Хакерські атаки на Україну (2017)

Хáкерські (гáкерські) атáки на Украї́ну — масштабна хакерська атака з боку Росії проти України, що відбувалась у декілька етапів. Розпочалась щонайменше 14 квітня 2017 року з компрометації системи оновлення програми M.E.Doc. Останній етап, з використанням різновиду вірусу Petya, відбувся 27 червня 2017 року, та спричинив порушення роботи українських державних підприємств, установ, банків, медіа тощо. Внаслідок атаки була заблокована діяльність таких підприємств, як аеропорт «Бориспіль», ЧАЕС, Укртелеком, Укрпошта, Ощадбанк, Укрзалізниця та низки інших великих підприємств. Зараженню піддалися інформаційні системи Міністерства інфраструктури, Кабінету Міністрів, сайти Львівської міської ради, Київської міської державної адміністрації, кіберполіції та Служби спецзв'язку України.

Хакерські атаки на Україну
Монітор комп'ютера, зараженого вірусом
Дата	14 квітня — 27 червня 2017
Місце	Спочатку:  Україна Пізніше в:  США  Росія  Іспанія  Індія
Причина	компрометація системи оновлення програми M.E.Doc з встановленням бекдору та вірусу NotPetya
Організатори	російські спецслужби. угрупування Sandworm (в/ч № 26165 ГУ ГШ ЗС РФ)
Результат	заблокована діяльність державних і комерційних підприємств, сайтів органів виконавчої влади
Руйнування майна	втрати підприємств по всьому світу склали до $10 млрд
Звинувачені	Росія, російські військові підрозділи (згідно із заявами урядів Австралії, Великої Британії, Данії, Сполучених Штатів, України)

Жертвою вірусу також стали телеканал «Інтер», медіахолдинг ТРК «Люкс», до складу якого входять «24 канал», «Радіо Люкс FM», «Радіо Максимум», різні інтернет-видання, а також сайти Львівської міської ради, Київської міської державної адміністрації. Повідомлялося, що постраждав Кабінет Міністрів України, але пізніше ця інформація була спростована і названа невдалим жартом Павла Розенка. Причиною тимчасової непрацездатності сайта КМУ названі технічні роботи.

Трансляції передач припинили канали «Перший автомобільний» та ТРК «Київ».

28 червня 2017 року Кабінет Міністрів України повідомив, що атака на корпоративні мережі та мережі органів влади була зупинена.

Відповідальність за атаку на Росію поклали всі п'ять країн-членів союзу FVEY: Австралія, Велика Британія, Канада, Нова Зеландія, Сполучені Штати, а також уряди Данії та України. Адміністрація Президента США назвала цю атаку найбільшою хакерською атакою в історії.

Масштабна деструктивна атака різновидом вірусу Petya (також відомого як NotPetya, Eternal Petya, Petna, ExPetr, тощо) стала можливою завдяки компрометації системи оновлення програми M.E.Doc та встановлення прихованого бекдору. Таким чином, масштабною деструктивною атакою зловмисники закрили собі наявний в них завдяки бекдору доступ до комп'ютерів та комп'ютерних мереж у близько 80 % українських підприємств (в тому числі — представництв закордонних компаній). Є підстави вважати, що зловмисники пішли на такий крок оскільки або здобули надійніший доступ до інформаційних систем важливих для них жертв, або ж вважають, що зможуть доволі просто відновити його.

Перебіг атаки

Зараження вірусом відбувається через фішингове повідомлення (файл Петя.apx) або оновлення програми для подачі бухгалтерської звітності M.E.Doc. Вірус шифрує файли на комп'ютері, а розповсюджувачі вимагають від користувачів викуп за відновлення доступу до інформації за віртуальні гроші Bitcoin. Сума, яку вимагає автор вірусу за розблокування файлів становить 300$.

Перші атаки з використанням перших версій вірусу Petya стали відомими ще на початку 2016 року. Для перших версій Petya вдалось розробити дешифратори та відновлювачі зашифрованих даних.

Хронологія

За відкритими результатами різних розслідувань можливо відтворити хронологію подій, що передували цій атаці. Зокрема:

• 14 квітня 2017 року: оновлення M.E.Doc 10.01.175-10.01.176 з бекдором.
• 15 травня 2017 року: оновлення M.E.Doc 10.01.180-10.01.181 з бекдором.
• 17 травня 2017 року: виходить оновлення M.E.Doc без бекдору.
• 18 травня 2017 року: хакерська атака з використанням вірусу XData (Win32/Filecoder.AESNI.C). Оскільки попереднього дня багато клієтнів отримали оновлення без бекдору, атака зазнає невдачі.
• 31 травня 2017 року: на цей день припадає остання дата модифікацій файла з вебшелом medoc_online.php (PHP webshell PAS) — May 31 14:45 2017. Цей вебшел стає доступний за адресою http[:]//www.me-doc[.]com[.]ua/TESTUpdate/medoc_online.php.
• 22 червня 2017 року: оновлення M.E.Doc 10.01.188-10.01.189 з бекдором.
• 27 червня 2017 року: хакерська атака з використанням вірусу Petya-NotPetya.
  • 8:59:14 UTC: зловмисник використовує вкрадений пароль для здобуття прав адміністратора на сервері оновлень M.E.Doc
  • в проміжку 9:11:59 — 9:14:58 UTC зловмисник міняє налаштування сервера для перенаправлення запитів на сервер з IP-адресою 176.31.182[.]167, яка належить діапазону французького вебхостера OVH^[en].
  • 9:14:58 UTC з'являється трафік на сервер OVH.
  • 12:31:12 UTC останнє з'єднання до сервера OVH, завершення активної фази зараження.
  • 12:33:00 UTC відновлення налаштувань сервера M.E.Doc.
  • 14:11:07 UTC від'єднання SSH-терміналу з адреси 159.148.186[.]214 (Латвія).
  • 19:46:26 UTC зловмисник замітає сліди на сервері OVH (176.31.182[.]167) командою dd if=/dev/zero.
• 4 липня 2017 року: для запобігання подальшим атакам поліція проводить обшуки та вилучення обладнання у компанії-розробника M.E.Doc

Початкове зараження

За результатами спільного розслідування Кіберполіції та сторонніх фахівців з комп'ютерної безпеки було встановлено, що ураження інформаційних систем українських компаній відбулось через оновлення програмного забезпечення, призначеного для звітності та документообігу — «M.E.Doc» шляхом внесення змін до бібліотеки ZvitPublishedObjects.dll. Активна та найбільш деструктивна фаза атаки розпочалась з системи автоматичного оновлення програми M.E.doc 27 червня 2017 року близько 10:30 за київським часом. Розробник програми M.E.Doc, компанія «Інтелект-сервіс» розмістила на своєму сайті повідомлення, яким визнавала джерело атаки, але невдовзі його прибрала. Згодом було розміщене нове повідомлення, в якому компанія відкидала будь-яку причетність до поширення вірусу або про злам своїх інформаційних систем.

Також кіберполіція зазначила, що відомі випадки поширення вірусу через фішингові листи від імені відомих компаній або від імені адресатів, з якими до цього велось листування. У цих листах присутні посилання на завантаження шкідливих додатків (документів Microsoft Word, PDF-файлів, таблиць та інших).

Слідство припускає, що зловмисникам вдалось вбудувати в одне із оновлень програми бекдор та приблизно 15 травня 2017 року встановити його на комп'ютери жертв. Є підстави стверджувати, що зловмисникам були доступні вихідні коди програми. Також відомо, що оновлення з вбудованим бекдором відбувались:

• 01.175-10.01.176, випуск 14 квітня 2017
• 01.180-10.01.181, випуск 15 травня 2017
• 01.188-10.01.189, випуск 22 червня 2017

Представники компанії-розробника «M.E.Doc» були проінформовані про наявність вразливостей в їх системах антивірусними компаніями, але проігнорували їх. Навіть після атаки 18 травня 2017 року (всього через три дні після випуску 01.180) з хробаком XData (Win32/Filecoder.AESNI.C) компанія-виробник заперечила проблеми з безпекою і назвала це простим «збігом».

Разом з тим з'ясовано: виявлений бекдор за функціоналом має можливість збирати коди ЄДРПОУ уражених компаній та відправляти їх на віддалений сервер. Крім того, завантажувати файли і збирати інформацію про операційну систему та ідентифікаційні дані користувачів. Зловмисники мали можливість в залежності від кодів ЄДРПОУ віддавати бекдору різні команди, в тому числі — завантажувати й запускати додаткові модулі.

Таким чином, станом на 27 червня 2017 року про існування проблем з безпекою в системі оновлень M.E.Doc вже було відомо. Навіть після атаки фахівцям фірми ESET вдалося знайти бекдор у вигляді зашифрованої PHP програми PAS (webshell PHP PAS) з назвою файла medoc_online.php на цьому сервері. На сервері було встановлене застаріле програмне забезпечення з численними вразливостями, для якого були добре відомі методи атак. Начальник Департаменту кіберполіції Національної поліції України полковник Сергій Демедюк в інтерв'ю журналістам Associated Press заявив, що розробникам M.E.Doc «багато разів говорили про це творці антивірусів. Така недбалість може послужити причиною початку кримінального розслідування». Крім всього іншого сервер оновлень upd.me-doc.com.ua (IP адреса 92.60.184[.]55) фізично перебував у хостинг-провайдера WNet (ТОВ «Дабл-ю нет Україна»), в якого на початку червня того ж року Служба безпеки України проводила обшуки та вилучала обладнання через надання компанією телекомунікаційних послуг у Криму ФСБ РФ, Воєнтелекому РФ та псевдодержавним підприємствам зв'язку. За інформацією спецслужби, через незаконну маршрутизацію трафіку до анексованого Криму ФСБ РФ планувало отримати доступ та знімати інформацію з українського сегменту мережі провайдера.

Також, на даний момент відомо, що після спрацювання бекдору, зловмисники компрометували облікові записи користувачів, з метою отримання повного доступу до мережі. Далі отримували доступ до мережевого обладнання з метою виведення його з ладу. За допомогою IP KVM (KVM-перемикач з можливістю роботи через комп'ютерні мережі) здійснювали завантаження власної операційної системи на базі Tiny Core Linux.

Зловмисники, з метою приховування вдалої кібероперації щодо масового ураження комп'ютерів та несанкціонованого збору з них інформації, тим же самим способом, через останні оновлення програмного забезпечення «M.E.Doc» розповсюдили модифікований хробак-здирник Petya.

Видалення та шифрування файлів операційних систем було вчинено з метою видалення слідів попередньої злочинної діяльності (бекдору) та відвернення уваги шляхом імітації вимагання грошових коштів від потерпілих.

Атака 27 червня 2017 року розпочалась близько 10:30 за київським часом, коли на комп'ютерах жертв програма EzVit.exe — складова частина M.E.Doc, запустила команду:

4 липня 2017 року з'явилось повідомлення від розробників іншого ПЗ подання бухгалтерської звітності 1С:Звіт про наявність вірусу в бібліотеці ZvitPublishedObjects.dll, виявленого одним з антивірусів з останніми оновленнями. Зазначена бібліотека використовується і у «M.E.Doc», і у 1С: Звіт.

Бекдор

Див. також: Бекдор

Хробак Petya потрапив на комп'ютери жертв в першу чергу завдяки бекдору, який був встановлений в оновлення програми M.E.Doc. Таким чином, шкідлива дія атаки не обмежена деструктивними діями хробака, але і включає шкоду, яку зловмисники могли заподіяти бекдором: викрадення системних паролів, ключів, викрадення важливої інформації та документів, встановлення програм-шпигунів, проникнення в інші системи, тощо.

Бекдор був доданий до коду в бібліотеці програми ZvitPublishedObjects.dll у функцію ZvitPublishedObjects.Server.UpdaterUtils.IsNewUpdate. Бекдор створював фоновий потік, який звертався за адресою http[:]//upd.me-doc.com.ua/last.ver?rnd=<GUID>, куди передавав код ЄДРПОУ підприємств та ім'я користувача, від імені якого виконується програма, в очікувані команд. Всього бекдор здатен виконувати шість команд:

Команда з кодом 5 найкраще збігається зі сценарієм зараження вірусом Petya.

XData

18 травня 2017 року було виявлено вірус-здирник XData, який став другим за швидкістю поширення та шкідливістю після WannaCry в Україні. Вірус шифрував дані на комп'ютері та вимагав від 0,1 до 1 BTC (станом на травень 2017, один біткоїн коштував понад 1,9 тисяч доларів США). Переважною більшістю жертв вірусу стали бухгалтерські комп'ютери українських підприємств, які використовували систему M.E.Doc на 64-бітних операційних системах Windows XP, Windows 7, Windows Server 2008 та Windows Server 2012. Багато постраждалих стверджували, що шифрування їхніх даних відбулося після оновлення програми M.E.Doc. Однак компанія-виробник ПЗ заперечила проблеми з безпекою і назвала це збігом.

Засіб для дешифрування даних, уражених XData, був опублікований уже 30 травня.

NotPetya

Попри зовнішню схожість новий вірус має істотні відмінності від вже відомого Petya, тому отримав нові назви від різних дослідників (NotPetya, Eternal Petya, Petna, тощо). У цілому, він має добре написаний код, який використовує низку шляхів для свого поширення:

• Вразливості EternalBlue та EternalRomance (CVE-2017-0144 та CVE-2017-0145 відповідно, обидві виправлені в оновлені MS17-010)
• Виявлення гешів паролів зареєстрованих на комп'ютері користувачів та адміністраторів (алгоритм LSA Dump, схожий на Win32/Mimikatz)
• Використання стандартних можливостей операційної системи:

Таким чином, заражений цим хробаком комп'ютер здатен, за певних умов, вражати інші комп'ютери в мережі, навіть ті, які отримали останні оновлення операційної системи.

Аби не бути виявленим антивірусними програмами, бінарні коди вірусу застосовують:

• підроблений цифровий підпис Microsoft,
• шифрування алгоритмом XOR (для обходу перевірок на сигнатуру).

Проте, попри досить високий рівень реалізації самого вірусу, його розробники скористались вкрай вразливим та ненадійним способом спілкування з жертвами, що створює враження, що здирництво не було основним мотивом:

• всім жертвам пропонувалося перерахувати криптовалюту біткоїн вартістю 300$ на гаманець автора вірусу;
• та передати вказаний на екрані довгий код на вказану адресу електронної пошти.

Поштова служба, де була зареєстрована скринька зловмисників, заблокувала її вже через кілька годин після початку атаки і, таким чином, унеможливила спілкування між жертвами та зловмисниками. Тобто, сплата викупу не має сенсу, оскільки гарантовано не дасть бажаного результату. В оприлюдненій заяві компанія-провайдер поштової скриньки повідомила, що не лише заблокувала скриню, а й активно працює з німецькою федеральною службою інформаційної безпеки в розслідуванні цієї події.

Шкідлива дія

Див. також: Ransomware

Повідомлення, що показується після завершення шифрування головної таблиці файлів файлової системи NTFS

Шкідлива дія вірусу складається з двох частин та залежить від прав, який має його процес, та від того, які процеси працюють в операційній системі. Вірус обчислює нескладний хеш назв запущених процесів, і якщо буде знайдено наперед задані коди може або припинити своє поширення, або ж, навіть, відмовитись від шкідливої дії.

Першим кроком вірус шифрує файли з наперед заданого переліку типів (їх понад 60) з використанням алгоритму AES-128. Для кожного комп'ютера вірус обчислює новий ключ симетричного алгоритму шифрування AES-128, який шифрує 800-бітним відкритим ключем RSA з пари ключів зловмисників та зберігає на жорсткому диску. Повідомлення з вимогою викупу для дешифрування файлів залишається на жорсткому диску. Це повідомлення має інший ключ, відмінний від ключа на другому кроці (так званий «ідентифікатор жертви») та доведена можливість відновлення втрачених файлів за умови отримання правильного коду від зловмисників. Проте навіть тут зловмисники припустились помилок, внаслідок яких відновлення даних істотно ускладнене, а оскільки сам вірус Petya не містить модуля для відновлення даних, то для цього необхідна іще одна, інша програма.

Див. також: NTFS та Головний завантажувальний запис

Після завершення першого кроку (шифрування файлів), якщо вірус має достатньо системних прав та за певних інших умов, він переходить до другого кроку (знищення файлової системи).

Другим кроком вірус:

• змінює головний завантажувальний запис (MBR) кодами свого запуску,
• обчислює «ідентифікатор жертви» (англ. Victim ID) із застосуванням випадкових чисел,
• обчислює ключі шифрування із використанням криптографічно стійкого генератора псевдовипадкових чисел, зберігає його у MBR,
• встановлює випадковий таймер (не менше 10, але не більше 60 хвилин) на перезавантаження комп'ютера, та
• знищує всі записи в системних журналах.

При завантаженні комп'ютера, завдяки змінам в головному завантажувальному записі (MBR) замість операційної системи буде завантажено шкідливий код вірусу, який малює на екрані підробку під інтерфейс програми перевірки цілісності жорсткого диску Chkdsk. Основна шкідлива дія на цьому кроці полягає в шифруванні таблиці файлів (англ. Master File Table, MFT) файлової системи NTFS алгоритмом шифрування Salsa20. При цьому, ключ шифрування після завершення процесу безповоротно стирається, а жертві пропонується відправити зловмисникам для отримання ключа дешифрування «ідентифікатор жертви» (англ. Victim ID), який жодним чином не пов'язаний з тим ключем.

Така поведінка відрізняється від поведінки оригінального хробака Petya/Mischa. Оригінальний вірус Petya зберігав ключ шифрування Salsa20 й тим самим зберігав можливість для відновлення даних. Хоча, через помилку в реалізації відновити дані виявилось можливим навіть без сплати викупу (поки ця помилка не була виправлена у третій версії та вірусі Goldeneye).

Слід зазначити, що шкідлива дія вірусу цим не обмежена: через ваду в реалізації вірус здатен повторно вражати одну й ту саму систему. Тоді зашифровані на першому кроці файли будуть зашифровані вдруге, а необхідний для їхнього дешифрування ключ буде затертий новим, чим унеможливить їхнє відновлення.

Використання вірусом одного-єдиного відкритого ключа RSA означає, що розкривши за викуп бодай один код для відновлення даних жертви (фактично — приватний ключ в парі RSA), зловмисники водночас відкрили б можливість усім іншим відновити втрачені дані (за допомогою цього ключа). Це, разом з іншими ознаками, може свідчити, що здирництво не було основним мотивом атаки, а навпаки, під здирництво була замаскована масштабна кібератака на інформаційні системи українських підприємств (від найбільших до найменших) та органів державної влади.

Захист

Компанія Symantec стверджує, що для своєї роботи вірус створює файл «C:\Windows\perfc», а якщо він вже існує, то вірус припиняє роботу. Тому якщо користувач сам створить цей файл і зробить його доступним тільки для читання, то це, імовірно, захистить його від вірусу.

Створити порожні та захищені від запису файли

• C:\Windows\perfc
• C:\Windows\perfc.dat
• C:\Program Data\perfc
• C:\Program Data\perfc.dat

Це захистить від шифрування файлів на комп'ютері, але не захистить від його використання для поширення вірусу.

Аби завадити зараженню та поширенню вірусу, слід, перш за все, виконувати звичайні поради з комп'ютерної безпеки, зокрема: не відкривати вкладені файли від незнайомих осіб або підозрілих листів від знайомих (захист від фішингу), встановити останні оновлення для операційної системи (зокрема, латку MS17-010) та антивірусних програм. Для захисту мережі від поширення вірусу слід також вимкнути підтримку застарілого протоколу SMBv1, вимкнути або обмежити використання систем PowerShell, WMIC та мережевих тек (Windows Share). Також в мережевих екранах слід заблокувати трафік на порти 139 та 445. Виконання цих порад, однак, може порушити звичну роботу інформаційної системи та вимагатиме додаткових зусиль від адміністраторів.

Для ефективного захисту не лише від цього конкретного вірусу-хробака, а подібних інцидентів взагалі, слід ретельно впровадити політики комп'ютерної-інформаційної безпеки, наприклад, Defence-in-Depth.

Пов'язаність із терактом

Менш ніж за три години до початку хакерської атаки, 27 червня, о 8:15 ранку в Солом'янському районі стався вибух автомобіля, за кермом якого був командир загону спеціального призначення Головного управління розвідки — полковник Максим Шаповал. Від потужного вибуху він загинув на місці.

Приблизно о 10:30 почалася хвиля завантажень оновлення програми M.E.Doc, яке несло в собі код вірусної програми. За декілька годин вірус вразив низку державних мереж.

Імовірно, ці дві пов'язані між собою події й складали подвійну російську атаку присвячену Дню Конституції України. Цю теорію висунув Секретар РНБО України Олександр Турчинов.

Поширення вірусу та атаки за межами України

За даними Нацполіції, понад 1,5 тисяч юридичних і фізичних осіб звернулися до них із заявами про блокування роботи комп'ютерів, які стали жертвами найбільшої хакерської атаки, що розповсюджувала вірус Petya.A. За даними компанії ESET, яка розробляє програмне забезпечення для боротьби зі шкідливими комп'ютерними програмами, на Україну припало найбільше атак вірусу Petya — 75,24 % від усіх атак. Проте атаки не обмежилися Україною.

Також Petya.A атакував Німеччину (9,06 % атак), Польщу (5,81 %), Сербію (2,87 %), Грецію (1,39 %), Румунію (1,02 %), а також менш одного відсотка від всіх атак вірусу припало на Росію й Чехію.

У Російській Федерації майже одночасно з Україною перестали працювати комп'ютери Роснафти, Башнафти, що призвело до зупинки видобутку нафти на декількох ділянках^{[джерело?]}.

Проте, великі російські підприємства виявились напрочуд захищеними проти поширення хробака, але начебто недостатньо захищеними від зараження ним (при тому, що вони навряд чи користуються програмою для складання української податкової звітності).

Слідом за Україною та Росією атаки почали здійснюватися на мережі в Іспанії, Індії, Ірландії, Великій Британії та інших країнах і містах ЄС і США. За даними Mcafee, в США було зафіксовано більше інфікованих комп'ютерів, ніж в Україні, проте, статистика антивірусу ESET стверджує, що найбільше зафіксованих інфікувань відбулись саме в Україні.

За даними Німецького федерального агенства з безпеки інформаційних технологій (нім. Bundesamt für Sicherheit in der Informationstechnik, BSI) від атаки хробаком Petya постраждало одне німецьке підприємство, виробництво на якому зупинилось більше, ніж на тиждень. Зупинка виробництва потягнула за собою «мільйонні» збитки.

Розслідування

За добу після початку атаки до Департаменту кіберполіції України надійшло понад 1000 повідомлень про втручання в роботу комп'ютерних мереж, що призвело до збоїв у їх роботі. З них офіційно із заявами до поліції звернулось 43 компанії. Станом на 28 червня було розпочато 23 кримінальні провадження за фактами несанкціонованого втручання в електронно-обчислювальні системи як державних, так і приватних установ, організацій, підприємств (стаття 361 Кримінального кодексу). Ще по 47 фактах вирішувалося питання щодо внесення відомостей до Єдиного реєстру досудових розслідувань.

Станом на 29 червня 2017 року до Національної поліції України звернулось 1508 юридичних та фізичних осіб із повідомленнями, щодо блокування роботи комп'ютерної техніки за допомогою вірусу-шифрувальника. Із них — 178 звернулися до поліції із офіційними заявами. Зокрема, 152 організації приватного сектора та 26 звернень від державного сектора країни. 115 таких фактів було зареєстровано в журналі Єдиного обліку про вчинені кримінальні порушення та інші події. Вирішується питання щодо їх правової кваліфікації. За 63 фактами відомості внесено до ЄРДР за статтею 361 КК України.

Крім того, до розслідування були залучені фахівці Департаменту контррозвідувального захисту інтересів держави у галузі інформаційної безпеки Служби безпеки України. Була організована взаємодія з партнерськими правоохоронними органами, спеціальними службами іноземних країн та міжнародними організаціями, що спеціалізуються на кібернетичній безпеці. Спеціалісти СБУ у взаємодії з фахівцями ФБР США, Національною агенцією по боротьбі зі злочинністю (NCA) Великої Британії, Європолу, а також провідних кібербезпекових установ, проводили спільні заходи з локалізації розповсюдження шкідливого програмного забезпечення PetyaA, остаточного з'ясування методів реалізації цієї акції кібертероризму, встановлення джерел атаки, її виконавців, організаторів і замовників. Для локалізації масштабної кіберзагрози, Національною поліцією України та Службою безпеки України було створено оперативно-технічний штаб, до якого увійшли представники українських та іноземних компаній з кібербезпеки.

Начальник Департаменту кіберполіції Національної поліції України полковник Сергій Демедюк в інтерв'ю журналістам Associated Press заявив, що розробникам M.E.Doc «багато разів говорили про вразливості сервера оновлень програми творці антивірусів. Така недбалість може послужити причиною початку кримінального розслідування».

Зовнішні відеофайли
	Обшуки та вилучення техніки в офісі розробника M.E.Doc

4 липня 2017 року з метою припинення розповсюдження хробака Petya (зафіксовано нові спроби) було прийнято рішення про проведення обшуків і вилучення програмного та апаратного забезпечення компанії, за допомогою якого розповсюджувалось шкідливе програмне забезпечення. Обшуки проведено представниками Департаменту кіберполіції, слідчими та за участю Служби безпеки України. Вилучено робочі комп'ютери персоналу та серверне обладнання, через яке поширювалося програмне забезпечення.

Атрибуція атаки

Попри те, що вірус справляє враження звичайного зразка здирницького програмного забезпечення, створеного заради збагачення зловмисників, низка дослідників висловила припущення, що, насправді, цей міф служить прикриттям масштабної кібератаки з боку однієї держави проти іншої. Таким чином, основним призначенням вірусу було не здирництво, а знищення важливих даних та порушення нормальної роботи державних і приватних установ. Але легенда про чергову атаку кіберзлочинців дозволила нападникам створити бажане їм висвітлення у засобах масової інформації, коли досягнувши мети (порушення нормальної роботи великої кількості установ) можна приховати справжній мотив. Зокрема, про це свідчать такі ознаки:

• Попри досить високий рівень реалізації шкідливої програми було обрано вкрай уразливий спосіб спілкування з жертвами. Поштову скриню, абсолютно очікувано та передбачувано, було заблоковано через кілька годин після початку атаки.
• Досвід WannaCry показав фінансову непривабливість масштабних та не вибіркових атак подібного роду.
• Програма шифрувала та зберігала перший сектор на жорсткому диску, але потім безповоротно знищувала наступні 24 сектори, чим робила повне відновлення даних неможливим. За певних умов програма знищувала всі 10 перших секторів на диску, без спроб зберегти їх для подальшого відновлення. Задокументовані випадки, коли програма безповоротно знищувала критично важливу для працездатності операційної системи інформацію і тому може йтися про «замітання слідів».
• Відсутні докази того, що програма здатна відновити зашифровані файли з кодом викупу. Навпаки, є підстави вважати, що зловмисники не здатні надати код для дешифрування даних.
• Зловмисники не мали можливості контролювати поширення свого хробака, але обраний ними спосіб початкового зараження був націлений безпосередньо проти України. Були задокументовані випадки, коли зараження сталось вже через місяць після того, як зловмисники спромоглись отримати несанкційований доступ до інформаційних систем великих установ в Україні. Уражені хробаком іноземні фірми могли стати випадковими (наприклад, через свої представництва в Україні), але не основними, жертвами атаки.

Натомість, низка інших експертів висловили припущення, що очевидні вади в роботі вірусу та спосіб спілкування з жертвами можна пояснити недбалістю розробників та бажанням розпочати атаку якомога раніше, без належного тестування й перевірки всіх компонентів шкідливої програми.

30 червня секретар РНБО Олександр Турчинов заявив про можливість використання технологій Tor та VPN зловмисниками. В перших числах липня 2017 року Служба безпеки України встановила причетність спецслужб РФ до атаки із використанням вірусу Petya.

За офіційно не підтвердженими даними, іще в листопаді 2017 року ЦРУ США дійшло остаточного висновку, що за атаками із використанням NotPetya стоять відповідні підрозділи під управлінням ГРУ ГШ РФ. За даними Washington Post, яка оприлюднила цю інформацію, даний підрозділ має назву рос. Главный центр специальных технологий.

15 лютого 2018 року Національний центр кібернетичної безпеки Великої Британії (англ. National Cyber Security Centre, підрозділ GCHQ) оприлюднив результати свого розслідування та поклав відповідальність за атаку на уряд Російської Федерації. За даними Центру найімовірніше за атакою стоять російські військові підрозділи. Рішення про публічну атрибуцію атаки було ухвалене, аби показати нетерпимість Об'єднаного Королівства та союзників до проявів злочинної діяльності в кіберпросторі. Того ж дня до заяви приєдналась решта країн-членів союзу FVEY: Австралія, Канада, Нова Зеландія, та Сполучені Штати. Також відповідальність Кремля за цю атаку підтвердив уряд Данії.

Адміністрація Президента США Дональда Трампа заявила, що ця безвідповідальна хакерська атака невибіркового характеру не залишиться без наслідків з боку міжнародного товариства.

Реакція

Посадові особи

На думку радника МВС Антона Геращенка проти держави Україна була розпочата масована хакерська атака з використанням модифікованої під Україну версії вірусу WannaCry — «cryptolocker». На його думку така атака готувалася щонайменше місяць. Кінцевою метою атаки була дестабілізація ситуації в економіці України. Пізніше інформація про WannaCry була спростована.

Речниця СБУ Олена Гітлянська припустила, що атаки організовані з території Росії або з окупованих територій Донбасу.

Ліквідація наслідків

Голова Департаменту кіберполіції Сергій Демедюк заявив, що представники кіберполіції виїхали до підприємств, які заявили про атаки вірусу. Він також зазначив, що співпраця з ліквідації наслідків вірусних атак може йти на міжнародному рівні.

Власники мереж, які зазнали впливу цієї кібератаки, навіть відновивши комп'ютери після атаки, можуть стати потенційним об'єктом повторної атаки: існує висока ймовірність того, що зловмисникам відома інформація про мережі, паролі до облікових записів користувачів, адміністраторські паролі, приблизні схеми мереж, паролі до електронних поштових скриньок, ЕЦП тощо. Для зниження означених ризиків та попередження повторного ураження вірусом команда CERT-UA рекомендувала, зокрема, змінити паролі облікових записів в мережі та інші ідентифікаційні дані, які могли бути скомпрометовані. Доцільно змінити пул внутрішніх ІР-адрес та структуру мережі — схема мережі може бути відома зловмисникам, що полегшує реалізацію наступної атаки.

Акредитований центр сертифікації ключів органів юстиції України (АЦСК) разом з командою CERT-UA надали рекомендацію користувачам послуг електронного цифрового підпису (ЕЦП) замінити ключі ЕЦП для подання електронної звітності у зв'язку з можливою їх компрометацією. Для підвищення рівня захисту користувачів послуг ЕЦП та держави в цілому, АЦСК реалізовано придбання та використання захищених носіїв особистих ключів. Однією з переваг використання захищених носіїв особистих ключів є те, що особистий ключ не записується на жорсткий диск комп'ютера, а зберігається безпосередньо у апаратному середовищі захищеного носія. Це забезпечує захист особистого ключа від несанкціонованого доступу зловмисників.

Німецьке федеральне агенство з безпеки інформаційних технологій (нім. Bundesamt für Sicherheit in der Informationstechnik, BSI) наголосила, що жертвами атаки могли стати навіть ті користувачі програми M.E.Doc, які не зназнали деструктивної дії хробака Petya. Оскільки бекдор був встановлений в оновлення програми M.E.Doc щонайменше з 13 квітня 2017 року, то і початок атаки слід віднести на цю дату.

Внаслідок шкідливої дії засобами бекдору могли бути скомпрометовані архівні файли зроблені починаючи з цієї дати. Федеральне агенство припустило, що із допомогою бекдору зловмисники могли приховано встановити шпигунські програми для викрадення даних з комп'ютерних мереж підприємств. Шкода від них може бути не меншою, аніж від відверто деструктивної дії хробака.

З огляду на всі ці обставини BSI радить ізолювати комп'ютери, на яких встановлено M.E.Doc в окремі мережеві сегменти. Вважати всі комп'ютери, на яких встановлено M.E.Doc, та всі комп'ютери, досяжні з них комп'ютерною мережею, потенційно скомпрометованими. Тому слід змінити паролі, бажано — перевстановити операційні системи, обмежити права адміністративних записів, використовувати на різних комп'ютерах різні паролі адміністратора, тощо. Також федеральне агенство радило звернутись по допомогу до фахівців з комп'ютерної безпеки для підвищення захисту й зміцнення інформаційних систем від несанкційованого втручання.

Для запобігання атак та вдосконалення захисту створено «Ситуаційний центр забезпечення кібернетичної безпеки». За даними СБУ, необхідне обладнання та програмне забезпечення для центру надійшло від Трастового фонду з питань кібербезпеки Україна-НАТО.

Результати

Викуп

Завдяки тому, що всі транзакції Bitcoin є повністю публічними, статистику переказів власнику вірусу може подивитися будь-хто. Нью-йоркський журналіст і програміст Кейт Коллінз створив акаунт [ 29 червня 2017 у Wayback Machine.] у Твіттері, який автоматично оновлюється після кожної з операцій і показує поточний стан рахунку зловмисника.

Станом на 14:00 за Київським часом 28 червня зловмисник отримав більше 10 тис. $.

28 червня 2017 року Кабінет Міністрів України повідомив, що масштабна хакерська атака на корпоративні мережі та мережі органів влади була зупинена.

4 липня 2017 року, об 22:10 UTC з гаманця було знято майже 4 біткоіна вартістю близько $10 тисяч та переведено на інший гаманець. За кілька хвилин перед тим з гаманця були зроблені дрібні платежі в гаманці служб Pastebin та DeepPaste. Але за 11-12 хвилин до переведення коштів на сайтах DeepPaste та Pastebin від імені хакерів було розміщене звернення, в якому за 100 біткоїнів (близько $256 тисяч) хакери обіцяли передати приватний ключ для дешифрування файлів. Таку велику суму автори звернення пояснили тим, що цим ключем можна дешифрувати всі файли.

5 липня 2017 року журналістам видання Vice вдалось вийти на зв'язок із зловмисниками та передати їм на дешифрування один файл розміром не більше 1 мегабайту. Через дві години зловмисники передали журналістам розшифрований файл. Іншим доказом того, що зловмисники стоять за вірусом Petya є те, що звернення на Pastebin та DeepPaste були підписані приватним ключем з пари ключів вірусу Petya.

Втрати

Заступник голови адміністрації Президента України Дмитро Шимків, колишній директор представництва фірми Microsoft в Україні, заявив, що внаслідок атаки хробаком NotPetya було виведено з ладу близько 10 % персональних комп'ютерів в Україні (особистих, в державних та не державних установах і підприємствах).

Проте усунення наслідків атаки вірусом-винищувачем NotPetya забрало істотні зусилля та час. Так, наприклад, компанія Reckitt Benckiser заявила, що частина комп'ютерних систем відновить свою нормальну роботу лише у серпні.

За оцінками концерну Maersk втрати компанії, особливо її підрозділів Maersk Line, Damco та APM Terminals разом будуть на рівні $200–300 млн (€170-256 млн за тогочасним курсом). Технічний персонал був вимушений протягом 10 днів заново встановити і налаштувати все програмне забезпечення на 4000 серверах, 45 000 робочих станціях, заново встановити 2500 прикладних застосунків. Робітники були вимушені вручну опрацьовувати інформацію про виробничі процеси, при цьому зменшення обсягів перевезень склало 20 % від звичайного.

У вересні 2017 року американська логістична та поштова компанія FedEx оприлюднила оцінку збитків у своєму дочірньому підприємстві у Нідерландах TNT Express. Так, через порушення нормальних робочих процесів підприємство оцінює свої збитки на рівні до $300 млн за перше півріччя 2017 року.

У фінансовій звітності за третій квартал 2017 року американська фармацевтична компанія Merck заявила про недоотримання виручки на суму до $240 млн, в основному, через тимчасову зупинку виробництва вакцини проти вірусу папіломи людини Гардасил у червні того ж року внаслідок ураження інформаційних систем заводу вірусом NotPetya. Внаслідок браку вакцин на тлі високого попиту компанія була вимушена запозичити певну її кількість у Федерального центру контролю захворювань (англ. U.S. Centers for Disease Control, CDC).

На думку Майкла Шмітта (Michael Schmitt) та Джефрі Білера (Lieutenant Colonel Jeffrey Biller) невибірковий характер поширення вірусу та свідомий вибір цивільних об'єктів для початку атаки свідчать про те, що організатори атаки порушили міжнародне право звичаїв військового конфлікту, тобто, такий вчинок може вважатись воєнним злочином. Оскільки від атаки постраждали треті країни, що не беруть участь у військовому конфлікті між Україною та Росією, то атака іще й порушує міжнародні закони стосовно нейтральності країн.

Експерт із інформаційної безпеки та протидії кіберзагрозам Віталій Якушев оцінив збитки підприємств по всьому світу від хакерської атаки у 8 млрд доларів.

Список атакованих підприємств

Банки

• Ощадбанк
• Банк Південний
• ОТП Банк
• Кредобанк
• Укргазбанк
• Укрсоцбанк
• Промінвестбанк

Компанії

• Укрзалізниця
• Міжнародний аеропорт «Бориспіль»
• Міжнародний аеропорт «Київ»
• мережа магазинів «Епіцентр»
• мережа магазинів «Нова лінія»
• Укрпошта
• Нова пошта
• ДТЕК
• Укренерго
• Київенерго
• мережа заправок ТНК
• ПБГ «Ковальська»
• ТРК «Люкс»
• Київводоканал
• Rozetka
• мережа автозаправок WOG
• Укргазвидобування
• Київський метрополітен
• телеканал ATR
• телеканал ICTV
• телеканал СТБ
• Авангард
• супермаркет «Рост»
• UkrLandFarming
• Concert.ua
• Lifecell
• Vodafone Україна
• Київстар
• ДП «Документ»
• ДП «Антонов»
• ДП «Національне газетно-журнальне видавництво»

Іноземні компанії

• Maersk
• Сен-Гобен
• WPP
• Євраз
• Роснафта
• Башнафта
• FedEx Corporation
• Merck

Примітки

1. Andy Greenberg (22 серпня 2018). . Wired. Архів оригіналу за 22 серпня 2018. Процитовано 23 серпня 2018. 
2. Anton Cherepanov (4 Jul 2017). . Архів оригіналу за 5 липня 2017. Процитовано 5 липня 2017. 
3. David Maynor, Aleksandar Nikolic, Matt Olney, and Yves Younan (July 5, 2017). . Cisco Talos. Архів оригіналу за 6 липня 2017. Процитовано 6 липня 2017. 
4. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
5. . Архів оригіналу за 16 липня 2019. Процитовано 27 червня 2017. 
6. . Архів оригіналу за 29 червня 2017. Процитовано 27 червня 2017. 
7. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
8. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
9. Rbc.ua. . РБК-Украина (укр.). Архів оригіналу за 13 січня 2018. Процитовано 27 лютого 2018. 
10. . Архів оригіналу за 13 січня 2018. Процитовано 27 червня 2017. 
11. . Архів оригіналу за 30 червня 2017. Процитовано 27 червня 2017. 
12. . 30 червня 2017. Архів оригіналу за 22 липня 2017. Процитовано 23 липня 2017. 
13. . 29 червня 2017. Архів оригіналу за 21 липня 2017. Процитовано 23 липня 2017. 
14. . Архів оригіналу за 30 червня 2017. Процитовано 28 червня 2017. 
15. . The Hon Angus Taylor MP. Minister for Law Enforcement and Cybersecurity. 16 лютого 2018. Архів оригіналу за 16 лютого 2018. Процитовано 16 лютого 2018. 
16. . National Cyber Security Centre. 15 лютого 2018. Архів оригіналу за 15 лютого 2018. Процитовано 15 лютого 2018. 
17. Greta Bossenmaier (15 лютого 2018). . Communications Security Establishment. Архів оригіналу за 3 липня 2018. Процитовано 16 лютого 2018. 
18. . Government Communications Security Bureau. 16 лютого 2018. Архів оригіналу за 17 лютого 2018. Процитовано 16 лютого 2018. 
19. . The White House. 15 лютого 2018. Архів оригіналу за 16 лютого 2018. Процитовано 16 лютого 2018. 
20. . Berlingske Business. 15 лютого 2018. Архів оригіналу за 16 лютого 2018. Процитовано 16 лютого 2018. 
21. . СБУ. 01-07-2017. Архів оригіналу за 5 липня 2017. Процитовано 4 липня 2017. 
22. . Українська правда. 27 червня 2017. Архів оригіналу за 1 жовтня 2020. Процитовано 28.06.2016. 
23. Скільки заробив автор вірусу Petya.A і які країни найбільше постраждали від його дій?. Tokar.ua (uk-UA). 28 червня 2017. Процитовано 28 червня 2017. 
24. . Архів оригіналу за 28 червня 2017. Процитовано 27 червня 2017. 
25. . Архів оригіналу за 29 червня 2017. Процитовано 27 червня 2017. 
26. . Департамент кіберполіції Національної поліції України. 05.07.2017. Архів оригіналу за 5 липня 2017. Процитовано 5 липня 2017. 
27. Олег Дмитренко (28 Червня 2017). . Watcher. Архів оригіналу за 28 червня 2017. Процитовано 28 червня 2017. 
28. . CERT-UA. 05 липня 2017. Архів оригіналу за 6 липня 2017. Процитовано 7 липня 2017. 
29. . Microsoft Malware Protection Center blog. 27 червня 2017 року. Архів оригіналу за 28 червня 2017. Процитовано 28 червня 2017. 
30. Dave Lee. . BBC News. Архів оригіналу за 17 серпня 2019. Процитовано 28 червня 2017. 
31. . Департамент кіберполіції. 28 червня 2017 р. 16:00. Архів оригіналу за 22 грудня 2017. Процитовано 28 червня 2017. 
32. Помилка цитування: Неправильний виклик тегу <ref>: для виносок під назвою wls.30-2017 не вказано текст
33. Russell Brandom (July 3, 2017). . The Verge. Архів оригіналу за 3 липня 2017. Процитовано 5 липня 2017. 
34. Paul McEvatt (30 червня 2017). . Fujitsu Information Security. Архів оригіналу за 3 липня 2017. Процитовано 5 липня 2017. 
35. . Факти.ICTV. 4 липня 2017. Архів оригіналу за 4 липня 2017. Процитовано 4 липня 2017. 
36. Raphael Satter (4 липня 2017). . Associated Press. Архів оригіналу за 5 липня 2017. Процитовано 4 липня 2017. 
37. . Служба безпеки України. 1 червня 2017. Архів оригіналу за 17 червня 2017. Процитовано 5 липня 2017. 
38. . 5 канал. 1 червня 2017. Архів оригіналу за 13 липня 2017. Процитовано 5 липня 2017. 
39. Пост на офіційній сторінці 1С:Звіт у Фейсбук щодо наявності вірусу в бібліотеці ZvitPublishedObjects.dll. 
40. Павел Красномовец. Все, что известно про вирус-вымогатель XData: кто под угрозой и что делать [ 28 червня 2017 у Wayback Machine.] // ain, 24.05.2017. (рос.)
41. Олександр Мельник. 5 фактів про новий вірус, який атакує український корпоративний сектор — як запобігти [ 27 серпня 2018 у Wayback Machine.] // Na chasi, 20.05.2017.
42. Будьте пильні: вірусна атака на корпоративний сектор! [ 28 червня 2017 у Wayback Machine.] — M.E.Doc, 22.05.2017.
43. Максим Давыгора. Вирус-вымогатель XData. «Карантин» для M.E.Doc? [ 2 серпня 2017 у Wayback Machine.] // tucha, 25.05.2017. (рос.)
44. The Grugq (27 червня 2017). . Medium.com. Архів оригіналу за 28 червня 2017. Процитовано 28 червня 2017. 
45. Украина подверглась самой крупной в истории кибератаке вирусом Petya [ 28 червня 2017 у Wayback Machine.], habrahabr.ru, 27 червня 2017
46. Hern, Alex (28 червня 2017). . The Guardian (en-GB). ISSN 0261-3077. Архів оригіналу за 28 червня 2017. Процитовано 28 червня 2017. 
47. . CERT-EU. 27 червня 2017. Архів оригіналу за 3 лютого 2019. Процитовано 28 червня 2017. 
48. . Posteo. 27.Juni 2017. Архів оригіналу за 27 червня 2017. Процитовано 28 червня 2017. 
49. Andy Patel (29 червня 2017). . F-Secure. Архів оригіналу за 30 червня 2017. Процитовано 30 червня 2017. 
50. How EternalPetya Encrypts Files In User Mode. F-Secure. 4 липня 2017. 
51. . Malwarebytes Labs. 29 червня 2017. Архів оригіналу за 1 липня 2017. Процитовано 30 червня 2017. 
52. . Уніан. 28 червня 2017. Архів оригіналу за 28 червня 2017. Процитовано 29 червня 2017. 
53. Игорь Шаститко (29 червня 2017). . KO. Архів оригіналу за 1 липня 2017. Процитовано 30 червня 2017. 
54. . Архів оригіналу за 29 червня 2017. Процитовано 27 червня 2017. 
55. . ESPRESO.TV. Архів оригіналу за 27 червня 2017. Процитовано 28 червня 2017. 
56. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
57. . Архів оригіналу за 1 липня 2017. Процитовано 1 липня 2017. 
58. Мощная атака: в серверы «Роснефти» проник клон вируса WannaCry [ 27 червня 2017 у Wayback Machine.](рос.)
59. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
60. . Архів оригіналу за 21 жовтня 2018. Процитовано 27 червня 2017. 
61. . Архів оригіналу за 16 січня 2018. Процитовано 27 червня 2017. 
62. 'Petya' ransomware attack strikes companies across Europe and US. The Guardian. 27 червня 2017. оригіналу за 1 травня 2021. Процитовано 9 червня 2021.  (англ.)
63. Update: Cyber-Angriffswelle Petya – Bedrohung größer als bekannt. Bundesamt für Sicherheit in der Informationstechnik. 07.07.2017. 
64. . Департамент кіберполіції. 29 червня 2017. Архів оригіналу за 3 жовтня 2017. Процитовано 29 червня 2017. 
65. . Служба безпеки України. 29-06-2017. Архів оригіналу за 4 липня 2017. Процитовано 29 червня 2017. 
66. Russell Brandom (Jun 28, 2017). . The Verge. Архів оригіналу за 29 червня 2017. Процитовано 29 червня 2017. 
67. Andy Greenberg (28 червня 2017). . The Wired. Архів оригіналу за 29 червня 2017. Процитовано 29 червня 2017. 
68. Matt Suiche (28 червня 2017). . Comae technologeis. Архів оригіналу за 28 червня 2017. Процитовано 29 червня 2017. 
69. Anton Ivanov, Orkhan Mamedov (28 червня 2017). . Securelist. Архів оригіналу за 29 червня 2017. Процитовано 29 червня 2017. 
70. Martijn Grooten (Jun 29, 2017). . Virus Bulletin. Архів оригіналу за 19 грудня 2017. Процитовано 30 червня 2017. 
71. Andy Patel (30 червня 2017). . F-Secure. Архів оригіналу за 30 червня 2017. Процитовано 30 червня 2017. 
72. . Архів оригіналу за 29 червня 2017. Процитовано 30 червня 2017. 
73. . СБУ. 01-07-2017. Архів оригіналу за 5 липня 2017. Процитовано 4 липня 2017. 
74. Ellen Nakashima (12 січня 2018). . Washington Post. Архів оригіналу за 13 січня 2018. Процитовано 29 січня 2018. 
75. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
76. Пост на офіційній сторінці АЦСК органів юстиції щодо можливої компрометації ключів ЕЦП. 5 липня 2017. 
77. Пост на офіційній сторінці Департаменту кіберполіції у Фейсбук з рекомендаціями щодо зміни ключів ЕЦП. 5 липня 2017. 
78. . CERT-UA. 05 липня 2017. Архів оригіналу за 21 липня 2017. Процитовано 7 липня 2017. 
79. . Tokar.ua (uk-UA). 9 лютого 2018. Архів оригіналу за 22 лютого 2018. Процитовано 21 лютого 2018. 
80. Lorenzo Franceschi-Bicchierai (Jul 5 2017). Hackers Connected to NotPetya Ransomware Surface Online, Empty Bitcoin Wallet. Vice Motherboard. 
81. Joseph Cox, Lorenzo Franceschi-Bicchierai (Jul 5 2017). Hackers Linked to NotPetya Ransomware Decrypted a File for Us. Motherboard Vice. 
82. Дмитрий Шимкив: «От кибератаки вируса-шифровальщика Petya.A пострадало приблизительно 10% компьютеров в Украине». ITC.ua. 07.07.2017. 
83. Danny Palmer (24 липня 2017). . ZDnet. Архів оригіналу за 27 липня 2017. Процитовано 2 серпня 2017. 
84. Fabian A. Scherschel (16.08.2017 ). . Heise Online. Архів оригіналу за 22 вересня 2017. Процитовано 22 вересня 2017. 
85. Catalin Cimpanu (25 січня 2018). . Bleeping Computer. Архів оригіналу за 30 січня 2018. Процитовано 16 лютого 2018. 
86. Martin Holland (22.09.2017 ). . Heise Online. Архів оригіналу за 22 вересня 2017. Процитовано 22 вересня 2017. 
87. . The Security Ledger. 27 жовтня 2017. Архів оригіналу за 28 жовтня 2017. Процитовано 1 листопада 2017. 
88. Michael Schmitt and Lieutenant Colonel Jeffrey Biller (11 липня 2017). . Blog of the European Journal of International Law. Архів оригіналу за 17 лютого 2018. Процитовано 16 лютого 2018. 
89. (укр.). Архів оригіналу за 10 квітня 2018. Процитовано 9 квітня 2018. 
90. . Архів оригіналу за 25 лютого 2022. Процитовано 27 червня 2017. 
91. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
92. . Архів оригіналу за 27 червня 2017. Процитовано 27 червня 2017. 
93. Євген Букет. Вітання Петру О. від “Пєті А.” до Дня Конституції^{[недоступне посилання з червня 2019]}
94. . Архів оригіналу за 18 лютого 2022. Процитовано 27 червня 2017. 

Див. також

• Кібератака на енергетичні компанії України (грудень 2015 року) та Кібератака на Укренерго (грудень 2016 року)
• Російсько-українська кібервійна
• WannaCry
• mimikatz

Посилання

• . CERT-UA. 27/06/2017. Архів Petya оригіналу за 30 червня 2017. Процитовано 28 червня 2017. 
• . CERT-EU. 27 червня 2017. Архів оригіналу за 3 лютого 2019. Процитовано 28 червня 2017. 
• . CERT-UA. 05 липня 2017. Архів оригіналу за 6 липня 2017. Процитовано 7 липня 2017. 
• . СБУ. 29 червня 2017, 16:00. Архів оригіналу за 3 липня 2017. Процитовано 29 червня 2017. 
• Michael Schmitt та Lieutenant Colonel Jeffrey Biller (11 липня 2017). The NotPetya Cyber Operation as a Case Study of International Law. Blog of the European Journal of International Law. 
• Andy Greenberg (22 серпня 2018). . Wired. Архів оригіналу за 22 серпня 2018. Процитовано 23 серпня 2018.