С начала этого года появилось множество не только новых шифровальщиков, но также их подражателей и имитаторов. Может показаться странным, что часть вымогателей пытается выдать себя за другие шифровальщики, однако недавно обнаруженный CTB-Faker, представляющийся как CTB-Locker, доказывает, что это реальность.
Несмотря на то, что в записке с условиями выкупа CTB-Faker утверждается, что файлы пользователя зашифрованы CTB-Locker, это далеко от истины. В отличие от CTB-Locker, который инжектируется в explorer.exe, чтобы запускаться со стартом системы, CTB-Faker использует различные скрипты и WinRAR, чтобы зашифровать файлы.
По словам Check Point, новые семейства вымогателей очень часто используют WinRAR, так как в ней довольно надежная система защиты паролем. Более того, в этом приложении есть возможность удалить исходные файлы после того, как они были сжаты и зашифрованы.
После того, как шифровальщик попал на систему, требуется, чтобы пользователь запустил его. После запуска вымогатель запускает еще одну свою копию, требующую прав администратора, далее вредоносная программа запускает четыре копии wscript.exe с различными VBS-скриптами, созданными CTB-Faker. Первый из этих процессов ответственен за шифрование файлов.
Тщательный анализ вредоносной программы показал, что она шифрует файлы в формат .zip, удаляет все исходные файлы после сжатия и шифрования, а также запускает WinRAR в фоновом режиме. В коде вымогателя также есть аргументы для установки уровня компрессии, для установки папки назначения для зашифрованных файлов, а также для выключения компьютера после шифрования.
Также исследователи обнаружили серьезную брешь в коде вымогателя – аргумент p4w1q3x5y8z использовался, чтобы установить пароль для зашифрованных архивов p4w1q3x5y8z. Таким образом, это позволяло бесплатно и сразу же расшифровать файлы.
По мнению исследователей, вымогатель не проявляет никакой сетевой активности, это значит, что он не обменивается с внешним сервером информацией и вышеупомянутый ключ p4w1q3x5y8z является единственным, используемым для шифрования.
Согласно BleepingComputer, вымогатель использует два Bitcoin-адреса и только один из них проявлял активность на момент исследования. Злоумышленники используют два адреса электронной почты для связи с пользователями: help(at)openmailbox.org и miley(at)openmailbox.org.
На популярном онлайн-форуме, посвященном утечкам, появилось сообщение о взломе ИИ-платформы, специально созданной для нужд киберкриминала. К посту прикреплен образец добычи — персональные данные, якобы принадлежащие юзерам WormGPT.
По словам автора атаки, ему суммарно удалось украсть информацию о 19 тыс. подписчиков хакерского ИИ-сервиса, в том числе их имейлы, ID и детали платежей.
Эксперты Cybernews изучили слитый образец февральских записей из базы и обнаружили, что они действительно содержат пользовательские данные и дополнительные сведения:
тип подписки;
валюта, в которой производилась оплата;
суммарная выручка по тому же тарифному плану.
Автор поста об атаке на WormGPT — хорошо известный форумчанин, на счету которого множество легитимных публикаций. Этот факт, по мнению исследователей, придает еще больше веса утверждению о взломе криминального ИИ-сервиса.
Утечка пользовательской базы WormGPT позволяет идентифицировать авторов атак с применением этого ИИ-инструмента. Злоумышленники могут ею воспользоваться, к примеру, для адресного фишинга или шантажа.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
