Шифрувальники-вимагачі (ransomware): приклади та тенденції у 2024

Що таке програми-вимагачі?

October 04, 2023

Імовірно, найгіршим кошмаром буде виявити, що файли на вашому ПК зашифровані. Ви перевіряли свою поштову скриньку, клацали вкладені файли, щоб побачити, що вони містять. Дивний файл, який містив лише пропозицію ввімкнути макроси, не виглядав підозрілим. Але раптом, менш ніж через 15 хвилин після того, як ви відкрили цей документ, ви бачите, що всі файли на вашому ПК мають дивні формати, і принаймні один файл readme.txt міститься в кожній папці. Як це сталося?

Коротке визначення програми-вимагача (або шифрувальника-вимагача) приховано в її назві, як і в багатьох інших вірусів. «Програма, що шифрує та вимагає» — після проникнення на ваш комп’ютер, вона шифрує ваші файли, а потім просить вас заплатити викуп, аби отримати інструмент для їх розшифровки. Деякі приклади програм-вимагачів можуть загрожувати своїм жертвам видаленням ваших файлів або публікацією деяких конфіденційних даних, якщо ви не заплатите викуп. Хоча перша небезпека є 100% брехнею, друга теза може бути реальною, оскільки шифрувальники часто поширюються за допомогою шпигунських програм або крадіїв.

Різні приклади програм-вимагачів використовують різні методи шифрування. У більшості випадків використовуються алгоритми шифрування AES-256 і RSA-1024, але іноді використовується шифр RSA-2048. Кінцеве число в першу чергу означає ступінь двійки, яка відповідає кількості можливих ключів. Навіть у випадку AES-256 число можливих ключів складається з 78 цифр. Чи можна застосувати грубу силу? Можливо, якщо у вас є вільні 2 мільйони років. Або квантовий ПК з набагато кращою продуктивністю, ніж будь-який з існуючих. ~ Команда Gridinsoft

Для кожної жертви програми-вимагачі генерують унікальний онлайн-ключ. Цей ключ зберігається на сервері, яким керують кіберзлочинці. Якщо вірус не може підключитися до цього сервера, він шифрує файли за допомогою автономного ключа, який зберігається локально на зашифрованій машині. Кількість офлайн-ключів обмежена, або він взагалі єдиний для всіх випадків офлайн-шифрування. У такому випадку, ви маєте спільний ключ дешифрування з деякою кількістю інших жерт.

На жаль, немає 100% гарантії повернення ваших файлів. Якщо вам пощастить і програма-вимагач буде послуговуватися офлайн-ключ, ви зможете розшифрувати свої дані набагато швидше. Тим не менш, отримання навіть офлайн-ключів є досить довгим процесом, і вам доведеться чекати щонайменше кілька тижнів. Додаток, який має використовуватися для розшифровки файлів, отримає оновлення з ключем, який вам підходить, щойно аналітики його знайдуть.

Онлайн-ключі розгадати набагато важче. Оскільки кожен такий ключ унікальний, ви можете чекати місяцями. Розповсюджувачі програм-вимагачів, можливо, будуть спіймані та змушені розкрити всі ключі, які вони мають на серверах. Інший випадок, коли всі ключі можуть бути оприлюднені, це коли розробники програм-вимагачів вирішують припинити свою шкідливу діяльність. Така ситуація була лише раз – у 2018 році, коли розробники GandCrab заявили, що заробили 2 мільярди доларів, і призупинили свою діяльність, опублікувавши решту ключів, що не були викуплені.

Script-Based Malware

Learn more ->

Етапи атаки шифрувальника-вимагача

Компрометація. Його також іноді називають початковим введенням. У цей момент зловмисники проникають у пристрій (чи у мережу) і завантажують зловмисне програмне забезпечення. Зазвичай компрометація відбувається через порушення RDP, спам електронною поштою або використання неліцензійного програмного забезпечення.

Зараження. На цій стадії шахраї використовують початкову присутність у мережі, яку вони отримали, щоб розгорнути подальшу діяльність. Окрім шифрувальника, нерідко використовуються утиліти для зламу локальних паролів та шпигунське ПЗ. Вони рідко використовують пряме завантаження - його легко виявити та зупинити за допомогою рішень безпеки. Ось чому завантаження зловмисного програмного забезпечення зазвичай залежить від використання багів чи вразливостей Windows і прикладного програмного забезпечення. Однак він навіть може віддати перевагу прямому завантаженню, коли він вражає незахищену мережу або одного користувача.

Ескалація. Усі шкідливі програми працюють із правами адміністратора. Ця властивість дає змогу зменшити небезпеку та збитки від кібератаки за допомогою використання облікового запису з правами рядового користувача. Однак навіть у цьому випадку кіберзлочинці можуть знайти вихід. Більшість етапів ескалації в корпоративних мережах здійснюються через використання вразливостей, зокрема тих, що підвищують привілеї.

Сканування. Цей крок передбачає сканування інфікованих комп’ютерів для виявлення всіх файлів, які може зашифрувати шифрувальник-вимагач. Зазвичай вимагачі атакують найбільш розповсюджені формати даних – ті, що належать до файлів MS Office, зображень і музики. Однак деякі діють інакше та шифрують все, що досягають, попри файли, які можуть зашкодити функціональності програм.

Шифрування. Шифрування може тривати хвилини або години, залежно від кількості файлів на атакуваних машинах і якості програмного забезпечення, яке шифрує файли. Група LockBit, наприклад, відома тим, що має найшвидше шифрування - для обробки 100 ГБ даних потрібно лише 5 хвилин.

Повідомлення про викуп. Коли шифрування закінчено, зловмисне програмне забезпечення сповіщає жертву про атаку. Зазвичай він створює файл повідомлення про викуп на робочому столі та в кожній папці із зашифрованими файлами. За бажанням він також може змінити шпалери робочого столу на записку про викуп. У надзвичайних випадках (наприклад, програма-вимагач Petya) зловмисне програмне забезпечення заразить завантажувач операційної системи і покаже вам банер із повідомленням про викуп, як тільки ви натискаєте кнопку живлення, замість завантаження ОС.

Типи шифрувальників-вимагачів

Наразі існує кілька типів програм-вимагачів. Усі користувачі спільноти кібербезпеки звикли до програм-вимагачів, які називаються криптолокерами. Це саме той вірус, про який ви можете прочитати вище. Інший тип програм-вимагачів був активний набагато раніше, до 2014 року. Він називався locker ransomware, у нас більше відомий як вінлокер. Як можна зрозуміти з назви, цей вірус блокував вашу систему, вимагаючи викуп за розблокування робочого столу. Різниця між локером і програмою-вимагачем наступна:

Атаки програм-вимагачів

• Phobos Ransomware Mimics VX-Underground Researchers
• Conti Members Are Back in Action as Part of Akira Ransomware
• 8Base Ransomware Group On The Rise, Lists a Number of Victims
• WannaCry 3.0 Ransomware Aims At Enlisted Russian-speaking Players
• Microsoft Researchers Link Clop Gang to MOVEit Transfer Attack
• FIN7 Hack Group Resumed Activity, Linked to Clop Ransomware
• Clop and LockBit Ransomware Exploit Fresh Vulnerabilities in PaperCut
• Rorschach's New Ransomware Is Named the Fastest to Date

Список сімейств програм-вимагачів, актуальний на April, 2024:

• Avaddon показала коротке, але досить активне життя: її розробники вирішили припинити свою діяльність у травні 2021 року
• STOP Djvu є однією з найпоширеніших сімей програм-вимагачів. Вперше активність цього типу вірусу була виявлена у 2018 році, і досі його активність дуже висока. Це програмне забезпечення-вимагач, націлене переважно на простих користувачів, може бути чудовим прикладом «класичного» шифрувальника
• Conti. Це злочинне угруповання атакує організації, де збої в ІТ можуть мати небезпечні для життя наслідки: лікарні, служби екстреної медичної допомоги та правоохоронні органи.
• Matrix – старожил у секторі програм-вимагачів, який з’явилися в грудні 2016 року
• MedusaLocker з’явилися у вересні 2019 року та дуже швидко почала атакувати компанії з усього світу
• Snatch використовує трюк із безпечним режимом Windows і привілейованою службою для того, аби обійти антивірусне ПЗ на атакованому пристрої
• VoidCrypt використовує декілька функцій, більш типових для корпоративних вірусів, атакуючи при цьому окремих користувачів
• Xorist використовує крипто-конструктор, може змінити себе настільки, що її важко розпізнати навіть найбільш софістикованими антивірусами
• Dharma з’явилися приблизно у 2016 році, ці програми-вимагачі призначені для малого бізнесу. Майже 77% усіх випадків атаки вимагача Dharma пов’язані з використанням уразливостей RDP
• Egregor атакувала великі компанії з усього світу
• HiddenTear спочатку було створено з освітньою метою турецьким професором кібербезпеки. Цей шифрувальник є першим і єдиним прикладом відкритого програмного забезпечення серед вимагачів
• LockBit надзвичайно швидка програма-вимагач, яка постійно розвивається
• Magniber програма-вимагач, яка намагається використати відому вразливість PrintNightmare для компрометації жертв
• Makop постійно змінює алгоритм шифрування, роблячи використання декрипторів неможливим
• Ryuk – старожил, який, можливо, пов’язаний із північнокорейськими хакерами

Hunt Ransomware (bughunt@keemail.me)

Learn more ->

Чи можна сплатити викуп?

Більшість доходів, які отримують розробники програм-вимагачів, використовуються для фінансування різних незаконних дій, як-от тероризму, інших кампаній з розповсюдження зловмисного програмного забезпечення, торгівлі наркотиками тощо. Оскільки всі платежі викупу здійснюються в криптовалютах, неможливо розкрити особистість шахраїв. Однак адреси електронної пошти іноді можуть вказувати на місцезнаходження розповсюджувачів програм-вимагачів - Близький Схід, росія, Індія чи Китай.

Як ви вже могли зробити висновок, сплата викупу означає участь у злочинних діях. Звісно, вас ніхто не звинуватить у фінансуванні тероризму. Але немає нічого приємного в розумінні того, що гроші, які ти отримуєш за чесну роботу, йдуть на тероризм чи наркотики. Часто навіть великі корпорації, яких шантажують погрозами опублікувати деякі внутрішні дані, не платять цим шахраям ні копійки.

Як я можу захистити свій комп’ютер від програм-вимагачів?

Зазвичай програми захисту від зловмисного програмного забезпечення щодня оновлюють свої бази даних виявлення. GridinSoft Anti-Malware може пропонувати вам оновлення щогодини, що зменшує ймовірність того, що абсолютно новий зразок програми-вимагача проникне у вашу систему. Однак використання антишкідного програмного забезпечення не є панацеєю. Було б найкраще, якби ви були обережні в усіх небезпечних місцях. Це:

• Повідомлення електронної пошти. Більшість випадків програм-вимагачів, незалежно від сімейства, пов’язані зі спам-повідомленнями електронної пошти. Раніше люди довіряли всім повідомленням, надісланим електронною поштою, і не думали, що у вкладеному файлі може бути щось шкідливе. Тим часом кіберзламники використовують цю слабкість і наманюють людей, щоб увімкнути макроси у файлах Microsoft Office. Макроси – це спеціальна програма, яка дозволяє збільшити взаємодію з документом. Ви можете створити будь-що мовою програмування Visual Basic і додати це до документа як макрос. Шахраї, не роздумуючи, додають код, який завантажує на ваш ПК шифрувальника-вимагача.
• Сумнівні утиліти та ненадійні програми. Під час перегляду вебсторінок ви можете бачити різні поради. Онлайн-форуми, соціальні мережі та торент-трекери – ці місця відомі як джерела різноманітних спеціальних інструментів. І в такому ПЗ немає нічого поганого - іноді людям потрібні функції, які не потрібні для корпоративного використання. Такими інструментами є так звані кейгени для різних додатків, активатори ліцензійних ключів (одним з найвідоміших є KMS Activator), утиліти для налаштування елементів системи. Більшість механізмів захисту від зловмисного програмного забезпечення виявляють ці програми як шкідливі, щонайменше тому що використання таких утиліт є незаконним у більшості країн. Через це ви, ймовірно, вимкнете антивірус або додасте програму до білого списку. Водночас ця утиліта може бути як чистою, так і зараженою троянами чи програмами-вимагачами.

Хронологія найбільших атак шифрувальників-вимагачів:

• BGZQ Ransomware (.bgzq File Extension)
• BGJS Ransomware (.bgjs File Extension)
• KAAA Ransomware (.kaaa File Extension)
• UAZQ Ransomware (.uazq File Extension)
• UAJS Ransomware (.uajs File Extension)
• LOOY Ransomware (.looy File Extension)
• VOOK Ransomware (.vook File Extension)

Часті Питання