Metade dos alvos do ataque ExPetr são empresas industriais

De acordo com os analistas da Kaspersky Lab, o ExPetr está construído de uma forma que torna completamente impossível a recuperação dos dados e a desencriptação dos arquivos – mesmo que se pague o resgate. Para desencriptar o disco da vítima, o atacante precisa do ID da instalação. Em versões anteriores de ransomware “similares” como o Petya/Mischa/GoldenEye este ID de instalação continha a informação necessária para o restauro. O ExPetr não tem isso, o que significa que o ator da ameaça pode não conseguir extrair a informação necessária para a desencriptação.

Para instalações industriais e infraestruturas críticas, as consequências de um ataque com sucesso com este malware poderiam ser devastadoras.

“Neste momento, é difícil dizer se o ExPetr está direcionado especificamente a uma indústria em particular ou se afetou tantas outras áreas por coincidência. No entanto, a natureza deste malware é tal que poderia facilmente comprometer o funcionamento de uma instalação de produção durante um tempo considerável. É por isso que este ataque é um exemplo da razão pela qual as infraestruturas industriais devem estar devidamente protegidas contra ameaças cibernéticas”, refere Kirill Kruglov, perito em segurança na Kaspersky Lab.

O ataque desencadeou-se a 27 de junho. Atacou pelo menos dois mil utilizadores – na sua maioria na Rússia e Ucrânia. Registaram-se ainda ataques em Espanha, Polónia, Itália, entre outros. Na maioria dos casos até à data, a Kaspersky Lab detetou proativamente o vetor inicial de ameaça através do System Watcher.
A Kaspersky Llab confirma que o malware partilha algumas características com o Petya e também utiliza as ferramentas de PsExec. Porém, tem uma funcionalidade totalmente diferente do Petya, pelo que é chamado ExPetr.