diminui significativamente, no entanto, não existe uma garantia definitiva de que os usuários estão a salvo e basta um único dispositivo na rede ser infectado para que esse surto devastador seja ativado.

A ESET, companhia eslovaca que vende produtos para proteger computadores de vírus, disse que 80% das invasões detectadas em sua base de clientes global aconteceram na Ucrânia e que a Itália foi a segunda mais afetada, com cerca de 10%.