Новый вымогатель ShrinkLocker использует BitLocker в атаках на Windows

Новый вымогатель ShrinkLocker использует BitLocker в атаках на Windows

Новый вымогатель ShrinkLocker использует BitLocker в атаках на Windows

Специалисты команды Kaspersky GERT зафиксировали кибератаки на корпоративные устройства, в которых фигурирует новая программа-вымогатель. Этот вредонос отличается использованием легитимной функциональности Windows — BitLocker.

Заметим, что это не первый зловред, применяющий BitLocker для шифрования. Например, в 2022 году мы рассказывали о кибератаках группировки DEV-0270 (Nemesis Kitten), в которых также использовалась BitLocker.

Новый шифровальщик, о котором рассказала «Лаборатория Касперского, получил имя ShrinkLocker. Его операторы атакуют преимущественно промышленные и фармацевтические предприятия. Иногда целью становятся и государственные учреждения.

Киберпреступники написали под свои задачи скрипт на VBScript, который обычно используется для автоматизации задач на Windows-компьютерах. Код проверяет версию установленной Windows и, опираясь на нее, активирует BitLocker. По словам исследователей, ShrinkLocker может атаковать как старые, так и актуальные версии ОС.

Сначала вредоносный скрипт меняет параметры загрузки системы, а затем — шифрует разделы жесткого диска с помощью BitLocker. Чтобы зараженное устройство могло загрузиться, вредонос создает новый загрузочный раздел.

Кроме того, операторы вымогателя удаляют защитные инструменты, которые должны обеспечивать безопасность ключа шифрования BitLocker, чтобы пользователь не смог впоследствии его восстановить.

На подконтрольный злоумышленникам сервер отправляется информация о системе и ключ шифрования, сгенерированный на скомпрометированном устройстве. Далее удаляются логи и файлы, которые могут вывести специалистов на операторов ShrinkLocker.

Последним этапом программа-вымогатель принудительно блокирует вход в ОС, а пользователь видит сообщение следующего содержания:

Небезопасную критическую инфраструктуру в России передадут государству

Владельцы критической инфраструктуры, провалившие её защиту, рискуют временно лишиться управления своими активами. Президент Владимир Путин подписал указ о мерах безопасности объектов КИ, позволяющий правительству назначать для них временного управляющего.

Основанием может стать неэффективная защита от атак беспилотников, а также отказ или опоздание с восстановлением работы объекта после инцидента.

Если критически важное предприятие не подготовилось к угрозе или слишком долго приходит в себя, государство сможет перехватить руль.

Мера распространяется на объекты ТЭК, промышленности, связи, транспорта, логистики, коммунальной и энергетической инфраструктуры, включая атомную, а также системы жизнеобеспечения и другие объекты, важные для безопасности страны и населения.

Под временное управление разрешено передавать всё имущество владельца или только его часть. Речь идёт о недвижимости, движимом имуществе, ценных бумагах, долях в компаниях и имущественных правах.

Механизм может применяться как к российским физическим и юридическим лицам, так и к иностранным гражданам и организациям.

Управляющим по умолчанию станет Росимущество. Однако по поручению президента правительство сможет выбрать и другое лицо. Расходы на управление покроют за счёт доходов от использования переданных активов.

Указ подписан на фоне роста угроз критической инфраструктуре в период СВО.

RSS: Новости на портале Anti-Malware.ru