Одной из последних тенденций у вымогателей (ransomware) является использование протокола удаленного рабочего стола (RDP) для заражения компьютеров. Emsisoft предупреждает о появлении нового семейства этих вредоносных программ.
В начале мая был обнаружен Dubbed Apocalypse – новый вымогатель, нацеленный на небезопасно настроенные сервера под управлением Windows, использующие слабые пароли и имеющие запущенную службу удаленного рабочего стола. Благодаря протоколу удаленного рабочего стола вредоносная программа может пытаться проникнуть на компьютер, в то время как злоумышленники могут взаимодействовать со скомпрометированной системой как если бы имели физический доступ к ней.
Согласно ранние варианты вымогателя Apocalypse устанавливались в папку %appdata%\windowsupdate.exe, после чего создавали ключ запуска под названием windows update в разделах реестра HKEY_CURRENT_USER and HKEY_LOCAL_MACHINE. Также вредоносная программа добавляет расширение .encrypted к зашифрованным файлам, создает записку с требованиями для каждого зашифрованного файла и использует для связи следующие email адреса: dr.compress(at)us1.l.a / dr.compress(at)bk.ru / dr.jimbo(at)bk.ru / dr.decrypter(at)bk.ru.
Второй вариант этой вредоносной программы, обнаруженный в начале июня устанавливается в папку %ProgramFiles%\windowsupdate.exe, создает ключ запуска, называющийся windows update svc и использует в качестве адреса для связи decryptionservice@mail.ru. 22-го июня был обнаружен третий вариант этого вымогателя, который инсталлируется в папку %ProgramFiles%\firefox.exe и создает ключ запуска под названием firefox update checker. Этот вариант вымогателя добавляет расширение .SecureCrypted к зашифрованным файлам и для связи использует адрес recoveryhelp@bk.ru.
Перед тем, как заразить систему, вымогатель проверяет, является ли русский, украинский или беларуский языком системы по умолчанию. Если это так, то вымогатель завершает свой процесс. Если же нет, то он копирует себя в систему по пути %ProgramFiles%\firefox.exe, затем для этого исполняемого файла устанавливает атрибуты скрытый и системный. Также изменяется метка времени для этого файла, для этого используется explorer.exe. Затем создается ключ запуска так, чтобы файл вымогателя стартовал при каждом запуске системы.
После установки вымогатель запускает свой файл firefox.exe, который отвечает за две задачи на зараженном компьютере. Он периодически проверяет, запущены ли в системе определенные процессы Windows и завершает их, если запущены. В это же время он начинает процедуру шифрования. Исследователи говорят, что вымогатель получает список всех съемных или удаленных сетевых дисков, но не шифрует последние из-за ошибки в процедуре шифрования.
После того, как шифровальщик получил список дисков, он переходит к этапу сканирования всех папок и шифрует все файлы в них. Исключением являются файлы из папки Windows и те, которые содержат следующие строки в названиях файлов: .exe, .dll, .sys, .msi, .com, .lnk, .tmp, .ini, .SecureCrypted, .bin, .bat, .dat, .Contact_Here_To_Recover_Your_Files.txt.
Перед тем, как зашифровать файл, вымогатель проверяет, не был ли он уже зашифрован. Затем файл шифруется, при этом используется специальный, основанный на XOR алгоритм. Далее шифровальщик добавляет .SecureCrypted к имени файла.
Apocalypse восстанавливает зашифрованному файлу исходную временную метку, после чего создает записку с требованием выкупа для файла. Кроме того, открывается окно с аналогичными требованиями, которое отображается пользователю. Исследователи также обнаружили, что авторы шифровальщика спрятали оскорбительное для Emsisoft послание в коде своего творения.
По мнению исследователей Emsisoft, современные способы защиты от вредоносных программ являются неэффективными против этой угрозы. В основном из-за того, что злоумышленники используют удаленный доступ, чтобы получить контроль над системой. Это значит, что они также способны отключить любые механизмы защиты, запущенные на зараженной системе. Однако, на данный момент доступен дешифратор для всех жертв Apocalypse, так что можно бесплатно получить свои файлы обратно.
«Наиболее важной линией обороны является правильная политика паролей, которая действует для всех учетных записей с удаленным доступом к системе. Это не распространяется на редко используемые учетные записи, созданные для тестирования. Еще лучше было бы отключить удаленный рабочий стол или Terminal Services Remote полностью, если они не требуются или, по крайней мере, использовать ограничения доступа по IP-адресам, чтобы разрешить доступ к этим службам только из доверенных сетей» - отмечает Emsisoft.
Meta (признана экстремистской и запрещена в России) представила новую модель генерации изображений Muse Image и сразу встроила её в Instagram. На бумаге — весёлый инструмент для креатива, а на практике публичные профили Instagram по умолчанию стали материалом для ИИ-ремиксов.
Если у пользователя открытый профиль, другой человек может упомянуть его аккаунт в запросе к Meta AI, и система сгенерирует изображение с использованием его внешности.
Meta подаёт это как удобную функцию для приглашений, совместных креативных идей и персонализированной графики. Но звучит всё равно подозрительно: достаточно тега, и ваш публичный контент уже работает топливом для генератора.
В справочном центре Instagram говорится, что другие пользователи могут создавать ИИ-контент на основе ваших публикаций, если аккаунт публичный и настройки оставлены по умолчанию. То есть отдельного согласия на каждый такой эксперимент не требуется.
Отключить это можно, не переводя профиль в закрытый режим, но вручную. Для этого нужно зайти в настройки Instagram и найти раздел Sharing and reuse. Там можно запретить использование публичных постов для ИИ-функций Meta. Нюанс неприятный: запрет сработает только на будущие генерации. Всё, что уже успели создать на основе вашего контента, останется.
Ещё один важный момент — уведомлений не будет. Meta прямо указывает, что пользователи не получат сообщение, если кто-то создаст ИИ-изображение с использованием их постов.
В итоге Instagram получил новую игрушку для генерации картинок, а пользователи — очередную настройку, которую нужно срочно проверить. Потому что в 2026 году публичный профиль — это уже не просто витрина фотографий, а потенциальная заготовка для чужих ИИ-фантазий.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
