Il demone NotPetya, il falso ricattatore

Leggenda

Il 27 giugno 2017 partì da un aggiornamento manomesso del software contabile ucraino M.E.Doc e si diffuse con EternalBlue, EternalRomance e credenziali rubate. Fingeva di essere un ransomware, ma cancellava i dati senza possibilità di recupero. Causò circa 10 miliardi di dollari di danni nel mondo e fu attribuito ai servizi militari russi.

Esorcismo

Si esorcizza segmentando la rete e limitando i movimenti laterali, perché si propagava da sola. Le patch per SMB, i privilegi ridotti e un ripristino da backup offline fanno la differenza.

Scheda tecnica

Noto anche come: ExPetr, Nyetya, Petrwrap
Girone: IV girone · Distruttori (wiper) · I girone · Vermi · V girone · Spionaggio di Stato
Prima apparizione: 2017
Stato: Dormiente
Armi (CVE sfruttati): Sant'EternalBlue, fuggito dall'arsenale · San EternalRomance
Opere: Il flagello di NotPetya

A wiper disguised as ransomware launched on 27 June 2017 through a trojanised update of the Ukrainian accounting software M.E.Doc. It spread with EternalBlue, EternalRomance and stolen credentials, causing an estimated $10 billion in damage worldwide. The US, UK and others attributed it to Russia's GRU Sandworm unit, whose officers were indicted in 2020.

Fonti: attack.mitre.org · attack.mitre.org · justice.gov · Riferimento MITRE ATT&CK S0368