Шифровальщик Samas использует Active Directory для заражения целых сетей

Шифровальщик Samas использует Active Directory для заражения целых сетей

Шифровальщик Samas использует Active Directory для заражения целых сетей

Специалисты Javelin Networks предупреждают о том, что семейство вымогателей Samas, появившейся около года назад, использует Active Directory для заражения целых сетей.

Samas был впервые замечен в марте прошлого года, а уже к декабрю сообщалось о том, что вымогатели заработали с его помощью 450 000 долларов. Как объясняют исследователи, вредоносная программа ориентирована главным образом на отрасль здравоохранения.

Исследователи говорят, что в отличие от большинства вымогателей, которые сосредоточены главным образом на шифровании локальных файлов, Samas распространяется по всей сети и шифрует файлы на каждом сервере и компьютере. Эта операция выполняется в три этапа: злоумышленники крадут учетные данные домена, определяют цели с помощью сканирования Active Directory и затем перемещаются по сети.

Эксперты Javelin Networks объясняют, что злоумышленники используют обход JBoss JMX-Console Authentication (CVE-2010-0738) для получения доступа к сети. Внутри сети злоумышленник использует различные инструменты для извлечения и кражи учетных данных администратора домена.

Следующим шагом злоумышленники определяют цели для шифрования, осуществляется это путем запроса в Active Directory.

«Active Directory - база данных, в которой хранятся все пользователи, конечные точки, приложения и серверы. Используя утилиту командной строки CSVDE в Windows, злоумышленник может получить необходимую информацию без риска быть обнаруженным» - объясняют исследователи.

Затем злоумышленник может проверить активные хосты, используя команду PING, и установить на них вредоносный модуль с помощью еще одной утилиты Windows - PSEXEC. Поскольку это легитимный встроенный инструмент, который ИТ-менеджеры используют для удаленного управления, атака останется незамеченной.

Hide My Email не помог: Apple передала ФБР данные автора анонимного письма

Сервис Hide My Email в экосистеме Apple снова напомнил, что он создан для защиты от спама и лишнего трекинга, а не для анонимности перед правоохранителями. По информации профильных изданий, Apple передала ФБР данные пользователя, который отправил письмо с угрозами Алексис Уилкинс — девушке нынешнего директора ФБР Каша Пателя.

Как пишет 404 Media, речь идёт о 26-летнем Олдене Рамле. Из судебных документов следует, что он использовал псевдоадрес из iCloud+ Hide My Email, чтобы отправить анонимное письмо.

После обращения в полицию следователи запросили у Apple сведения, связанные с этим алиасом, и корпорация раскрыла имя пользователя и его реальный iCloud-адрес.

Позже, как сообщается, Рамле признал, что именно он отправил сообщение, после чего ему предъявили обвинение. История получилась показательной ещё и потому, что у пользователя, по данным материалов дела, было создано 134 адреса Hide My Email, но это всё равно не помешало следствию выйти на него через запрос к Apple.

Сейчас ФБР добивается доступа к данным на его устройствах и, как пишут СМИ со ссылкой на аффидевит, хочет получить разрешение на использование биометрической разблокировки и отключение защитных механизмов вроде Stolen Device Protection.

С юридической точки зрения здесь ничего сенсационного нет: Apple давно прямо указывает, что может передавать данные пользователей по законным запросам правоохранительных органов, а также регулярно публикует отчёты о таких обращениях.

RSS: Новости на портале Anti-Malware.ru