Petya
# Petya

Petya ist eine Gruppe von Erpressungstrojanern, die ohne Wissen des Benutzers alle Dateien auf dem Computer verschlüsseln. Das Opfer wird aufgefordert, Lösegeld für eine System- bzw. Datenwiederherstellung zu zahlen. Im Gegensatz zu anderen Verschlüsselungstrojanern verschlüsselt Petya das Inhaltsverzeichnis der Festplatten (die sogenannte Master File Table). Außerdem verschlüsselt Petya zusätzlich das erste Kilobyte vieler, aber nicht aller Dateien. Der Name Petya ist ein in slawischen Sprachen wie dem Russischen weit verbreiteter Kosename Петя, der der deutschsprachigen Variante Peter, Peterlein entspricht. Er wurde im Bond-Film GoldenEye für eine Satellitenwaffe benutzt.

Petya existiert inzwischen in vier verschiedenen Varianten. Die erste Variante ist durch einen roten Totenkopf gekennzeichnet. Da diese Version von Leostone mit Hilfe von genetischen Algorithmen geknackt wurde, veröffentlichten die Erpresser eine zweite Variante im Mai, die jedoch mit Hilfe von Grafikkarten auch geknackt werden konnte, vorausgesetzt, dass die Benutzerkontensteuerung von Windows durch den Benutzer bestätigt wurde. Die grüne Variante enthielt eine zweite Verschlüsselungssoftware namens Mischa, die allerdings nur zum Einsatz kam, wenn die User-Account-Kontrolle nicht vom Benutzer bestätigt wurde. In diesem Fall wurden die Dateien des Benutzers im User Space verschlüsselt, ohne dass der grüne Totenkopf zu sehen war. Auch das Betriebssystem blieb in diesem Fall bootfähig.

Daraufhin wurde im Juli eine weitere grüne Totenkopfvariante der Erpressersoftware veröffentlicht, die nicht mehr durch Brute-Force-Methoden zu entschlüsseln war. Im Dezember 2016 wurde eine weitere Variante unter dem Namen „Goldeneye“ veröffentlicht, die sich durch einen gelben Totenkopf auszeichnet und jetzt im Gegensatz zu früheren Varianten Dateien vollständig verschlüsselt, bevor das Inhaltsverzeichnis der Festplatte verschlüsselt wird. Im Gegensatz zu vorhergehenden Versionen wird die vollständige Dateiverschlüsselung vor dem Neustart des Rechners durchgeführt.

## Funktionsweise

Petya wird hauptsächlich mittels E-Mail übertragen und als Bewerbungsschreiben getarnt, dieses Vorgehen wird als Phishing bezeichnet. In der E-Mail befindet sich ein Dropbox-Link, der vortäuscht, dass es sich um eine Bewerbung handelt. In Wirklichkeit jedoch führt der Link zu einem als PDF-Datei getarnten Programm. Wird diese Datei heruntergeladen und ausgeführt, entpackt sich das Programm und überschreibt den Master Boot Record. Mit dem Fertigstellen des Überschreibungsvorganges wird ein Blue Screen angezeigt und das Betriebssystem stürzt ab.

Kurz darauf fährt das System wieder hoch und zeigt dem Opfer einen fingierten CHKDSK-Scan an. Tatsächlich aber wird mittels des Salsa20-Algorithmus die Master File Table verschlüsselt. Mit der verschlüsselten Hauptdatei des Inhaltsverzeichnisses der Festplatte kann das System nicht mehr lokalisieren, wo sich die Dateien auf der Festplatte befinden oder ob sie überhaupt noch existieren.

Sobald der gefälschte CHKDSK-Scan abgeschlossen wurde, öffnet der überschriebene Master Boot Record einen Sperrbildschirm, der Anweisungen zur Systemwiederherstellung enthält. In den Anweisungen wird das Opfer aufgefordert, mithilfe eines Tor-Browsers eine Internetseite im Darknet zu öffnen. Auf dieser Internetseite muss nun das Opfer Lösegeld in Form von Bitcoins zahlen, um wieder Zugriff auf die Daten zu bekommen.

## Entschlüsselung

Im April 2016 wurde die Entschlüsselung von Petya durch einen anonymen Computerspezialisten bekanntgegeben. Er entwickelte die Software hack petya, die ein Passwort für den Zugriff auf die verschlüsselten Dateien generiert.

Im Juni 2016 wurde die Entschlüsselung der ersten grünen Petya-Version durch die Firma Ingenieursozietät Dipl.- Ing. Rolf B. Drescher VDI & Partner veröffentlicht, worauf die Erpresser im Dezember massenhaft E-Mails mit der Schadsoftware in ihrer neuen Version im Namen der Ingenieursozietät versendeten, um sich an dem Unternehmen zu rächen.

Sowohl die letzte grüne Version des Petya, die im Juli veröffentlicht wurde, als auch die gelbe Totenkopfversion, die unter dem Namen „Goldeneye“ veröffentlicht wurde, sind nicht mehr entschlüsselbar. Paradoxerweise aber auch nicht von den Erpressern selbst, da der Verschlüsselungsalgorithmus der Erpresser weiterhin einen Programmfehler enthält, der eine zuverlässige Entschlüsselung verhindert.

## Cyber-Angriff im Juni 2017

Am 27. Juni 2017 setzte eine neue Version viele Rechner weltweit außer Funktion. Vor allem die Ukraine wurde durch gelöschte Festplatten getroffen. Kaspersky und andere Hersteller von Sicherheitssoftware bezeichnen die neue Malware (im Software-Update einer Buchhaltungssoftware) explizit als NotPetya, weil das Virus so wirkt, als wäre es ein normales Petya-Virus, jedoch die Daten nicht nur verschlüsselt, sondern auch löscht, was untypisch für ein Petya-Virus ist. Daher der Name aus dem Englischen „Nicht Petya“; es wurde auch Wiper genannt. An der Ruine des ukrainischen Kernkraftwerks Tschernobyl musste die Radioaktivität nach dem Ausfall von Windows-Computern manuell gemessen werden. Wichtige technische Systeme der Station funktionierten dort aber normal. Zudem waren über die ukrainische Buchhaltungssoftware „M.E.Doc“ auch deutsche Unternehmen wie Beiersdorf betroffen, die dänische Reederei Maersk, der russische Ölproduzent Rosneft, der amerikanische Pharmakonzern Merck Sharp & Dohme, der Lebensmittelproduzent Mondelez und viele weitere.

A. P. Moller-Maersk bezifferte die Kosten der Cyber-Attacke im Juni 2017 auf bis zu 300 Millionen US-Dollar. FedEx kommunizierte im September 2017 für ihre Tochter TNT Express einen durch die Attacke bedingten Verlust von ebenfalls 300 Millionen US-Dollar.

### Reaktionen

Das Europäische Polizeiamt teilte mit, dass es von den Mitgliedsstaaten der Europäischen Union (EU) über die Cyberattacken in Kenntnis gesetzt wurde und unverzüglich Maßnahmen ergriffen hätte. In den Vereinigten Staaten von Amerika ist das Department of Homeland Security mit dem Thema befasst und koordiniert die betroffenen nationalen und internationalen Partner.

BSI-Präsident Arne Schönbohm äußerte, die Cyberattacke im Juni 2017 sei weitgehend vermeidbar gewesen, da die Sicherheitslücke seit Monaten bekannt war und geschlossen werden konnte.

Die Regierungen der Vereinigten Staaten, des Vereinigten Königreichs und Australiens schreiben „NotPetya“ nach Stellungnahmen von 2018 der Russischen Föderation zu. Die Software sei von Russland eingesetzt worden, um die Ukraine zu destabilisieren.

Im Juli 2020 verhängte die EU diesbezüglich Sanktionen in Form von Einreiseverboten und Kontensperrungen gegen Mitglieder des russischen Geheimdienstes GRU sowie gegen zwei mutmaßliche Mitglieder der chinesischen Hackergruppe APT10.

Im Oktober 2020 benannte das amerikanische Justizministerium in einer Anklageschrift einzelne GRU-Offiziere, die den Not-Petya-Angriffen zugeordnet werden konnten. Gleichzeitig machte das Vereinigte Königreich die Sandworm-Gruppe des GRU auch verantwortlich für den Angriff auf Organisatoren und Offizielle der Olympischen Sommerspiele 2020.

