Ett ransomware vid namn Wannacry spreds som en löpeld världen över i maj. Det ekonomiska motivet bakom den skadliga koden blev snabbt uppenbart, när användaren fick se en ruta som talade om att samtlig data hade krypterats. Detta följt av en uppmaning att skicka en betalning om 300 dollar, i form av kryptovalutan Bitcoin till en specificerad adress. En vecka efter utbrottet hade Wannacry dragit in ungefär 100 000 dollar i Bitcoin.

När en sedan tidigare känd ransomware vid namn "Petya" började spridas under förra veckan, via bland annat samma attackvektor "Eternalblue", togs det då för givet att skaparen ämnade uppnå samma ekonomiska vinning. Revisionen av Petya, som vissa säkerhetsexperter har kommit att kalla för "Notpetya", visade till en början ett liknande beteende som Wannacry. Detta i form av en ruta, ihop med en Bitcoin-adress att skicka Bitcoin till ett värde av 300 dollar till.

Skillnaderna mellan Notpetya och Wannacry blev dock tydliga direkt efter betalningen. Där uppmanas användaren att skicka ett mejl till en adress, bestående av ett ID till sitt Bitcoin-konto samt en genererad nyckel, som ihop med angriparens nyckel ska generera en dekrypterings-nyckel.

If we compare this randomly generated data and the final installation ID shown in the first screen, they are the same. In a normal setup, this string should contain encrypted information that will be used to restore the decryption key. For ExPetr, the ID shown in the ransom screen is just plain random data.

Några dagar efter attacken genomförde dock forskare på Kaspersky Lab en undersökning av koden. Där fann de att den genererade nyckeln som användaren uppmanas att skicka i själva verket är värdelös. Detta då datan som genereras i nyckeln ej är relaterad till angriparens privata nyckel, utan är helt slumpmässig.

2016 Petya modifies the disk in a way where it can actually revert its changes. Whereas, 2017 Petya does permanent and irreversible damages to the disk.

Utöver det blockerades även den mail-adress som angavs hos leverantören Posteo, med argumentet att de inte tolererar missbruk av deras plattform. Redan här såg det mörkt ut för en eventuell återställning av drabbade system. Därtill ska Notpetya ha varit väldigt destruktiv i behandlingen av infekterad datorers Master Boot Record (MBR), där den skrivit över de första 18 blocken helt och hållet.

Dessa faktorer tillsammans har framkallat frågan om huruvida Notpetya är ännu en ransomware, eller snarare ett destruktivt försök till att göra stora mängder data helt oanvändbar, utan ekonomisk vinning som baktanke. Misstankarna göds ännu mer av det faktum att Ukraina blev det hårdaste drabbade landet av attacken, med 80 procent av de drabbade systemen.

As important government systems have been targeted, then in case the operation is attributed to a state this could count as a violation of sovereignty. Consequently, this could be an internationally wrongful act, which might give the targeted states several options to respond with countermeasures.

NATO:s Cooperative Cyber Defence Centre of Excellence (CCD COE) i Estland, har därför kommit fram till slutsatsen att attacken måste ha sitt ursprung i en statlig aktör. Tomáš Minárik vid CCD COE, uttalar i ett pressmeddelande att attacken anses som ett hot mot utsatta staters suveränitet, och att militär respons kan vara att vänta.