Появился новый вариант вымогателя GPCode

Появился новый вариант вымогателя GPCode

"Лаборатория Касперского" в лице своего антивирусного эксперта Николя Брюле сообщила о появлении новой модификации печально известного троянского шифровальщика GPCode. Представители этого семейства вредоносных программ используют исключительно надежные криптоалгоритмы, чтобы лишить пользователя доступа к содержимому мультимедийных файлов, документов и других объектов, после чего требуют заплатить за расшифровку данных.


Среди прочих вымогателей GPCode выделяется повышенной степенью опасности, так как выполняемые им действия потенциально могут привести к потере информации. Попав в систему и запустившись, образцы из этого семейства начинают поиск всех файлов с определенными расширениями, которые впоследствии зашифровываются при помощи чрезвычайно стойкого алгоритма RSA с длиной ключа в 1024 бит; взломать такую криптозащиту практически невозможно. Изображение рабочего стола при этом заменяется на картинку с текстом, в котором пользователю сообщают о закрытии доступа ко всем его данным и указывают, где искать инструкции по выплате "выкупа".

(изображение из первоисточника securelist.com)

В последний раз новый вариант GPCode появлялся в ноябре минувшего года. С тех пор злоумышленники изменили свои предпочтения в выборе платежных систем, перейдя на использование службы Ukash, а также увеличили вымогаемую сумму до 125 долларов США.

Возможности борьбы с этой инфекцией довольно ограничены. Подобрать ключ ко криптозащите, как уже было сказано, практически невозможно, поэтому дешифровать пораженные файлы нельзя. Г-н Брюле дает пользователям незамысловатый совет: при первом же появлении проиллюстрированного выше сообщения на рабочем столе немедленно нажать кнопку форсированной перезагрузки (Reset) или попросту обесточить компьютер. Шифрование - длительный процесс, поэтому, если быстро прервать работу вымогателя таким образом, то определенную часть данных можно будет сохранить в целости.

Что касается файлов, которые успеют подвергнуться обработке, то восстановить их можно будет только из резервных копий. Напомним, что для надежной защиты данных от повреждения нужно регулярно выполнять их архивирование; хранить бэкапы желательно на носителях, защищенных от перезаписи. Если объем информации слишком велик, подойдут и жесткие диски (например, внешние), но в таком случае их следует содержать отключенными от компьютера, подсоединяя лишь по мере необходимости.

Softpedia

Письмо автору

" />

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Golden dMSA: доступ к защищенным ресурсам AD через взлом контроллера домена

Специалисты Semperis обнаружили серьезный изъян проекта Managed Service Accounts (dMSA), который существенно упрощает взлом паролей к управляемым аккаунтам и позволяет получить постоянный доступ во всем их ресурсам в доменах Active Directory.

Функциональность dMSA была введена в Windows Server 2025 для зашиты от атак на протокол Kerberos. Разработанный экспертами способ внедрения бэкдора в обход аутентификации несложен в исполнении, однако для успешной атаки придется заполучить корневой ключ службы KDS.

Из-за этого создатели Golden dMSA оценили степень угрозы как умеренную: заветный ключ доступен только из-под учетной записи с высочайшими привилегиями — администратора корневого домена, админа предприятия либо SYSTEM.

С помощью этого мастер-ключа можно получить текущий пароль dMSA или gMSA (групповой управляемый аккаунт пользователя AD) без повторного обращения к контроллеру домена. Как оказалось, для регулярно и автоматически заменяемых паролей предусмотрено лишь 1024 комбинации, и они поддаются брутфорсу.

 

Таким образом, компрометация одного контроллера домена в рамках Golden dMSA может обернуться масштабным взломом управляемых аккаунтов AD-службы. Автор атаки также получает возможность горизонтально перемещаться между доменами целевой организации.

Примечательно, что представленный Semperis метод позволяет обойти Windows-защиту Credential Guard — механизм, предотвращающий кражу учеток, NTLM-хешей и тикетов Kerberos (идентификаторов TGT).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru