Програми-вимагачі Архіви - Блог Грідінсофт

США більше не будуть співпрацювати з Росією щодо програм-вимагачів

Сполучені Штати призупиняють співпрацю з Росією щодо зловмисників-вимагачів на тлі жорстокої війни, яку російський уряд веде проти України, повідомив речник Держдепу в інтерв’ю зі Sputnik.

«Російський уряд веде жорстоку та невиправдану війну проти України, тому наш канал співпраці щодо протидії злочинним акторам-вимагачам є неактивним», – сказав речник.

У четвер Білий дім повідомив про рішення російський уряд, як повідомив заступник секретаря Ради безпеки Росії Олег Храмов в інтерв’ю “Російській газеті”.

Найвідоміші у світі банди злочинців, що оперують програмами-вимагачами

І поки ми згадали тему, було б цікаво поговорити і про кіберзлочинців саме такого роду. За останні роки кримінальна екосистема програм-вимагачів стала реальною загрозою для користувачів у всьому світі.

Але завжди цікаво, що за завісою. І ми знайшли досить цікаву інформацію про те, кого можна назвати” мафією” світу кіберзлочинців.

І їх по-справжньому можна назвати мафією через те, наскільки добре вони організовані і які суми грошей вимагають у своїх жертв.

Деякі з них вже багато років працюють, а деякі з них лише нещодавно здобули популярність. Цей особливий вид кіберзлочинів еволюціонував із деяких найпростіших речей до цілих Копрорацій Зла.

Тут буде названо лише кілька імен, але ми впевнені, що ви їх десь вже чули.

Тепер зловмисники здебільшого націлені на високопоставлений бізнес, державний сектор та операторів інфраструктури, крім фізичних осіб. За даними дослідників криптовалют Chainalysis, у 2020 році жертви програм-вимагачів заплатили загалом до 350 мільйонів доларів, показник, що виріс на 311%.

Це постійно вдосконалююча професійна індустрія з широкими мережами афіліятів, чия робота полягає в дослідженні жертви, проникненні та веденні переговорів, а в центрі всього — банда, яка розробляє та керує шкідливим програмним забезпеченням; але є паритет або вони працюють як програма-вимагач як послуга (RaaS), або атакують безпосередньо жертв.

Програми-вимагачі як послуга або RaaS означає, що оператори шкідливого програмного забезпечення замість того, щоб самостійно використовувати шкідливе програмне забезпечення, продають його іншим кіберзлочинцям для використання.

США більше не будуть співпрацювати з Росією щодо програм-вимагачів — BlackFog Global Ransomware Report – травень 2021 року

Минулого року постачальник безпеки BlackFog провів аналіз поширення зловмисного програмного забезпечення, яке використовується в атаках програм-вимагачів того ж року; аналіз показав десятку найбільших груп програм-вимагачів у 2021 році.

Незважаючи на те, що особи членів групи здебільшого невідомі, їх методи роботи та масштаби діяльності досить вражаючі.

Отже, аналіз показує наступне: у період з січня по травень 2021 року випадки загрози-вимагання у відсотку виявлених загроз належать REvil і Conti як найбільш поширених варіантів загроз у 2021 році.

Conti (також називається IOCP Ransomware)

Серед злочинних угруповань-вимагачів Conti займає одне з перших місць у списку. ФБР стверджує, що група здійснила понад 400 кібератак на організації по всьому світу. А їхні вимоги сягають 25 мільйонів доларів.

Хоча бути кращим з кращих не означає, що група гарантує повернення ваших файлів. Фахівці з кібербезпеки кажуть, що випадки, коли ця група відмовлялася повернути файли, навіть коли жертва заплатила викуп, не поодинокі.

Група має один з “найкращих портфоліо” жертв серед груп, які загрожують програмним забезпеченням-вимагачем, включаючи державні школи округу Бровард у Флориді з вимогою викупу в розмірі 40 мільйонів доларів, виконавча служба охорони здоров’я Ірландії , що спричинило великі затримки в прийомі пацієнтів.

Конті також напав на урядову установу в Шотландії та урядову раду в Новій Зеландії.

Конті відомий використанням техніки подвійного вимагання. Це означає, що вони не тільки шифрують дані, але й крадуть їх, щоб у майбутньому мати можливість погрожувати зливом даних тим, хто не бажає платити викуп жертвам.

Найбільший злив, зроблений Conti був з Advantech, виробника чіпів для пристроїв IoT. На підпільний веб-сайт Conti злив 3 ГБ даних.

Крім цього витоку, банда також опублікувала 20 файлів інформації з Шотландського агентства з охорони навколишнього середовища (SEPA), додавши, що це була лише невелика частина того, до чого насправді отримала доступ група.

REvil (також називається Содінокібі)

Згідно зі статтями Dark Reading, у період з січня 2021 року по липень 2021 року REvil був найпоширенішим варіантом програм-вимагачів, який здійснив 25% атак.

REvil — це приватна група програм-вимагачів як послуга (RaaS), яка відповідальна за кілька найгучніших атак програм-вимагачів у найбільших масштабах у світі.

Ця група демонструє не меншу “зажерливість”, ніж попередня. Згідно зі статтею Cyber Talk, група програм-вимагачів REvil атакувала щонайменше 360 організацій у США. Загалом банда також заробила понад 11 мільйонів доларів.

Серед жертв угруповання – енергетична компанія Invenergy, постачальник програмного забезпечення Kaseya, технологічний гігант Acer, постачальник м’яса JBS і постачальник Apple Quanta Computer Inc.

Група REvil також використовує техніку подвійного вимагання, щоб одночасно зашифрувати та вкрасти дані. Це дає зловмисникам додаткову силу, щоб все ж таки змусити жертв сплатити необхідний викуп. Дані тих, хто відмовиться платити, з’являться на сайті групи Happy Blog. Вже кілька компаній по всьому світу мають свої вкрадені дані загальнодоступними на цьому сайті.

DarkSide Ransomware Gang

Походячи зі Східної Європи, ця банда програм-вимагачів на самому початку свого існування заробила собі ім’я. Вперше вона з’явилася в серпні 2020 року.

DarkSide працює як програма-вимагач як послуга (RaaS) і вже атакувала кілька організацій у 15 країнах. Незвичайним і дивним у цій банді є те, що вона одного разу пожертвувала вкрадені 10 000 доларів на благодійність.

Члени банди намагаються позиціонувати себе як етичних хакерів, заявляючи, що вони не атакують конкретні організації, такі як охорона здоров’я, критична інфраструктура, уряди, школи тощо.

І ще дивно те, що група навіть підтримує сервіс«обслуговування клієнтів», яке має забезпечити належне відновлення систем жертв після сплати викупу.

Але рекламуючи себе як етичних хакерів, вони також використовують стратегію подвійного вимагання на випадок, якщо вони будуть мати справу з впертими жертвами.

Найвідомішим випадком є атака програм-вимагачів на компанію Colonial Pipeline, коли більше ніж на тиждень все східне узбережжя США було паралізоване. Наслідки цього нападу були настільки серйозними, що політики почали говорити про загрозу національній безпеці.
Крім того, група викрала у компанії понад 100 ГБ корпоративних даних.

Clop Ransomware Group

Ще одна не менш відома група, відповідальна за атаки на університети Маямі і Колорадо, охоронну фірму Qualys, іпотечну компанію Flagstar Bank і виробника літаків Bombardier.

Але на відміну від інших груп програм-вимагачів, згаданих вище, ця розгортає механізм потрійного вимагання. Окрім шифрування даних та їх крадіжки, вони також погрожують клієнтам уражених компаній, сповіщаючи їх про порушення безпеки даних, а потім закликають клієнтів компаній змусити компанію сплатити викуп, щоб уникнути витоку їхніх особистих даних.

Що сказати наприкінці?

Звісно, це не дуже хороший знак, що канал співпраці між США та Росією закритий. Це означає, що навіть невеликі зусилля російського уряду, щоб зупинити діяльність кіберзлочинців-вимагачів на власній території, напевно будуть зведені нанівець.

Згодом це може дати «зелене світло» тим, кого раніше придушував російський уряд, а це означає, що більш важкі атаки програм-вимагачів чекають на американські підприємства та організації.

Скільки заробляють кіберзлочинці?

Якщо ви коли-небудь замислювалися над тим, скільки заробляють ці хлопці-хакери, ви можете дізнатися це зараз. 27 лютого 2022 року обліковий запис в Twitter під назвою @ContiLeaks та багато інших подібних акаунтів почали публікувати досить соковиті подробиці про гроші та “працівників” злочинного світу.

«Я знаю тебе, ти знаєш мене, ми знаємо нас»

Злив даних в основному стосується Gold Blackburn і Gold Ulrick. В понад 160 000 повідомлень розкриваються переписки, якими обмінювалися майже 500 хакерів в період з січня 2020 року по березень 2022 року. Крім того, був витік вихідного коду та репозитарію інструментів; факти досить вагомі, які навіть привідкривають вуаль над раніше невідомими хакерськими угрупуваннями .

for now stern/deamon – try to hide himeself, changing nicknames, wants to make some voice calls 🙂 reshaev/cyberganster – in total panic. tramp – doing somethings unknown! We know everything about you Conti, go to panic, you can even trust your gf , we against you!
— conti leaks (@ContiLeaks) March 19, 2022

Серед інших витоків даних були також десятки досьє на багатьох кіберзлочинців з інформацією про громадянство, паспорт, номери банківських рахунків, номери телефонів, адреси, імена, фотографії. Фахівці з кібербезпеки поки не можуть визначити мотиви зливачів даних, але вони припускають, що деякі хакери не погоджуються з проросійськими заявами, які Gold Ulrick опублікував на своєму сайті злитих даних. Особа виконавця також не відома.

Що таке Gold Ulrick і Gold Blackburn?

Більшість витоків даних стосується двох різних, але з високим рівнем співпраці хакерських угрупувань. Свої ідентифікаційні назви вони отримали від дослідників Secureworks® Counter Threat Unit™ (CTU), які спостерігали за активністю, згаданою у витоку даних, і що пов’язана з хакерськими угрупуваннями Gold Blackburn і Gold Ulrick.

Gold Ulrick, фінансово вмотивована кіберзлочинна група, діє з середини 2018 року. Група використовувала програми-вимагачі Ryuk з серпня 2018 року до початку 2021 року та Conti з початку 2020 року. Вони націлені лише на організації.

Скільки заробляють кіберзлочинці? — Згадані в злитих повідомленнях акаунти та їх можливі зв’язки

Gold Blackburn, також фінансово мотивована кіберзлочинна група, діє з червня 2014 року. Зловмисне програмне забезпечення Trickbot, Buer Loader, Zloader, Anchor, BazarLoader належать цій групі.

Як зазначалося, це дуже різні хакерські угрупування, але вони демонструють не менший рівень співпраці. Дослідники CTU спостерігали, як оператори програм-вимагачів Conti і Ryuk використовували BazarLoader, TrickBot або інше шкідливе програмне забезпечення, випущене хакерським угрупуванням Gold Blackburn. Сервери командування та керування Cobalt Strike Beacon і PowerShell Empire (C2), які використовувалися в атаках, що проводили хакерські угрупування, спільно використовували TrickBot, і це може бути ознакою того, що одна організація підтримує інфраструктуру для обох хакерських угрупувань. Що чітко показує одну із численних ознак “близької дружби” серед них.

Але інші хакери також використовували це зловмисне програмне забезпечення, серед них LockBit, Maze та RansomExx (також відоме як 777).

Що було злито?

Як ми вже сказали, повідомлення, що було злито пролили світло на економіку злочинного світу, а також виявило деякі раніше невідомі факти.

Ознайомившись із матеріалом, який було злито, спеціалісти з кібербезпеки зробили кілька припущень щодо того, що саме було злито і що спеціалісти з відповідної галузі можуть взяти з цієї інформації.

У розкритих повідомленнях найбільше згадується персона під нікнеймом “Stern”. Цей обліковий запис, схоже, взаємодіє з широким колом співробітників злочинного світу, що робить його імовірним лідером. Згідно зі злитими повідомленнями, цей обліковий запис приймає ключові організаційні рішення, керує кризовими ситуаціями, спілкується з іншими хакерськими угрупуваннями і видає заробітну плату.

Персона “Stern” також контролює розповсюдження програм-вимагачів і роботу BazarLoader, TrickBot. З таким широким переліком обов’язків це показує, що цей обліковий запис є можливим лідером як в Gold Ulrick, так і в Gold Blackburn.

У повідомленнях також згадувалися представники інших хакерських груп, які активно спілкувалися з персоною “Stern”, а також іншими імовірними членами Gold Ulrick і Gold Blackburn. Серед них: Gold Swarthmore (IcedID),Gold Mystic (LockBit), Gold Crestwood (Emotet). Але дослідники попереджають, що незважаючи на зв’язок “Stern” із багатьма згаданими групами, вони не можуть висловлювати припущення, що ця особа керує всіма угруповуваннями.

Один із висновків, які дослідники могли зробити з витоків, полягає у тому, що вони, безумовно, показали зрілу добре організовану злочинну екосистему, в якій задіяно багато груп загроз. Вони не просто працюють поодинці, а допомагають один одному; можна навіть сказати, що це якась Корпорація Зла, що виросла в підземному світі.

My comments are coming from the bottom of my heart which is breaking over my dear Ukraine and my people. Looking of what is happening to it breaks my heart and sometimes my heart wants to scream.
— conti leaks (@ContiLeaks) March 1, 2022

Одне з повідомлень, яке винятково зацікавило дослідників, чисто з практичної точки зору, – це зарплата кіберзлочинців. Так, звичайно, Корпорація Зла пропонує вам оплачувану відпустку, лікарняний та багато бонусів. З одного злитого повідомлення ми дізнаємося, що в середньому люди там заробляють приблизно 1800 доларів США на місяць.

Така заробітна плата перевищує середню російську зарплату, яка становить приблизно 540 доларів США на місяць. Станом на 1 липня 2021 року на вказану біткойн-адресу внизу повідомлення надійшло 2,31 біткойна (що на той момент становило приблизно 80 000 доларів США).

Статистика програм-вимагачів

Якщо вас здивував той факт, що насправді існує навіть ціла така собі Корпорація Зла, то прочитайте наступну статистику щодо програм-вимагачів, підготовлену дослідниками з Purplesec, щоб зрозуміти фактичний масштаб цього конкретного виду кіберзлочинів:

Фахівці з кібербезпеки підрахували, що кожні 14 секунд хтось з бізнесу стає жертвою програм-вимагачів;

У 2019 році внаслідок збільшення кількості атак програм-вимагачів на 41% 205 000 компаній втратили доступ до своїх файлів;

У 2019 році фахівці з кібербезпеки виявили 68 000 нових троянських програм-вимагачів для мобільних пристроїв;

У 2019 році кількість нових варіантів програм-вимагачів зросла на 46%;

Соціальні кібер атаки, такі як фішинг, становлять 21% випадків зараження програмами-вимагачами;

У 2019 році кількість фішингових електронних листів із програмним забезпеченням-вимагачем зросла на 109% порівняно з 2017 роком;

Останніми роками, 350% у 2018 році, програми-вимагачі стали найпопулярнішою формою кібер атаки;

У 2021 році оператори програм-вимагачів висунули найбільшу відому вимогу про викуп у розмірі 100 мільйонів доларів;

У першому півріччі 2021 року (на 64% більше, ніж у минулому році) було зареєстровано 121 інцидент із програмним забезпеченням-вимагачем;

У 2021 році (зріс на 82% у порівнянні з минулим роком) середній викуп склав майже 570 000 доларів.

Читаючи всю цю статистику, можна уявити, що існує більше ніж одна Корпорація Зла та суми, які просто злітають до неба.

Хто найшвидший серед програм-вимагачів?

Нещодавно дослідниками зі Splunk було опубліковано дослідження щодо того яка з програм-вимагачів є найшвидшою. Вони спробували перевірити, який зразок програм-вимагачів виконає найшвидше за часом шифрування файлів.

Чому це важливо знати, скільки часу потрібно програмі-вимагачеві для шифрування системи?

Результати цього дослідження співпали з аналогічним дослідженням, а саме таким собі “маркетинговим” PR-трюком від банди хакерів LockBit, де вони також порівнювали різні сімейства програм-вимагачів щодо того, хто є найшвидшим. Їхнє власне програмне забезпечення-вимагач виявилося найшвидшим.

Дослідники зі Splunk стверджують, що результати цього дослідження допоможуть спеціалістам з кібербезпеки приймати більш точні рішення щодо загрози-вимагача. І взагалі дуже цікаво знати, чи можна зупинити повне шифрування після зараження і що важливіше, скільки часу ми маємо на такий випадок.

Дослідження проводилося в спеціальному контрольованому середовищі з моделюванням події реального зараження. Дослідники вибрали десять варіантів з десяти різних сімейств шкідливих програм. Загальна кількість файлів для тестування становить 53 ГБ. Усі 98 561 файли мали різні розширення, такі як pdf, XLS, doc.

Кожен зразок програм-вимагачів було запущено на чотирьох хостах і склало 400 різних запусків програм-вимагачів. Тобто, 10 сімей х 10 зразків на сімейство х 4 профілі. Для збору необхідних даних дослідники використовували комбінацію Microsoft Sysmon, stoQ, Zeek разом зі статистикою Windows Perfmon і власним журналом Windows.

«У нашій початковій гіпотезі ми стверджували, що якщо програмне забезпечення-вимагач вже виконується в системі, то для організації надто пізно хоч якось зреагувати, щоб це було ефективно. Ми провелиогляд літератури щодо цього питання і виявили лише роботу, яка була енциклопедичною за обсягом від одної з хакерських груп», – йдеться у статті, написаній у блозі команди.

Як проводилося дослідження щодо найшвидшого програмного забезпечення-вимагача?

Тож команда створила чотири різні машини-жертви, які мали операційні системи Windows Server 2019 і Windows 10. Слід зазначити, що кожна з них мала свої дві різні характеристики продуктивності, що імітували середовище клієнтів.

Усі зразки, які були взяті для тестування, дослідники отримали від ідентифікаторів виявлення Microsoft Defender на VirusTotal.

Хто найшвидший серед програм-вимагачів? — Тестовані зразки програм-вимагачів

Щоб фіксувати необхідні події шифрування, дослідники включили аудит на рівні об’єктів у 100 каталогах, де їх файли були перевірені. Це, у свою чергу, надало команді журнали EventCode 4663, які вони використовували для обчислення загального часу до шифрування (TTE) для кожного зразка відповідно.

Під час тестування зразків дослідники отримали доступ до значення Accesses DELETE в кінці кожного зашифрованого файлу з кожного зразка. І саме так вони вимірювали швидкість шифрування. Однак дослідники попереджають, що не з кожним програмним забезпеченням-вимагачем ви отримуєте це, а пошук EventCode=4663 Accesses=DELETE у Splunk не завжди дає однакові результати.

Результати дослідження

Результати дослідження виявилися такими, як «рекламувала» банда LockBit на своєму сайті Tor. Сімейство програм-вимагачів цих злочинних розробників зашифрувало тестові файли за чотири хвилини і дев’ять секунд. Бабук посів друге місце з відставанням на одну хвилину.

Але важливо розуміти, що розміщення програм-вимагачів було зроблено відповідно до середньої тривалості, оскільки результати деяких сімей можуть зіпсувати середню тривалість. Щоб пояснити, дослідники назвали один зразок програмного забезпечення Babuk, на шифрування файлів якому знадобилося більше трьох з половиною годин.

Дослідження також доступне з більш детальною інформацією за посиланням. Команда пообіцяла опублікувати більше.

І нарешті постає питання. Що фахівці з кібербезпеки можуть взяти з дослідження?
По-перше, це оригінальна гіпотеза команди, яка в основному привела до цього дослідження. Чи настільки швидкими бувають програми-вимагачі, щоб не можливо було їх зупинити при раптовому потраплянні в систему? Як виявилося, швидше за все, у вас справді є той самий мізерний шанс.

Поради щодо того, як уникнути зараження програмою-вимагачем

Але всі знають напевно, що завжди краще попередити проблему, ніж боротися з нею. Ще раз нагадую вам загальні поради, щоб уникнути зараження програмою-вимагачем:

Використовуйте послуги VPN у загальнодоступних мережах Wi-Fi. Якщо ви використовуєте загальнодоступні мережі Wi-Fi, завжди намагайтеся використовувати безпечне VPN-з’єднання. Особливо використовуйте його, коли виконуєте деякі конфіденційні транзакції, такі як деякі банківські платежі;

Використовуйте лише надійні джерела завантаження. Я думаю, що сьогодні цей пункт має видаватися більш ніж очевидним. Використовуйте лише ті сайти, які мають знаки безпеки та конфіденційності. Подивіться на адресний рядок браузера. Там ви повинні побачити “https” замість “http”. Символ блокування або щит також вказує на безпеку ресурсу. Особливу обережність слід приділяти, коли ви завантажуєте будь-що на свій телефон. Використовуйте Google Play Store або Apple App Store коли вам потрібно що-небудь завантажити на телефон;

Регулярно перевіряйте свої програми та операційні системи на наявність нових оновлень. Коли у вас остання версія програми або операційної системи, кіберзлочинцям важче виконувати експлойти на них. Перевірка нових оновлень не займає багато часу, але, безумовно, усуває багато майбутніх проблем;

Ніколи не використовуйте невідомі USB-накопичувачі. Ця порада для дуже або занадто допитливих людей. Коли ви думаєте, що нічого поганого не може статися, якщо я один раз подивлюся, то це саме те, де і ховається підступ. Справа в тому, що ви не знаєте, що зберігається на цій, здавалося б, втраченій USB-флешці, і краще не знати взагалі. Стара приказка говорить: «Чим менше знаєш, тим краще спиш».

І останні, але занадто очевидні, тому ми просто назвемо їх. Не переходьте за підозрілими посиланнями, не розголошуйте свою особисту інформацію там, де це може бути небезпечно, не відкривайте підозрілі вкладення електронної пошти.

Це лише поради, але зі здоровим глуздом вони несуть сенс безпеки. Будьте пильні.

Вітайте на сцені LokiLocker!

Дослідники з BlackBerry повідомляють про нове виявлене сімейство програм-вимагачів. LokiLocker RaaS нещодавно з’явився на сцені, і, як кажуть експерти з кібербезпеки, він не даремно носить ім’я скандинавського бога. У розгорнутій статті дослідники детально розглянули код LokiLocker, пояснили, як працює програма-вимагач, а також додали короткий абзац з порадами про те, як користувачі можуть уникнути зловмисного програмного забезпечення.

То хто такий Локі?

Якщо говорити про скандинавську міфологію, то з усіх богів, Локі, бог-трикстер, може бути найцікавішим. Згідно з Brittanica, це божество могло змінювати форму та стать, маючи на меті лише хаос. У скандинавській міфології Локі зображується таким, що завжди має якусь хитрість задуману. Те ж саме можна сказати і про сімейство одноіменних програм-вимагачів.

Вітайте LokiLocker на сцені! — Скандинавський бог-трікстер Локі

Вперше дослідники виявили зловмисне програмне забезпечення в середині серпня 2021 року. Команда попереджає користувачів, не плутати це сімейство програм-вимагачів з LokiBot (викрадачем інформації) і зі старшим сімейством програм-вимагачів Locky, яке було в основному відоме в 2016 році. Хоча дослідники додають, що LokiLocker має певну схожість з програмою-вимагачем LockBit (наприклад, ім’я файлу нотатки про викуп, значення реєстру), але все одно не можна точно сказати, що перший є прямим нащадком останнього.

Що там сховано у рукавах трюкарів-вимагачів?

Нове сімейство програм-вимагачів націлено на англомовних користувачів, які працюють на ОС Windows. Зловмисники написали зловмисне програмне забезпечення в .NET і захистили його за допомогою NETGuard (модифікованого ConfuserEX), додатково користуючись допомогою плагіна віртуалізації під назвою KoiVM. Колись плагін був ліцензованим комерційним захисником для додатків написаних в .NET, але в 2018 році його код став відкритим (в спільноті говорять, що його було злито), і тепер він доступний на GitHub. Koi, здається, є досить популярним застосуванням серед інструментів злому, але дослідники визнають, що вони не бачили, щоб багато шкідливого програмного забезпечення використовувало його.

У найперших спостережуваних зразках троянізовані інструменти для злому, такі як PayPal BruteChecker, FPSN Checker від Angeal (Cracked by MR_Liosion), використовувалися як розповсюджувачі програм-вимагачів. Для тих, хто не знає, брут-чекери — це інструменти, якими користуються хакери, коли їм потрібно “перевірити” викрадені облікові записи та отримати доступ до інших облікових записів. Такий прийом називається перебивання облікових даних. Дослідники припускають, що причиною того, що спочатку ці хакерські інструменти розповсюджували шкідливе програмне забезпечення, можливо полягає в тому, що хакери проводили своєрідне бета-тестування перед тим, як вийти на широкий ринок.

Тепер зловмисне програмне забезпечення працює як схема з обмеженим доступом, яка залучає досить невелику кількість ретельно перевірених афіліятів. Для кожного партнера призначається ім’я користувача та унікальний номер чату. Наразі команда Blackberry нарахувала близько 30 різних афіліятів LokiLocker.

LokiLocker працює в звичайний як для програм-вимагачів спосіб. Він шифрує файли жертви на локальних дисках і мережевих ресурсах, а потім просить жертву сплатити викуп. У разі отримання відмови від виплати вимаганих грошей зловмисне програмне забезпечення знищує зашифровані файли і переводить систему в повністю непридатний стан.

Зловмисники використовують стандартну комбінацію AES для шифрування файлів і RSA для захисту ключа. Спілкування відбувається за допомогою електронної пошти, де злочинці дають інструкції щодо сплати викупу. Якщо викуп не проходить, програма-вимагач видаляє всі несистемні файли та перезаписує MBR.

Хто стоїть за LokiLocker?

Здається, що LokiLocker не націлений на певну географію, але дослідники відзначають, що найбільша кількість жертв була зі Східної Європи та Азії. При аналізі коду з’ясувалося, що з усіх країн Іран був виключений з цілей. Але заковика в тому, що ця частина коду не працює.

Коли хакери створюють такий нецільовий список в коді, то це зазвичай країни, які вони особисто не хочуть включати, або ті, які лояльні до їхньої незаконної діяльності.

Дослідники вважають, що Іран міг потрапити в такий нефункціональний нецільовий список кодів в якості намагання хакерами приховати справжнє походження програми-вимагача. Але чим далі в ліс, тим більше дрів.

Дослідники нарахували щонайменше три унікальних імен користувачів, які використовувалися афіліятами LokiLocker, і це ті, які можна знайти на іранських хакерських каналах. Хоча можливість також говорить, що це, можливо, було зроблено лише для того, щоб перекласти провину на іранських хакерів, а не на реальних виконавців.

Проте може бути, що це справді іранські хакери, що стоять за програмним забезпеченням-вимагачем, оскільки деякі з інструментів для злому, які використовувалися для розповсюдження перших зразків , дослідники припускають, були розроблені іранською командою хакерів під назвою AccountCrack.

Не можна з певністю сказати, хто грає в карти чи китайські чи російські хакери, але також було помічено, що всі вбудовані рядки налагодження написані англійською мовою і в основному без мовних та орфографічних помилок. Дослідницька група каже, що це не звичайна норма для програм із згаданих країн.

Які будуть висновки?

Новоз’явленні програми вимагачі пройшли досить розгорнутий аналіз, і команда зробила певні висновки.

Перш за все, дослідники Blackberrie роблять припущення, що використання KoiVM як захисника віртуалізації для додатків .NET може стати тенденцією до створення шкідливих програм. Хоча це досить незвичайний метод для ускладнення аналізу.

По-друге, бути впевненим у походженні програми-вимагача не можна. Деякі деталі натякають на іранське авторство LokiLocker, але все ж у нас є нецільовий список з Іраном, хоча ця частина коду і не працює.

І по-третє, з новою кіберзагрозою на сцені, краще записати кілька порад від людей, які знають. Дослідники Blackberry люб’язно надали їх нам. Хоча в наші дні люди повинні знати ці поради, як-от «Коли холодно, потрібно тримати своє тіло в теплі». Очевидна річ, резервне копіювання і ще раз резервне копіювання. Створіть резервну копію вашої будь-якої важливої інформації. Більше того, тримайте пристрій відключеним (бажано) і в автономному режимі.

І не забувайте про загальні правила кібергігієни. Часто ми отримуємо проблеми зі здоров’ям від просто немитих рук перед обідом.

Немає безкоштовного інструменту для розшифровки файлів, зашифрованих LokiLocker. Якщо ваші файли було зашифровано програмним забезпеченням-вимагачем, повідомте про це місцеві органи поліції.

Не платіть викуп. Ви не тільки таким чином підтримуєте злочинну екосистему, і крім того немає гарантій, що ви отримаєте свої файли назад, або програмне забезпечення-вимагач не повернеться знову, оскільки ймовірно, що зловмисники встановили бекдор у вашому пристрої для легкого доступу в майбутньому.

Українські організації під атакою зловмисного програмного забезпечення

У своєму блозі компанія Майкрософт опублікувала відомі їй факти про зловмисне програмне забезпечення, яке нещодавно атакувало сайти кількох українських урядових та інших організацій. Команда вперше виявила його на серверах кількох організацій, що розташовані на території України 13 січня 2022 року. Вони повідомили про цей факт всі відповідні державні установи в США та інших країнах, а також жертв атаки. Команда поділилася всією наявною на даний момент інформацією про загрозу з іншими установами зі сфери кібербезпеки. На момент публікації посту спеціалісти виявили зловмисне програмне забезпечення в десятках уражених систем, усі розташовані в Україні.

В системах українських організацій було знайдено шкідливе програмне забезпечення

Хоча фахівці компанії поки не знають, яка кіберзлочинна група може стояти за цим. Вони продовжують спостерігати за ситуацією. Зловмисне програмне забезпечення атакувало деякі критично важливі державні органи виконавчої влади, служби реагування на надзвичайні ситуації та інші організації, розташовані в Україні. Серед постраждалих є ІТ-фірма, яка надає послуги управління державними та приватними сайтами. Команда побоюється, що кількість жертв може виявитися більшою.

«З огляду на масштаби спостережуваних інтрузій, MSTIC (Центр розвідки загроз Майкрософт) не може сказати напевно про наміри виявлених деструктивних дій, але вважає, що вони становлять підвищений ризик для будь-якого державного органу, некомерційної чи комерційної організації, які самі знаходяться в Україні чи мають там частину інфраструктури», йдеться в другій публікації з блогу Майкрософт по цій темі.

Вони пояснюють, що зловмисне програмне забезпечення могло заразити більше організацій. Але фахівці додають, що поки не спостерігають жодних ознак використання вразливостей у продуктах та сервісах компанії Майкрософт. Команда продовжує тісно співпрацювати з іншими фахівцями з кібербезпеки, щоб допомогти виявити та подолати наслідки атаки жертвам зловмисного програмного забезпечення. Сама корпорація ввімкнула захист від цього зловмисного програмного забезпечення в таких своїх продуктах як Microsoft 365 Defender Endpoint Detection (EDR) і в антивірусі (AV). Механізм безпеки працюватиме у різних інфраструктурах як в хмарних так і фізичних. Спостереження за ситуацією триває.

Технічні відомості про шкідливе програмне забезпечення

Крім того, команда надала технічного змісту факти щодо ситуації. Спеціалісти з кібербезпеки зможуть використати її для виявлення та застосування необхідного захисту від згадуваного шкідливого програмного забезпечення. Цікаво те, що воно маскується під програму-вимагач, але після активації робить комп’ютер абсолютно непридатним до роботи. Точніше, у удаваного програмного забезпечення-вимагача відсутній механізм відновлення. Зловмисне програмне забезпечення, яке відстежується за ідентифікацією DEV-0586, робить атакований пристрій непрацездатним виконанням ціленаправлених деструктивних дій. MSTIC (Центр розвідки загроз Майкрософт) використовує позначення DEV-#### для тимчасово невідомих за походженнням загроз. Як тільки джерело загрози знайдено, їй присвоюється інша відповідна назва.

Наразі Microsoft запровадила заходи захисту, які маркуюють загрозу як сімейство шкідливих програм WhisperGate (наприклад, DoS:Win32/WhisperGate.A!dha) для Microsoft Defender кінцевої точки та Microsoft Defender Antivirus. Вони працюватимуть як у хмарних середовищах, так і локально. Хоча аналіз цього шкідливого програмного забезпечення триває, Microsoft поділилася деякими вже відомими деталями у своїй другій публікації в блозі. Спочатку вони детально пояснили, чому команда вважає, що зловмисне програмне забезпечення не є загрозою типу програм-вимагачів. За словами фахівців, дане зловмисне програмне забезпечення має кілька невідповідностей як для програм-вимагачів.

Українські організації під атакою зловмисного програмного забезпечення — Жертви зловмисного ПЗ отримували такі записки про викуп

Зазвичай записки про викуп мають користувацькі ідентифікатори. Потім злочинці інструктуюють жертву надіслати його їм у процесі переговорів. Карти користувацьких ідентифікаторів забезпечують маршрут до ключа розшифровки даних конкретної жертви. У випадках з цим зловмисним програмним забезпеченням, що прикидається програмою-вимагачем його немає. Зазвичай кіберзлочинці створюють веб-сайти з форумами підтримки або навіть додають адресу електронної пошти, все для того, щоб жертвам було легше потім зв’язатися з ними. Але тут хакери додали лише ідентифікатор Tox ID, ідентифікатор, який використовується з протоколом обміну повідомленнями, зашифрованим Tox.

Зараз хакери здебільшого не пишуть у своїх записках про викуп суми грошей, які вони хочуть, або адреси гаманців криптовалюти. В цьому випадку однакова адреса гаманця спостерігалась у всіх інтрузіях шкідливої програми. Фахівці виявили його єдину активність 14 січня з перерахуванням невеликої суми. Коли програмне забезпечення-вимагач працює, воно залишає можливість для відновлення файлової системи. Ця шкідлива програма повністю перезаписує MBR (основні завантажувальні записи) без можливості їх відновлення. Зловмисники виконують завантаження одного і того самого пейлоаду. Звичайно для програм-вимагачів вони кастомізуються.

Як розвивається ситуація?

Шкідливе програмне забезпечення працює з території України, і фахівці кажуть, що воно схоже на активність Master Boot Records (MBR) Wiper. Якщо коротко, то робота шкідливого ПЗ складається з двох етапів. У першому він перезаписує основний завантажувальний запис, щоб опісля цього відобразити підроблену записку про викуп. У наступному він пошкоджує файли жертв до невідновного стану. Зловмисники запускають зловмисне програмне забезпечення через Impacket (загальнодоступний інструмент, який кіберзлочинці часто використовують для роботи з мережевими протоколами). Двоетапне зловмисне програмне забезпечення розташовується в різних робочих каталогах, серед них: C:\temp, C:\ProgramData, C:\ і C:\ PerfLogs. Часто зловмисне програмне забезпечення має назву stage1.exe. У цій частині своєї зловмисної роботи воно перезаписує головний завантажувальний запис (MBR) у системах жертв і відображає записку про викуп. Основний завантажувальний запис (MBR) є частиною будь-якого жорсткого диску, який допомагає завантажувати операційну систему в основну пам’ять комп’ютера або в оперативну пам’ять.

Зловмисне програмне забезпечення активується, коли заражений пристрій вимкнено. Під час виконання наступного етапу stage2.exe завантажує іншу частину шкідливого програмного забезпечення, збереженого на каналі Discord. Зловмисники захардкодували посилання для завантаження в програмі завантажувачі. Пошкоджувач перезаписує вміст файлів з фіксованою кількістю байтів 0xCC. Загальний розмір файлів тоді становить 1 МБ. Зробивши це, зловмисне програмне забезпечення перейменує кожен файл із випадковим на перший погляд чотирибайтним розширенням.

Наразі команда все ще працює над аналізом зловмисного програмного забезпечення, а оновлення щодо всієї ситуації будуть згодом. Наразі незрозуміло, який нинішній етап операційного циклу цих зловмисників і скільки жертв виявиться в Україні чи в інших географічних місцях. Як запобіжний захід захисту команда також дала рекомендації щодо того, які прийняти належні міри безпеки. Майкрософт відомі нинішні поточні геополітичні події в Україні, і компанія закликає всіх зацікавлених взяти до уваги відомі на даний момент факти.

Зловмисники отримали несанкціонований доступ до даних компанії Volvo Cars

У нещодавньо опублікованому прес-релізі компанія Volvo Cars, шведський транснаціональний виробник транспортних засобів класу люкс зі штаб-квартирою в Торсланді, Гетеборг, повідомила про незаконний доступ третьої сторони до сховища файлів. Одразу після виявлення випадку компанія повідомила відповідні органи та вжила негайних заходів для недопущення подальшого доступу до даних. З новиною про витік даних, акції Volvo Cars впали до 3,2% о 15:55 за Ґрінвічем. Станом на 29 жовтня цього року первинна публічна пропозиція компанії стала найбільшою у Європі.

Компанія Volvo Cars запевняє, що дані клієнтів в безпеці

Згідно зі статею у Вікіпедії, у березні цього року компанія оголосила про ребрендинг на виробника лише електричних автомобілів до 2030 року. У червні 2021 року шведський розробник і виробник акумуляторів Northvolt і Volvo Cars оголосили про свій намір створити спільне підприємство 50/50, яке буде складатися з центру розробок і досліджень (R&D) та гігафабрики акумуляторів. У грудні 2021 року було випущено заяву про те, що центр досліджень і розробок акумуляторів буде розташований у Гетеборзі, Швеція.

«Volvo Cars проводить власне розслідування та співпрацює зі сторонніми спеціалістами для розслідування інциденту несанкціонованого доступу до даних. Компанія не вважає, з наявною на даний момент інформацією, щоб була хоч якась потенційна загроза безпеці клієнтських персональних даних», – йдеться у прес-релізі компанії.

Розслідування показало, що в ході несанкціонованого доступу було одержано доступ лише до обмеженої кількості інформації з розробок і досліджень компанії. Виявлена під час розслідування інформація свідчить про те, що це може вплинути на діяльність компанії. Хоча немає жодних ознак того, щоб особисті дані клієнтів були під загрозою.

Відповідальність за атаку, очевидно, лежить на хакерському угрупуванні Snatch

Відповідальність за атаку, очевидно лежить на хакерському угрупуванні Snatch. На підтвердження несанкціонованого доступу хакери злили в мережу 35,9 МБ документів, які, як вони стверджують, були вкрадені з серверів Volvo. Зразки, які було опубліковано на сайті, містили серед інших мікропрограми та вихідний код різних внутрішніх програм Volvo. Всі вони в основному написані на Python. Хоча компанія через ЗМІ не підтвердила осіб, що стоять за інцидентом.

Зловмисники отримали несанкціонований доступ до даних компанії Volvo Cars — Дані компанії, що було злито в мережу

Зловмисні програми-вимагачі Snatch завантажуються на комп’ютери Windows при увімкненому безпечному режимі. Це дозволяє зловмисному програмному забезпеченню уникнути виявлення засобами захисту, які не працюють у такому режимі. Однак особи-виконавці заперечили свої зв’язки з Snatch і додали, що не вимагають викуп для розшифрування даних. Крім того, вони поділилися, що робота буде проводитися виключно щодо отриманих даних.

Фахівці зазначають, що хакери використовували інструменти протоколу прикладного рівня для бічного переміщення по мережі. Для попередження подібних випадків спеціалісти рекомендують організаціям використовувати надійні паролі, які не використовувалися в інших місцях, і частіше стежити за з’єднаннями протоколу прикладного рівня на предмет брутфорсних атак.