стала компрометация апдейта украинской программы документооборота Medoc. Вместе с апдейтом и разошлось.

https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/

Microsoft now has evidence that a few active infections of the ransomware initially started from the legitimate MEDoc updater process.