Petya ist eine Ransomware-Familie, die den Master Boot Record einer Festplatte mit eigenem Bootcode überschreibt, anschließend die Master File Table verschlüsselt und dadurch das gesamte Betriebssystem bereits vor dem Systemstart unzugänglich macht.
Auf einen Blick
NotPetya ging ähnlich wie Petya vor und traf 2017 Unternehmen und kritische Infrastruktur.
Frühe Petya-Varianten verbreiteten sich über gefälschte Bewerbungsunterlagen mit einem infizierten Dropbox-Link, der an Personalabteilungen gesendet wurde.
Weil die Verschlüsselung der Master File Table erst nach dem erzwungenen Neustart und noch vor dem Start des Betriebssystems abläuft, kann Schutzsoftware auf Betriebssystemebene zu diesem Zeitpunkt nicht mehr eingreifen.
Was ist Petya?
Petya ist eine Ransomware-Familie, die den Master Boot Record einer Festplatte überschreibt und die Master File Table verschlüsselt, wodurch der Zugriff auf das gesamte Betriebssystem gesperrt ist. Weil die Verschlüsselung tiefer im System ansetzt als bei dateibasierter Ransomware, kann der Rechner den Systemstart nicht mehr abschließen, noch bevor eine Zahlungsaufforderung erscheint. Eine Petya-Variante wurde mit der zusätzlichen Ransomware-Komponente Mischa kombiniert, die eine klassische Dateiverschlüsselung durchführt, sofern Petya mangels Administratorrechten den Master Boot Record nicht überschreiben kann. Dadurch bleibt die Schadsoftware auch auf Systemen wirksam, auf denen die tiefere Systemebene nicht erreichbar ist.
Auf einem Arbeitsplatzrechner eines Versicherers verhindert der überschriebene Master Boot Record den regulären Systemstart bereits, bevor eine Zahlungsaufforderung überhaupt sichtbar wird. Ein regulärer Zugriff auf lokal gespeicherte Unterlagen oder Anwendungen über das Betriebssystem ist damit nicht mehr möglich. Für die Bearbeitung laufender Vorgänge bedeutet das einen vollständigen Stillstand des Arbeitsplatzes, unabhängig davon, ob einzelne Dateien darauf überhaupt verschlüsselt wurden. Weil Kundenanliegen und Vertragsunterlagen teils lokal zwischengespeichert werden, wirkt sich der Stillstand unmittelbar auf die Bearbeitungsgeschwindigkeit aus.
Wie funktioniert Petya?
Petya funktioniert, indem die Schadsoftware nach der Ausführung zunächst den Master Boot Record der Festplatte überschreibt und anschließend einen Systemneustart erzwingt. Beim folgenden Start zeigt der Rechner eine gefälschte Systemprüfung, hinter der sich die eigentliche Verschlüsselung der Master File Table verbirgt, während der Nutzer einen gewöhnlichen Wartungsvorgang vermutet.
Ohne eine intakte Master File Table kann das Betriebssystem den Speicherort seiner eigenen Dateien nicht mehr finden, wodurch der reguläre Systemstart bereits vor der Anmeldung scheitert. Erst danach erscheint auf dem gesperrten Bildschirm die Lösegeldforderung mit Zahlungsanweisung. Fehlen einem Petya-Prozess die notwendigen Administratorrechte, um den Master Boot Record zu überschreiben, springt bei manchen Varianten stattdessen die kombinierte Komponente Mischa ein und verschlüsselt einzelne Dateien direkt, ohne den Bootvorgang zu manipulieren. So bleibt die Schadsoftware auch dann wirksam, wenn ihr die für den ersten Angriffsweg nötigen Rechte fehlen. Ist der MBR bereits manipuliert und die Pre-Boot-Verschlüsselung gestartet, kann Schutzsoftware auf Betriebssystemebene zu diesem Zeitpunkt nicht mehr eingreifen. Ein reines Dateibackup repariert den Boot-Bereich nicht; je nach Fall sind Boot-Reparatur, Systemabbild oder Neuaufsetzen erforderlich.
Woran erkenne ich Petya?
| Signal | Woran erkennbar |
|---|---|
| Erzwungener Systemneustart kurz nach Ausführung der Datei | Rechner fährt ohne Nutzeraktion neu hoch |
| Gefälschte CHKDSK-Systemprüfung beim Neustart | angezeigter Festplattencheck läuft tatsächlich nicht, sondern verschleiert die Verschlüsselung |
| Betriebssystem startet nach dem Neustart nicht mehr | Bildschirm zeigt nur noch die Lösegeldforderung statt des gewohnten Anmeldebildschirms |
| Verbreitung über infizierte Bewerbungsunterlagen mit Dropbox-Link | E-Mail-Anhang oder Link führt zu einer ausführbaren Datei statt zu einem Dokument |
Schutz im Ernstfall
Vorbeugen
- Regelmäßige, getrennt aufbewahrte Systemabbilder zusätzlich zu Dateisicherungen
- Einschränkung von Administratorrechten auf Endgeräten für alltägliche Nutzerkonten
- Schulung zu verdächtigen Bewerbungs- oder Rechnungsanhängen mit ausführbaren Dateien
Was tun im Ernstfall
- Betroffenen Rechner vom Netzwerk trennen
- Bei Verdacht den Vorfall umgehend den IT-Sicherheitsverantwortlichen melden
- Je nach Fall Boot-Bereich reparieren, System aus einem Abbild wiederherstellen oder neu aufsetzen; eine reine Dateiwiederherstellung reicht nicht aus
Beispiele aus der Praxis
- Der NotPetya-Angriff im Juni 2017 traf weltweit Unternehmen wie den Logistikkonzern Maersk und den Pharmahersteller Merck; Maersk rechnete laut heise mit bis zu 300 Millionen US-Dollar Verlust.
- Frühe Petya-Varianten verbreiteten sich über manipulierte Bewerbungsunterlagen, die per E-Mail an Personalabteilungen gesendet wurden und einen infizierten Dropbox-Link enthielten.
- Eine kombinierte Variante von Petya und der Ransomware Mischa wurde eingesetzt, um Systeme zu verschlüsseln, auf denen Petya mangels Administratorrechten nicht den Master Boot Record überschreiben konnte.
- Auf einem Arbeitsplatzrechner eines Versicherers verhindert der von Petya überschriebene Master Boot Record den regulären Systemstart bereits, bevor überhaupt eine Zahlungsaufforderung erscheint.
Häufiger Irrtum
Mythos „Wenn ich die verschlüsselten Dateien aus dem Backup zurückspiele, läuft der Rechner wieder.“
Richtig Weil Petya den Master Boot Record und die Master File Table angreift, startet das Betriebssystem selbst nicht mehr; eine reine Dateiwiederherstellung reicht nicht aus; je nach Fall sind ein Systemabbild, eine Boot-Reparatur oder ein Neuaufsetzen nötig.
