كشفت شركة “Trend Micro” المتخصصة بالأمن الرقمي عن انتشار فيروس جديد يدعى Petya ينتمي إلى فئة “برامج الفدية” Ransomware يستهدف نظام التشغيل “ويندوز” ويمنعه من الإقلاع.
وأوضحت الشركة أن الفيروس يضر النظام من خلال الكتابة فوق ما يعرف بـ”سجل الإقلاع الرئيسي MBR” للحاسوب، ولا يُمكن للمُستخدم استعادة نظام تشغيله وملفاته إلا بعد دفع فدية تبلغ 430 دولار أمريكي للمهاجمين.
و”MBR” عبارة عن الشيفرة البرمجية المخزنة ضمن القطاع الأول للقرص الصلب وتحتوي على معلومات حول أقسام القرص، وهو مسؤول عن تشغيل “محمل الإقلاع” لنظام التشغيل. وفي حال تعطل السجل يعجز نظام التشغيل عن العمل.
ويتم توزيع برمجية Petya الموجهة للشركات، على شكل رسائل بريد إلكتروني ترسل إلى أقسام إدارة الموارد البشرية في الشركات، يتظاهر مرسلها بأنه طالب للعمل متقدم إلى الوظائف المتاحة لدى الشركة. وتتضمن الرسالة رابطا إلى مجلد على “دروب بوكس” يحتوي على ملف يتضمن السيرة الذاتية وصورة مزورة، وبمجرد تنزيل الملف وفتحه يتم تثبيت البرمجية الخبيثة.
بعد تثبيت البرمجية تظهر للمستخدم رسالة خطأ ويتم إعادة تشغيل الحاسوب تلقائيا، ويتم تشفير جدول الملفات الرئيسي MFT وهو عبارة عن ملف خاص بنظام ملفات NTFS المستخدم في ويندوز يخزن مواقع الملفات الموجودة على الجهاز، ويؤدي تشفير هذا الملف إلى استحالة استعادة الملفات دون فك تشفيره من خلال مفتاح خاص يحصل عليه المُستخدم بعد دفع الفدية.
لدى تشفير جدول الملفات الرئيسي تظهر للمستخدم صورة جمجمة مصحوبة برسالة تتضمن الخطوات التي يتوجب على الضحية تنفيذها لاستعادة ملفاته ونظام تشغيله، وفي هذه الحالة على المستخدم الوصول إلى موقع آمن ضمن شبكة “TOR” والدفع عبر عملة “Bitcoin” الإلكترونية مبلغ 0.99 بِت كوين وهو ما يعادل حوالي 430 دولار.
وقالت “ترند مايكرو” أنها أبلغت “دروب بوكس” بالهجمة وقامت الأخيرة بدورها بحذف الرابط والروابط الشبيهة، لكنها نصحت المستخدمين بالحذر واستخدام برامج الحماية المناسبة.
وبحسب “ترند مايكرو” فإن برمجية Petya تستهدف حاليا الشركات في ألمانيا، لكن لا شيء يضمن عدم استهداف الحملة ذاتها للشركات في دول أخرى وفقا للشركة الأمنية.
RT
