W czerwcu 2017 roku światem wstrząsnął jeden z najbardziej destrukcyjnych ataków ransomware w historii – wirus Petya, a właściwie jego wariant NotPetya, który sparaliżował tysiące firm, banków i instytucji publicznych, powodując straty szacowane na ponad 10 miliardów dolarów.
Ten malware nie był zwykłym ransomware’em żądającym okupu – okazał się wiperem, czyli narzędziem niszczącym dane bez realnej możliwości ich odzyskania. Dziś, prawie dekadę później, lekcje z tego ataku pozostają aktualne: zrozumienie mechanizmu działania oraz wdrożenie podstawowych zasad ochrony może uchronić Twój komputer, firmę czy sieć przed podobnymi zagrożeniami.
W tym przewodniku wyjaśniamy, czym dokładnie jest Petya, jak działał atak i – krok po kroku – jak się przed nim bronić.
Czym jest wirus Petya? Historia i ewolucja zagrożenia
Petya to rodzina ransomware’ów po raz pierwszy zauważona w marcu 2016 roku. Wirus rozprzestrzeniał się głównie poprzez zainfekowane załączniki e-mailowe, szyfrując pliki ofiary i żądając okupu w Bitcoinach. Prawdziwy koszmar zaczął się jednak 27 czerwca 2017 roku, gdy nowa odmiana – nazwana przez Kaspersky Lab NotPetya – uruchomiła globalny atak.
Atak rozpoczął się na Ukrainie, gdzie zainfekował ponad 80 firm, w tym Narodowy Bank Ukrainy, elektrownie, lotniska i system metra. Szybko rozlał się na Rosję, Niemcy, Polskę, Francję, Wielką Brytanię i USA – według ESET, 80% infekcji wystąpiło na Ukrainie, a Niemcy poniosły 9% strat. Eksperci z Google, rządów zachodnich i firm bezpieczeństwa obwinili o atak rosyjską grupę hakerską Sandworm z GRU, wskazując na polityczny motyw związany z ukraińskim świętem Konstytucji. Skala szkód była bezprecedensowa – według raportu Białego Domu straty przekroczyły 10 miliardów dolarów.
Oś czasu ataku NotPetya – jak to się rozwinęło?
Atak ewoluował błyskawicznie, co najlepiej pokazuje skrócona chronologia kluczowych wydarzeń:
- 08:00 EDT, 27 czerwca 2017 – Symantec potwierdza użycie exploita EternalBlue (CVE-2017-0144), opracowanego przez NSA i wcześniej wykorzystanego w WannaCry;
- 10:00 EDT – Kaspersky nadaje nazwę NotPetya, szacując 2000 zainfekowanych organizacji; wykryto też drugi exploit – EternalRomance – oraz użycie narzędzia Mimikatz do kradzieży haseł;
- 12:00 EDT – ukraińska policja wskazuje na oprogramowanie księgowe M.E.Doc jako wektor infekcji; backdoor w aktualizacjach był obecny co najmniej 6 tygodni.
NotPetya sparaliżował nawet system monitoringu promieniowania w elektrowni w Czarnobylu, co podkreśla skalę zniszczeń.
Jak działa Petya/NotPetya? Mechanizm ataku krok po kroku
Aby skutecznie się chronić, warto zrozumieć, jak działa ten typ malware. Petya nie szyfruje pojedynczych plików jak typowe ransomware – atakuje strukturę systemu plików na poziomie systemu operacyjnego. Oto przebieg infekcji:
- Infekcja – wirus wykorzystuje exploity EternalBlue i EternalRomance do ataku na protokół SMB w Windows, rozprzestrzeniając się po sieci bez interakcji użytkownika; wektorem początkowym bywają zainfekowane aktualizacje oprogramowania (np. M.E.Doc);
- Ładunek – szkodliwe oprogramowanie infekuje Master Boot Record (MBR), nadpisując bootloader Windows i wymuszając restart;
- Szyfrowanie – po restarcie szyfruje Master File Table (MFT) systemu plików NTFS, blokując dostęp do wszystkich plików;
- Fałszywy komunikat – ekran pokazuje symulację narzędzia chkdsk, udając naprawę sektorów, podczas gdy dane są niszczone;
- Żądanie okupu – wyświetlany jest ekran z żądaniem 300 dolarów w Bitcoinach na jednolity adres, lecz brak klucza deszyfrującego – to wiper, nie ransomware.
Różnica z oryginalnym Petya? Oryginał wymagał otwarcia zainfekowanego e-maila, natomiast NotPetya rozprzestrzenia się lateralnie po sieci z użyciem narzędzi takich jak WMI, PsExec i Mimikatz.
Jak się chronić przed Petya/NotPetya? Kompletny przewodnik krok po kroku
Microsoft wydał łatki na EternalBlue już w marcu 2017 (dla wspieranych Windows), a w maju – dla starszych wersji, jak XP. Wiele firm opóźniło aktualizacje, co okazało się kosztownym błędem. Wdroż poniższy proces ochrony:
1. Aktualizuj system operacyjny i oprogramowanie – priorytet nr 1
Upewnij się, że wszystkie urządzenia mają najnowsze poprawki bezpieczeństwa:
- Krok 1 – w systemie Windows przejdź do Ustawienia > Aktualizacja i zabezpieczenia > Windows Update i kliknij Sprawdź aktualizacje; zainstaluj wszystkie, w tym MS17-010 dla SMBv1;
- Krok 2 – dla starszych systemów (XP, Vista) pobierz specjalne poprawki z maja 2017 – Microsoft wydał je mimo końca wsparcia;
- Krok 3 – włącz automatyczne aktualizacje; unikaj opóźnień – testuj w środowisku stagingowym, ale nie zwlekaj.
Brak patchy umożliwił przytłaczającą większość infekcji NotPetya.
2. Wzmocnij zabezpieczenia sieciowe
Zredukuj powierzchnię ataku i utrudnij ruch boczny w sieci:
- Krok 1 – wyłącz zbędny protokół SMBv1 (PowerShell:
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol); - Krok 2 – zablokuj porty SMB (445/TCP) w firewallu dla ruchu przychodzącego z niezaufanych sieci;
- Krok 3 – segmentuj sieć (np. VLAN, firewalle) w celu ograniczenia lateralnego rozprzestrzeniania się (np. przez PsExec).
3. Zabezpiecz e‑maile i łańcuch dostaw oprogramowania
Wzmocnij filtry i kontrolę nad źródłami aktualizacji:
- Krok 1 – wdroż zaawansowane filtry antyspamowe i skanery załączników (np. Cloudflare, Kaspersky, ESET);
- Krok 2 – weryfikuj źródła aktualizacji – unikaj automatycznych pobrań z nieznanych serwerów (przypadek M.E.Doc);
- Krok 3 – używaj sandboxów do testowania nowych plików i aktualizacji przed wdrożeniem produkcyjnym.
4. Implementuj kopie zapasowe i odzyskiwanie
Przygotuj plan ciągłości działania – gdy zawiedzie prewencja, uratuje Cię backup:
- Krok 1 – stosuj zasadę 3‑2‑1: 3 kopie danych, 2 różne nośniki, 1 kopia off‑site/offline;
- Krok 2 – przechowuj backupy na nośnikach odłączonych od sieci lub w odizolowanej chmurze;
- Krok 3 – regularnie testuj przywracanie (np. co kwartał) – NotPetya niszczy MBR, ale solidne kopie zapasowe ratują dane.
5. Dodatkowe narzędzia i dobre praktyki
Wzmocnij swoją postawę bezpieczeństwa dodatkowymi krokami:
- zainstaluj antywirus z heurystyką (np. Kaspersky, ESET, Symantec) wykrywający techniki pokroju EternalBlue,
- wyłącz RDP (port 3389) lub ogranicz dostęp wyłącznie przez VPN,
- przeszkol pracowników, by nie otwierali podejrzanych linków i załączników,
- monitoruj sieć narzędziami SIEM pod kątem anomalii i technik takich jak Mimikatz czy WMI.
Dla szybkiego wglądu w priorytety obrony, kluczowe zagrożenia i środki ochrony zestawiamy w tabeli:
| Zagrożenie | Środek ochrony | Priorytet |
|---|---|---|
| EternalBlue | Patch MS17-010 | Wysoki |
| Ruch boczny | Segmentacja sieci | Średni |
| Zainfekowane aktualizacje | Weryfikacja źródeł | Wysoki |
| Brak backupu | Strategia 3‑2‑1 | Krytyczny |
Co jeśli jesteś zainfekowany? Kroki awaryjne
Jeśli podejrzewasz infekcję, działaj szybko i według poniższych wskazówek:
- Izoluj urządzenie – natychmiast odłącz je od sieci, wyłącz Wi‑Fi/Ethernet;
- Nie płać okupu – brak deszyfratora, więc to tylko strata pieniędzy;
- Przywróć z backupu – użyj bootowalnego nośnika (np. Windows PE) do naprawy MBR (komenda
bootrec /rebuildbcd), a następnie odtwórz dane z kopii; - Skonsultuj ekspertów – firmy bezpieczeństwa (np. Kaspersky, ESET) pomogą w analizie i usuwaniu skutków;
- Zgłoś incydent – w Polsce: CERT Polska lub policja cybernetyczna.
Lekcje z Petya dla dzisiejszego IT – czy grozi nam powtórka?
NotPetya zmienił nawet rynek ubezpieczeń cybernetycznych (głośne spory o wypłatę odszkodowań). Dziś exploity typu EternalBlue są załatane, ale nowe warianty ransomware i ataki na łańcuch dostaw pozostają realnym zagrożeniem. Firmy lekceważące aktualizacje i segmentację sieci ryzykują powtórkę – znaczący odsetek udanych ataków wynika z nieaktualnego oprogramowania.
Prewencja jest zawsze tańsza niż naprawa szkód – zacznij od aktualizacji już dziś.
Jestem całkowitym, technologicznym freakiem! Założyłem MartwePiksele.pl, aby dzielić się z wami moją wiedzą i testować każdy możliwy sprzęt. Dołączcie do mojej przygody! 🙂
