Экспертам удалось расшифровать файлы зашифрованные Alma

Экспертам удалось расшифровать файлы зашифрованные Alma

Экспертам удалось расшифровать файлы зашифрованные Alma

Эксперты Help Alma Ransomware Victims расшифровали файлы, зашифрованные вымогателем, используя атаку посредника (Man in the middle, MITM), направленную на злоумышленников. Таким образом, пользователи, пострадавшие от шифровальщика Alma получили возможность расшифровать свои файлы бесплатно.

Зловред Alma распространяется при помощи набора эксплоитов RIG. После того, как он шифрует файлы пользователя, используется дешифровщик, который подключается к командному центру. Благодаря этому исследователям удалось провести атаку Man in the middle.

Сразу после попадания на компьютер Alma генерирует случайное расширение из 5 символов и уникальный 8-символьный идентификатор жертвы, который является производным от серийного номера диска C:\ и MAC-адреса первого сетевого интерфейса. Вымогатель использует шифрование AES-128 и добавляет сгенерированное ранее расширение к зашифрованным файлам.

Важно отметить, что зловред не шифрует файлы в папках, в названии которых содержатся следующие строки: $recycle.bin, system volume information, program files, programdata, program files (x86), windows, internet explorer, Microsoft, Mozilla, chrome, appdata, local settings, recycler, msocache, и Unlock_files_.

По мнению исследователей PhishLabs, авторы вымогателя пытаются обмануть пользователей, утверждая, что вредоносный файл принадлежит Apple. Для того, чтобы затруднить анализ, вредоносная программа использует рандомизацию адресного пространства (ASLR).

Вымогатель также пытается отправить на адрес .onion некоторую специфическую информацию о зараженной машине: закрытый ключ дешифрования AES-128, расширения зашифрованных файлов, имя пользователя, имя активного сетевого интерфейса, версию операционной системы, ID, установленное антивирусное программное обеспечение, а также отметку времени, когда программа была запущена.

После завершения процесса шифрования, пользователю отображается уведомление, что их файлы зашифрованы. На второй стадии предоставляется возможность скачать дешифратор, который дает инструкции по расшифровке.

Как отмечают исследователи PhishLabs, дешифратор подключается к удаленному серверу и таким образом сообщает, что пользователь загрузил его. Сервер посылает дешифратору информацию об адресе Bitcoin, количестве часов, оставшихся для уплаты выкупа и стоимости выкупа. Пользователю дается 120 часов с момента загрузки дешифратора, чтобы заплатить выкуп.

Шифровальщик использует необфусцированный .NET-код, что позволило исследователям просмотреть исходный код дешифратора и определить параметры расшифровки. Затем исследователи создали свой собственный инструмент дешифрования, а также взломали связь между дешифратором и сервером после того, как обнаружили уязвимость к атаке Man in the middle.

Срок для Apple истёк: ФАС может перейти от предупреждений к штрафу

15 июля истекает срок, который Федеральная антимонопольная служба дала Apple на выполнение требований российского законодательства. Если компания предписание проигнорирует, следующим шагом может стать антимонопольное дело и оборотный штраф до 4 млрд рублей.

ФАС требует устранить дискриминацию российских поисковых систем и выполнить нормы о предустановке отечественного ПО на устройствах с iOS.

В числе таких приложений называют национальный мессенджер МАКС и российский магазин приложений.

Эксперты, слова которых передают «Известия», сомневаются, что Apple быстро согласится. Российский рынок дает корпорации лишь небольшую долю глобальных продаж, а решения компания принимает с оглядкой на санкции США и риски в других странах.

При этом технически Apple умеет адаптироваться к местным правилам: в Евросоюзе ей пришлось разрешить альтернативные магазины приложений.

Но владельцам iPhone пока можно не готовиться к цифровому апокалипсису. Автоматической блокировки сервисов, отключения смартфонов или превращения iPhone в кирпич после 15 июля не ожидается. Давление, скорее всего, будут усиливать постепенно — через дела, штрафы и возможные ограничения отдельных функций.

Пользователи уже живут в урезанной экосистеме: Apple Pay не работает, приложения банков регулярно исчезают из App Store, а оплачивать iCloud и покупки приходится через посредников. На этом вырос серый рынок объемом около 5 млрд рублей в год, а вместе с ним — мошенники, предлагающие чужие аккаунты и сомнительные схемы пополнения.

Полная блокировка Apple выглядит маловероятной: она ударит прежде всего по миллионам россиян, уже купившим устройства. Поэтому пока спор идет не за судьбу iPhone, а за то, насколько сильно Apple готова игнорировать требования ФАС.

RSS: Новости на портале Anti-Malware.ru