Лаборатория Касперского может расшифровать файлы, зашифрованные MarsJoke

Лаборатория Касперского может расшифровать файлы, зашифрованные MarsJoke

Лаборатория Касперского может расшифровать файлы, зашифрованные MarsJoke

Недавно обнаруженный шифровальщик MarsJoke, как оказалось, имеет слабость в алгоритме шифрования. Это позволило экспертам Лаборатории Касперского создать дешифратор, чтобы помочь пользователям расшифровать файлы бесплатно.

Этот вымогатель был впервые обнаружен в августе, а привлек к себе внимание на прошлой неделе, когда была замечена крупная кампания по его распространению. MarsJoke, также известный как Polyglot, копирует ранее обнаруженный CTB-Locker и атакует главным образом государственные учреждения и учебные заведения.

MarsJoke/ Polyglot распространяется через спам-письма, в которых содержится либо ссылка на вредоносный файл, либо во вложении прикреплен исполняемый файл или RAR-архив. Сразу после заражения вымогатель копирует себя сразу в несколько мест и записывается в папку Автозагрузка и в Планировщик задач (TaskScheduler).

В процессе шифрования вредонос не изменяет имя зашифрованных файлов, но делает их содержание недоступным для пользователей. После того, как файлы зашифрованы, вымогатель меняет обои рабочего стола (уникальные для каждой жертвы) и выводит сообщение с требованиями. Как объясняют исследователи Лаборатории Касперского, злоумышленники позволяют пользователям расшифровать несколько файлов бесплатно.

Пользователям нужно будет заплатить выкуп в биткоинах. Шифровальщик связывается с командным центром, расположенным в сети Tor, чтобы получить информацию о сумме выкупа и адресе, на который сумма должна быть переведена. Если оплата не будет произведена в течение определенного периода времени, вредоносная программа уведомляет пользователя о том, что файлы уже не могут быть расшифрованы.

Проанализировав MarsJoke, эксперты пришли к выводу, что он имитирует все особенности CTB-Locker, включая графический интерфейс, обои рабочего стола и последовательность действий. Однако код у них разный, говорят исследователи.

Дальнейший анализ показал, что вредоносная программа выполняет трехступенчатое шифрование: он помещает файл в защищенный паролем ZIP-архив с именем исходного файла и расширением "A19"; шифрует архив с алгоритмом ECB AES-256 и меняет расширение на "ap19"; удаляет исходный файл и A19 архив и меняет расширение на то, что было у исходного файла.

Вымогатель генерирует отдельный AES-ключ для каждого файла, каждый ключ основан на случайно сгенерированном массиве символов. Слабая реализация генератора привела к тому, что ключи оказалось легко подобрать.

Хотя полученный файл представляет собой архив, защищенный паролем, исследователи обнаружили, что этот пароль также слаб. Ключ всего 4 байта и эти байты были выбраны из строки MachineGuid, уникального идентификатора, который операционная система присваивает компьютеру.

Возможности расшифровки файлов, зашифрованных MarsJoke уже были включены в утилиту Лаборатории Касперского RannohDecryptor.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки на ERP-системы в 2025 году выросли на 43%

В первой половине 2025 года количество атак на ERP-системы подскочило почти на половину — рост составил 43% по сравнению с прошлым годом. Об этом сообщили специалисты «Информзащиты». ERP сегодня — это «сердце» бизнеса: от клиентских данных до финансовых потоков, поэтому неудивительно, что именно они стали любимой целью хакеров.

Эксперты связывают всплеск атак с массовым переходом на онлайн-документооборот, быстрым внедрением сервисов без должной защиты и доступностью «готовых решений» для взлома в даркнете.

Теперь даже не слишком опытные злоумышленники могут атаковать бухгалтерские и ERP-системы, просто оформив подписку на такие инструменты.

Как атакуют

  • Фишинг остаётся на первом месте — 46% случаев. Сотрудникам приходят письма якобы от руководителей или партнёров, где их вынуждают выдать логины и пароли или установить вредонос.
  • Уязвимости и ошибки конфигурации — 33%. Это и слабые пароли, и устаревшие версии софта, и небезопасные интеграции.
  • Инсайдеры — около 18%. Доступ сотрудников или подрядчиков используется для подмены реквизитов и кражи данных.
  • Готовые наборы инструментов — около 22% атак, причём они часто комбинируются с другими методами.

Попав в систему, злоумышленники меняют банковские реквизиты, создают фиктивные заказы, инициируют платежи. Ущерб компании часто проявляется только спустя время, когда деньги уже потеряны.

Кто под ударом

Чаще всего атакуют финансовый сектор (38%), торговлю и дистрибуцию (27%), промышленность (21%) и сферу услуг (14%). Последствия ощутимы: не только прямые убытки, но и сбои бизнес-процессов, потеря доверия партнёров и юридические проблемы.

Что говорят эксперты

«ERP ещё недавно считались неприступной крепостью бизнеса, а теперь стали слабым местом. Удобство и скорость внедрения часто важнее безопасности, и это оборачивается потерями и утечками», — объясняет Шамиль Чич, эксперт центра IZ:SOC компании «Информзащита».

Как защититься:

  • жёстко контролировать права доступа и регулярно пересматривать их;
  • вести журналы изменений и аудировать логи;
  • проверять критичные транзакции через независимые каналы — например, ЭП или двухфакторку;
  • сегментировать сеть, изолируя ERP от других систем;
  • обучать сотрудников распознавать фишинг и подозрительные действия.

Эксперты уверены: только комплексный подход позволит снизить риски и сохранить ERP-системы в безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru