Одной из последних тенденций у вымогателей (ransomware) является использование протокола удаленного рабочего стола (RDP) для заражения компьютеров. Emsisoft предупреждает о появлении нового семейства этих вредоносных программ.
В начале мая был обнаружен Dubbed Apocalypse – новый вымогатель, нацеленный на небезопасно настроенные сервера под управлением Windows, использующие слабые пароли и имеющие запущенную службу удаленного рабочего стола. Благодаря протоколу удаленного рабочего стола вредоносная программа может пытаться проникнуть на компьютер, в то время как злоумышленники могут взаимодействовать со скомпрометированной системой как если бы имели физический доступ к ней.
Согласно ранние варианты вымогателя Apocalypse устанавливались в папку %appdata%\windowsupdate.exe, после чего создавали ключ запуска под названием windows update в разделах реестра HKEY_CURRENT_USER and HKEY_LOCAL_MACHINE. Также вредоносная программа добавляет расширение .encrypted к зашифрованным файлам, создает записку с требованиями для каждого зашифрованного файла и использует для связи следующие email адреса: dr.compress(at)us1.l.a / dr.compress(at)bk.ru / dr.jimbo(at)bk.ru / dr.decrypter(at)bk.ru.
Второй вариант этой вредоносной программы, обнаруженный в начале июня устанавливается в папку %ProgramFiles%\windowsupdate.exe, создает ключ запуска, называющийся windows update svc и использует в качестве адреса для связи decryptionservice@mail.ru. 22-го июня был обнаружен третий вариант этого вымогателя, который инсталлируется в папку %ProgramFiles%\firefox.exe и создает ключ запуска под названием firefox update checker. Этот вариант вымогателя добавляет расширение .SecureCrypted к зашифрованным файлам и для связи использует адрес recoveryhelp@bk.ru.
Перед тем, как заразить систему, вымогатель проверяет, является ли русский, украинский или беларуский языком системы по умолчанию. Если это так, то вымогатель завершает свой процесс. Если же нет, то он копирует себя в систему по пути %ProgramFiles%\firefox.exe, затем для этого исполняемого файла устанавливает атрибуты скрытый и системный. Также изменяется метка времени для этого файла, для этого используется explorer.exe. Затем создается ключ запуска так, чтобы файл вымогателя стартовал при каждом запуске системы.
После установки вымогатель запускает свой файл firefox.exe, который отвечает за две задачи на зараженном компьютере. Он периодически проверяет, запущены ли в системе определенные процессы Windows и завершает их, если запущены. В это же время он начинает процедуру шифрования. Исследователи говорят, что вымогатель получает список всех съемных или удаленных сетевых дисков, но не шифрует последние из-за ошибки в процедуре шифрования.
После того, как шифровальщик получил список дисков, он переходит к этапу сканирования всех папок и шифрует все файлы в них. Исключением являются файлы из папки Windows и те, которые содержат следующие строки в названиях файлов: .exe, .dll, .sys, .msi, .com, .lnk, .tmp, .ini, .SecureCrypted, .bin, .bat, .dat, .Contact_Here_To_Recover_Your_Files.txt.
Перед тем, как зашифровать файл, вымогатель проверяет, не был ли он уже зашифрован. Затем файл шифруется, при этом используется специальный, основанный на XOR алгоритм. Далее шифровальщик добавляет .SecureCrypted к имени файла.
Apocalypse восстанавливает зашифрованному файлу исходную временную метку, после чего создает записку с требованием выкупа для файла. Кроме того, открывается окно с аналогичными требованиями, которое отображается пользователю. Исследователи также обнаружили, что авторы шифровальщика спрятали оскорбительное для Emsisoft послание в коде своего творения.
По мнению исследователей Emsisoft, современные способы защиты от вредоносных программ являются неэффективными против этой угрозы. В основном из-за того, что злоумышленники используют удаленный доступ, чтобы получить контроль над системой. Это значит, что они также способны отключить любые механизмы защиты, запущенные на зараженной системе. Однако, на данный момент доступен дешифратор для всех жертв Apocalypse, так что можно бесплатно получить свои файлы обратно.
«Наиболее важной линией обороны является правильная политика паролей, которая действует для всех учетных записей с удаленным доступом к системе. Это не распространяется на редко используемые учетные записи, созданные для тестирования. Еще лучше было бы отключить удаленный рабочий стол или Terminal Services Remote полностью, если они не требуются или, по крайней мере, использовать ограничения доступа по IP-адресам, чтобы разрешить доступ к этим службам только из доверенных сетей» - отмечает Emsisoft.
В преддверии сезона налоговой отчетности активизировались телефонные мошенники. Теперь злоумышленники представляются инспекторами Федеральной налоговой службы и под этим предлогом пытаются получить доступ к банковским счетам граждан.
Как рассказал Виктор Иевлев, руководитель отдела информационной безопасности группы компаний «Гарда» (входит в ИКС Холдинг), сценарий выглядит максимально убедительно.
«Звонящий представляется сотрудником ФНС, уверенно называет персональные данные собеседника — адрес, номер телефона, почту, ФИО и другие сведения. Такая детализация создаёт ощущение, что действительно звонят из налоговой. После этого “инспектор” обвиняет человека в неподаче декларации и предлагает записаться на приём. Для подтверждения записи якобы приходит СМС с кодом — обычно это код для входа в Госуслуги. Жертву просят его продиктовать», — поясняет эксперт.
На самом деле мошенники таким образом получают доступ к учётным записям и финансовым данным.
По словам специалистов, подобные атаки становятся возможными из-за масштабных утечек персональных данных. Информацию злоумышленники собирают из разных источников: баз утекших онлайн-магазинов и банков, данных data-брокеров, даркнет-площадок, а также открытых профилей в соцсетях. Склеивая фрагменты, они создают подробный «портрет» жертвы — и потому кажутся убедительными.
Эксперты напоминают:
ФНС не звонит гражданам, чтобы записать на приём или уточнить декларацию. Сделать это можно только через официальный сайт или через Госуслуги.
Никогда не сообщайте коды из СМС — ни под каким предлогом.
Если есть хоть малейшие сомнения — прекратите разговор и проверьте номер. Обычно он оказывается зарегистрирован на сторонние организации.
Если код всё же был передан мошенникам — сразу свяжитесь с банком, заблокируйте доступ к счетам и смените пароли от всех связанных сервисов, особенно от Госуслуг и личного кабинета ФНС.
«Чем больше информации о себе человек публикует в сети, тем проще злоумышленникам выстроить доверительный контакт. Не стоит недооценивать их подготовку — многие звонки звучат так, будто с вами разговаривает настоящий чиновник», — предупреждает Виктор Иевлев.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
