Nieuwe wereldwijde ransomware-aanval kon vermeden worden

Na WannaCry is de hele wereld opnieuw in de ban van een grootscheepse ransomware-aanval. Die kreeg de naam ‘NotPetya’ mee, aangezien antivirusspecialist Kaspersky oorspronkelijk meende dat het ging om de gekende Petya-malware. Later werd die stelling bijgeschaafd nadat bleek dat het toch om een volledig nieuwe software ging; vandaar de naam NotPetya.

Grote slachtoffers

De ransomware houdt vooral lelijk huis in Oekraïne, waar vele overheidsdiensten, ziekenhuizen en banken momenteel niet kunnen werken. Enkele kerncentrales zijn eveneens getroffen, waaronder de Chernobyl-site, zodat medewerkers ter plaatse momenteel manuele stralingstests moeten uitvoeren. Daarnaast kent de VS enkele grote slachtoffers, waaronder farmaceutisch bedrijf Merck, advocatenkantoor DLA Piper en een aantal ziekenhuizen. In ons land is onder meer de grote Deense rederij Maersk getroffen.

De ransomware-aanval gebeurt, net als bij WannaCry vorige maand, door middel van de EternalBlue-zwakte. Dat is een gat in de beveiliging van Windows dat ontdekt werd door de Amerikaanse NSA, en waarvoor meteen na de vorige grootschalige aanval een update werd vrijgegeven die het lek dichtte tot en met Windows XP. Dat er vandaag opnieuw zoveel slachtoffers vallen, toont aan dat de updatestrategie van vele gebruikers en bedrijven nog steeds veel te wensen overlaat.

Gerichte aanvallen

Fox IT meldt evenwel dat EternalBlue slechts wordt aangewend voor de verdere verspreiding binnen een bedrijf. Het is voorlopig nog niet duidelijk hoe NotPetya juist weet binnen te dringen op een bedrijfsnetwerk. In tegenstelling tot WannaCry gaat deze variant namelijk niet op zoek naar willekeurige IP-adressen, maar voert het gerichte aanvallen uit.

NotPetya is geen traditionele ransomware in de zin dat het alle toeters en bellen achterwege laat. Vaak proberen hackers hun slachtoffers te intimideren met grootspraak, een klok die aftelt en enkele niet te misverstane dreigementen. NotPetya doet het veel soberder met niets meer dan een korte uitleg, in rode letters op een zwart scherm, en met de link naar het bitcoin-account. De volledige ontgrendeling van al je bestanden kost 300 dollar.

De betaling levert evenwel opnieuw problemen op. Het e-mailadres dat verbonden is met de ransomware werd namelijk al geblokkeerd door de provider ervan. Daardoor kan een betaling niet bevestigd worden bij de hakcers, waardoor gebruikers die betalen waarschijnlijk geen decryptiecode zullen krijgen.