Destrukcyjny atak szkodliwego programu ExPetr / NotPetya / Petya, który miał miejsce 27 czerwca 2017 r., to jeden z najpoważniejszych cyberincydentów tego roku, a prawdziwa motywacja atakujących pozostaje niewyjaśniona. Podczas wstępnej analizy tego szkodliwego programu badacze z Kaspersky Lab zauważyli, że lista rozszerzeń plików, którą stosował ExPetr, jest bardzo podobna do listy wykorzystywanej przez narzędzie niszczące dane (tzw. wiper) o nazwie KillDisk
stosowane przez grupę cyberprzestępczą BlackEnergy w latach 2015-2016. Eksperci z Kaspersky Lab badają poczynania tej grupy od kilku lat i są bardzo dobrze zaznajomieni z jej metodami oraz atakami — głównie na sektor przemysłowy.
Badacze z Kaspersky Lab we współpracy ze specjalistami z Palo Alto Networks zidentyfikowali wzorce, które pozwoliły na poszukiwanie potencjalnych powiązań między narzędziami grupy BlackEnergy a szkodliwym programem ExPetr. Wyniki badania wskazują na podobieństwa w kodzie wykorzystywanym w tych dwóch rodzinach zagrożeń, jednak zdaniem ekspertów nie jest to jednoznaczne potwierdzenie tej teorii.
Podobnie jak w przypadku WannaCry i innych cyberzagrożeń, ustalenie autorstwa jest niezmiernie trudne, a poszukiwanie powiązań z wcześniejszymi szkodliwymi programami to spore wyzwanie. Dlatego zachęcamy społeczność bezpieczeństwa IT, by przyłączyła się do nas w celu potwierdzenia (lub obalenia) naszej teorii dotyczącej powiązania między grupą BlackEnergy a szkodnikiem ExPetr/NotPetya/Petya — powiedział Costin Raiu, dyrektor Globalnego Zespołu ds. Badań i Analiz (GReAT), Kaspersky Lab.