NotPetya: najkosztowniejszy cyberatak w historii, który udawał ransomware

27 czerwca 2017 roku, w przededniu ukraińskiego Dnia Konstytucji, coś zaczęło wyłączać komputery w całym kraju. Bankomaty przestawały działać, kasy w sklepach zamierały, pracownicy patrzyli na ekrany z żądaniem okupu. W ciągu godzin fala przelała się przez granice i uderzyła w globalne koncerny — armator kontrolujący piątą część światowego transportu morskiego, farmaceutycznego giganta, producenta żywności, firmy logistyczne. Zanim się skończyło, straty sięgnęły około dziesięciu miliardów dolarów, co czyni NotPetyę najkosztowniejszym cyberatakiem w historii. A najbardziej przewrotne jest to, że atak, który wyglądał jak zwykłe ransomware, wcale nim nie był. To była broń zaprojektowana, by niszczyć — przebrana za zwykłego przestępcę.

Zatruta aktualizacja

Historia NotPetyi zaczyna się nie od e-maila phishingowego, lecz od czegoś, czemu wszyscy ufamy najbardziej: aktualizacji oprogramowania. Napastnicy przejęli mechanizm aktualizacji M.E.Doc — popularnego ukraińskiego programu do księgowości i rozliczeń podatkowych, używanego przez praktycznie każdą firmę działającą w Ukrainie. Wstrzyknęli złośliwy kod do legalnej aktualizacji, którą program automatycznie pobrał i uruchomił.

To podręcznikowy atak na łańcuch dostaw: zamiast atakować tysiące firm z osobna, wystarczyło skompromitować jednego zaufanego dostawcę, przez którego malware trafił do wszystkich naraz. W jednej chwili tysiące organizacji „zaprosiły” NotPetyę do środka, wykonując rutynową, zaufaną czynność.

Broń doskonała do rozprzestrzeniania

Gdy NotPetya znalazł się w sieci firmy, rozpętywał piekło z zabójczą skutecznością, bo łączył kilka technik w jedną, samopowielającą się maszynę:

• EternalBlue. Ten sam wyciekły exploit NSA, który napędzał WannaCry, pozwalał NotPetyi skakać z maszyny na maszynę bez udziału człowieka.
• Kradzież poświadczeń. NotPetya wyciągał hasła z pamięci zainfekowanych komputerów i używał ich, by legalnie logować się do kolejnych — dlatego nawet załatane maszyny padały, jeśli w sieci był choć jeden punkt wejścia.
• Narzędzia administracyjne. Wykorzystywał wbudowane, legalne mechanizmy zarządzania Windows do rozprzestrzeniania się, co utrudniało wykrycie.

Ta kombinacja sprawiła, że NotPetya przechodził przez wielkie, płaskie sieci korporacyjne jak pożar przez suchy las. W kilka minut cała firma mogła paść.

Okup, którego nie dało się zapłacić

Na zainfekowanych ekranach pojawiało się żądanie okupu w bitcoinie — wyglądało jak klasyczne ransomware. Ale to była maskarada. Badacze szybko odkryli, że NotPetya nie miał żadnego mechanizmu odzyskania danych. Zniszczenia były nieodwracalne: malware nie tyle szyfrował dane po to, by je za okup przywrócić, ile trwale je niszczył (był tzw. wiperem). Adres do „kontaktu” i identyfikator płatności były atrapą.

To był kluczowy dowód na prawdziwą naturę ataku. Skoro nie dało się odzyskać danych za żadne pieniądze, celem nie były pieniądze. Celem było zniszczenie. Żądanie okupu było tylko kostiumem, mającym ukryć, że mamy do czynienia z aktem cybersabotażu, a nie z przestępstwem finansowym.

Cios wymierzony w Ukrainę, który trafił świat

Atak był ewidentnie wymierzony w Ukrainę — stąd wybór ukraińskiego oprogramowania księgowego jako punktu wejścia i data tuż przed świętem państwowym. Analizy wielu rządów i badaczy przypisały go rosyjskiemu wywiadowi wojskowemu (grupie znanej jako Sandworm), w ramach trwającego konfliktu.

Ale cyberbroń nie zna granic. Malware zaprojektowany do siania spustoszenia w Ukrainie wymknął się i uderzył w każdą międzynarodową firmę, która miała tam choćby jeden komputer podłączony do globalnej sieci. Duński armator stracił zdolność operacyjną na całym świecie i musiał odbudować tysiące serwerów i dziesiątki tysięcy komputerów — jak głosi słynna anegdota, uratowała go pojedyncza kopia kontrolera domeny, która ocalała w oddziale w Ghanie tylko dlatego, że akurat trwała tam awaria prądu. Amerykański koncern farmaceutyczny stracił zdolność produkcji części leków. Straty rozlały się globalnie — efekt uboczny ataku na jeden kraj.

Dlaczego NotPetya to lekcja epoki

NotPetya spina w jedną historię kilka najważniejszych prawd współczesnego bezpieczeństwa:

• Łańcuch dostaw to najkrótsza droga do wszystkich naraz. Nie musisz atakować tysięcy firm — wystarczy skompromitować jednego dostawcę, któremu ufają. To lekcja, którą świat odbierał potem wielokrotnie.
• Sabotaż może udawać przestępczość. „Ransomware” bywa kostiumem dla operacji państwowej. Nie każde żądanie okupu jest tym, na co wygląda.
• Płaskie sieci są śmiertelne. Kradzież poświadczeń plus samopowielanie oznaczają, że jeden punkt wejścia = cała organizacja. Segmentacja to nie luksus, to warunek przetrwania.
• Kolateralne szkody są realne. W połączonym świecie broń wymierzona w jednego przeciwnika trafia w postronnych. Twoja firma może paść ofiarą ataku, który nie był wymierzony w Ciebie.

Lekcje dla firm

• Traktuj dostawców jak część swojej powierzchni ataku. Aktualizacje i integracje to zaufanie, które bywa nadużywane — o systematycznej ocenie piszemy w zarządzaniu ryzykiem dostawców.
• Segmentuj i ograniczaj poświadczenia. Uniemożliw jednemu zainfekowanemu hostowi zobaczenie i zalogowanie się do całej sieci. Ogranicz konta administracyjne i ich zasięg.
• Łataj i wyłączaj przestarzałe protokoły. EternalBlue wciąż działał, bo SMBv1 wciąż żył. Martwe protokoły to paliwo dla robaków.
• Kopie zapasowe odporne na zniszczenie. Wobec wipera liczy się to, czy masz offline’owe, przetestowane kopie, których malware nie dosięgnie — strategia 3-2-1. Historia armatora pokazała, że czasem cała firma wisi na jednej ocalałej kopii.

Podsumowanie

NotPetya to opowieść o tym, jak atak wymierzony w jeden kraj, wypuszczony przez zatrutą aktualizację zwykłego programu księgowego, obrócił się w najkosztowniejszą cyberkatastrofę w historii — dziesięć miliardów dolarów strat rozlanych po globalnych koncernach, które „tylko” miały biuro w Ukrainie. Udawał ransomware, ale nie dało się zapłacić okupu, bo nigdy nie chodziło o pieniądze — chodziło o zniszczenie. To najczystsza lekcja kilku prawd naraz: łańcuch dostaw jest najkrótszą drogą do wszystkich, płaskie sieci giną w minuty, a cyberbroń nie szanuje granic. W połączonym świecie cudza wojna potrafi stać się Twoim kryzysem.

Chcesz sprawdzić, czy Twoja sieć przetrwałaby atak rozprzestrzeniający się jak NotPetya — od ryzyka dostawców po segmentację i odporność kopii? Skontaktuj się z nami — audyty i testy penetracyjne pokazują te ścieżki, zanim zrobi to napastnik.

Najczęstsze pytania (FAQ)

Czy NotPetya był ransomware? Wyglądał jak ransomware — wyświetlał żądanie okupu w bitcoinie — ale nim nie był. Nie miał działającego mechanizmu odzyskania danych; niszczył je trwale (był wiperem). Żądanie okupu było kamuflażem mającym ukryć, że celem nie były pieniądze, lecz zniszczenie. To akt cybersabotażu przebrany za przestępstwo finansowe.

Jak NotPetya się rozprzestrzeniał, skoro istniała łata na EternalBlue? Bo nie polegał wyłącznie na EternalBlue. Wykradał też hasła z pamięci zainfekowanych maszyn i używał ich do legalnego logowania się na kolejne — dzięki temu padały nawet w pełni załatane komputery, jeśli w tej samej, płaskiej sieci był choć jeden punkt wejścia. To połączenie exploita, kradzieży poświadczeń i narzędzi administracyjnych czyniło go tak skutecznym.

Dlaczego atak na Ukrainę zaszkodził firmom na całym świecie? Bo punktem wejścia było oprogramowanie księgowe używane w Ukrainie, ale malware rozprzestrzeniał się przez globalne sieci korporacyjne. Każda międzynarodowa firma z choćby jednym podłączonym komputerem w Ukrainie „wpuszczała” NotPetyę do swojej globalnej infrastruktury. Cyberbroń nie zna granic — szkody kolateralne rozlały się po świecie.

Jak chronić się przed atakiem typu NotPetya? Kluczowe są cztery rzeczy: traktowanie dostawców i aktualizacji jako części powierzchni ataku (ocena ryzyka dostawców), segmentacja sieci i ograniczanie zasięgu poświadczeń administracyjnych, szybkie łatanie oraz wyłączanie przestarzałych protokołów, a także offline’owe, przetestowane kopie zapasowe odporne na zniszczenie. To one decydują, czy incydent oznacza godziny odbudowy, czy tygodnie paraliżu.