Petya Ransomware: temibile e diverso dai soliti ransom

Un “nuovo” ransomware, ormai da qualche giorno, sta mietendo vittime, soprattutto in Germania: si chiama Petya Ransomware.

Questo ransom lavora in modo totalmente diverso dal solito: infatti esso critta l’MBR del disco, impedendo di fatto l’accesso al sistema operativo. Vediamo di capire come avviene l’infezione

Come molto spesso accade, l’infezione avviene tramite un messaggio di SPAM, ove viene richiesto di scaricare un file tramite Dropbox. Una volta avviato questo file, comincerà l’operazione di infezione vera e propria: viene richiesto di riavviare il sistema, dopo il quale verrà mostrata una schermata dove viene eseguito un finto CHKDSK: durante questa operazione viene criptato l’MFT (Master File Tables) e sostituito il boot loader con uno malevolo. Una volta fatto questo, verrà mostrata una finestra con indicate le procedure di recupero dei propri dati crittati, come tutti gli altri ransomware.

Di seguito un video esplicativo (Fonte del video: Petya Ransomware skips the Files and Encrypts your Hard Drive Instead)

come al solito, la prevenzione è sempre dettata dalle stesse regole, che riporto ad ogni post, ovvero:

Sistemi Operativi aggiornati

Programmi aggiornati

Firewall perimetrale con funzionalità UTM 

Firewall Endpoint. Quasi tutti gli antivirus lo integrano, ma nella stragrande maggioranza dei casi la funzionalità è disattivata

Antivirus aziendali centralizzati

Accesso alle risorse con credenziali di basso profilo (user). Moltissimi utenti sono amministratori di sistema/dominio senza una reale necessità e senza una consapevole idea del danno che possono arrecare

Password forti

Minimizzare le share di rete

Formazione degli utenti