Вымогатель Apocalypse использует протокол удалённого рабочего стола RDP

Вымогатель Apocalypse использует протокол удалённого рабочего стола RDP

Вымогатель Apocalypse использует протокол удалённого рабочего стола RDP

Одной из последних тенденций у вымогателей (ransomware) является использование протокола удаленного рабочего стола (RDP) для заражения компьютеров. Emsisoft предупреждает о появлении нового семейства этих вредоносных программ.

В начале мая был обнаружен Dubbed Apocalypse – новый вымогатель, нацеленный на небезопасно настроенные сервера под управлением Windows, использующие слабые пароли и имеющие запущенную службу удаленного рабочего стола. Благодаря протоколу удаленного рабочего стола вредоносная программа может пытаться проникнуть на компьютер, в то время как злоумышленники могут взаимодействовать со скомпрометированной системой как если бы имели физический доступ к ней.

Согласно исследованиям Emsisoft, ранние варианты вымогателя Apocalypse устанавливались в папку %appdata%\windowsupdate.exe, после чего создавали ключ запуска под названием windows update в разделах реестра HKEY_CURRENT_USER and HKEY_LOCAL_MACHINE. Также вредоносная программа добавляет расширение .encrypted к зашифрованным файлам, создает записку с требованиями для каждого зашифрованного файла и использует для связи следующие email адреса: dr.compress(at)us1.l.a / dr.compress(at)bk.ru / dr.jimbo(at)bk.ru / dr.decrypter(at)bk.ru.

Второй вариант этой вредоносной программы, обнаруженный в начале июня устанавливается в папку %ProgramFiles%\windowsupdate.exe, создает ключ запуска, называющийся windows update svc и использует в качестве адреса для связи decryptionservice@mail.ru. 22-го июня был обнаружен третий вариант этого вымогателя, который инсталлируется  в папку %ProgramFiles%\firefox.exe и создает ключ запуска под названием firefox update checker. Этот вариант вымогателя добавляет расширение .SecureCrypted к зашифрованным файлам и для связи использует адрес recoveryhelp@bk.ru.

Перед тем, как заразить систему, вымогатель проверяет, является ли русский, украинский или беларуский языком системы по умолчанию. Если это так, то вымогатель завершает свой процесс. Если же нет, то он копирует себя в систему по пути %ProgramFiles%\firefox.exe, затем для этого исполняемого файла устанавливает атрибуты скрытый и системный. Также изменяется метка времени для этого файла, для этого используется explorer.exe. Затем создается ключ запуска так, чтобы файл вымогателя стартовал при каждом запуске системы.

После установки вымогатель запускает свой файл firefox.exe, который отвечает за две задачи на зараженном компьютере. Он периодически проверяет, запущены ли в системе определенные процессы Windows и завершает их, если запущены. В это же время он начинает процедуру шифрования. Исследователи говорят, что вымогатель получает список всех съемных или удаленных сетевых дисков, но не шифрует последние из-за ошибки в процедуре шифрования.

После того, как шифровальщик получил список дисков, он переходит к этапу сканирования всех папок и шифрует все файлы в них. Исключением являются файлы из папки Windows и те, которые содержат следующие строки в названиях файлов: .exe, .dll, .sys, .msi, .com, .lnk, .tmp, .ini, .SecureCrypted, .bin, .bat, .dat, .Contact_Here_To_Recover_Your_Files.txt.

Перед тем, как зашифровать файл, вымогатель проверяет, не был ли он уже зашифрован. Затем файл шифруется, при этом используется специальный, основанный на XOR алгоритм. Далее шифровальщик добавляет .SecureCrypted к имени файла.

Apocalypse восстанавливает зашифрованному файлу исходную временную метку, после чего создает записку с требованием выкупа для файла. Кроме того, открывается окно с аналогичными требованиями, которое отображается пользователю. Исследователи также обнаружили, что авторы шифровальщика спрятали оскорбительное для Emsisoft послание в коде своего творения.

По мнению исследователей Emsisoft, современные способы защиты от вредоносных программ являются неэффективными против этой угрозы. В основном из-за того, что злоумышленники используют удаленный доступ, чтобы получить контроль над системой. Это значит, что они также способны отключить любые механизмы защиты, запущенные на зараженной системе. Однако, на данный момент доступен дешифратор для всех жертв Apocalypse, так что можно бесплатно получить свои файлы обратно.

«Наиболее важной линией обороны является правильная политика паролей, которая действует для всех учетных записей с удаленным доступом к системе. Это не распространяется на редко используемые учетные записи, созданные для тестирования. Еще лучше было бы отключить удаленный рабочий стол или Terminal Services Remote полностью, если они не требуются или, по крайней мере, использовать ограничения доступа по IP-адресам, чтобы разрешить доступ к этим службам только из доверенных сетей» - отмечает Emsisoft.

86% крупных компаний в России используют LLM, ИИ-агенты застряли в пилотах

86% крупных российских компаний уже используют или пилотируют большие языковые модели (LLM), однако до промышленной эксплуатации автономных ИИ-агентов дело пока дошло лишь у 8% организаций. К такому выводу пришли «Инфосистемы Джет» и Smart Ranking, изучившие уровень ИИ-зрелости российского крупного бизнеса. Исследование показывает: основным препятствием для масштабирования ИИ становятся не сами модели, а готовность корпоративных процессов, данных и инфраструктуры.

Исследование основано на опросе 52 крупных российских компаний, в которых в совокупности работает около 450 тыс. человек, семи глубинных интервью и кабинетном анализе. В опросе участвовали ИТ- и технические директора, а также руководители, отвечающие за цифровизацию и внедрение ИИ.

Большой языковой моделью сегодня пользуется или экспериментирует с ней большинство крупных российских компаний. 86% организаций уже внедряют LLM, причем 53% из них вывели решения на базе генеративного ИИ в промышленную эксплуатацию. Для значительной части бизнеса технология уже перешла из стадии экспериментов в рабочий инструмент.

При этом с ростом автономности решений их распространенность заметно снижается. Проекты с полуавтономными ИИ-агентами есть у 59% компаний, полностью автономные решения внедряют 25%, а мультиагентные системы — 23%. Однако в промышленной эксплуатации эти показатели значительно ниже: полуавтономные агенты работают в проде только у 15% компаний, автономные и мультиагентные системы — у 8% в каждой категории.

Интерес к агентным технологиям уже сформировался: более 60% компаний изучают возможности автономных и мультиагентных систем. Однако переход от экспериментов к массовому внедрению упирается в готовность корпоративной среды.

Почти половина компаний — 44% — отказывается от внедрения ИИ-агентов из-за недостаточной зрелости процессов, инфраструктуры данных и сложностей интеграции с корпоративными системами. Как отмечает глава Дирекции по разработке и внедрению ПО «Инфосистемы Джет» Максим Андрианов, ценность агентных решений напрямую зависит от качества данных, цифровизации процессов и наличия необходимых интеграций. 

Он добавил, что последние наблюдения показывают, что аппаратное обеспечение стало выполнять меньше вычислительной работы работы. Вследствие этого, производительность моделей ИИ выросла. Однако стоимость вычислительной инфраструктуры остается одним из главных ограничений: 58% респондентов назвали стоимость серверов барьером для внедрения ИИ.Еще 56% указали на юридические риски, 42% — на ограничения инвестиционных бюджетов, а 40% — на дефицит специалистов. В 17% компаний препятствием становится отсутствие ИИ-лидеров, способных отвечать за внедрение технологии.

Даже после запуска пилотов компании сталкиваются с проблемой экономической эффективности. Устойчивого финансового эффекта от ИИ не видят 46% участников исследования. Еще 40% не могут масштабировать проекты из-за отсутствия владельца продукта или процесса, а столько же респондентов отмечают нестабильное качество ИИ-систем, включая галлюцинации и другие сбои. 

Таким образом, крупный российский бизнес уже освоил генеративный ИИ, но внедряет агентные технологии значительно осторожнее. Почти половина компаний планирует увеличить инвестиции в ИИ, однако в ближайшие годы приоритетом, вероятно, останутся проекты с понятной экономикой и контролируемыми рисками.

Для перехода к следующему этапу компаниям потребуется не только доступ к более мощным моделям. Необходимы качественные данные, цифровизированные процессы, интеграция с корпоративными системами и механизмы контроля. Поэтому дальнейшее развитие корпоративного ИИ может сместить акцент с выбора самой модели на создание инфраструктуры, способной обеспечить измеримый бизнес-эффект.

RSS: Новости на портале Anti-Malware.ru