Шифровальщик Samas использует Active Directory для заражения целых сетей

Шифровальщик Samas использует Active Directory для заражения целых сетей

Шифровальщик Samas использует Active Directory для заражения целых сетей

Специалисты Javelin Networks предупреждают о том, что семейство вымогателей Samas, появившейся около года назад, использует Active Directory для заражения целых сетей.

Samas был впервые замечен в марте прошлого года, а уже к декабрю сообщалось о том, что вымогатели заработали с его помощью 450 000 долларов. Как объясняют исследователи, вредоносная программа ориентирована главным образом на отрасль здравоохранения.

Исследователи говорят, что в отличие от большинства вымогателей, которые сосредоточены главным образом на шифровании локальных файлов, Samas распространяется по всей сети и шифрует файлы на каждом сервере и компьютере. Эта операция выполняется в три этапа: злоумышленники крадут учетные данные домена, определяют цели с помощью сканирования Active Directory и затем перемещаются по сети.

Эксперты Javelin Networks объясняют, что злоумышленники используют обход JBoss JMX-Console Authentication (CVE-2010-0738) для получения доступа к сети. Внутри сети злоумышленник использует различные инструменты для извлечения и кражи учетных данных администратора домена.

Следующим шагом злоумышленники определяют цели для шифрования, осуществляется это путем запроса в Active Directory.

«Active Directory - база данных, в которой хранятся все пользователи, конечные точки, приложения и серверы. Используя утилиту командной строки CSVDE в Windows, злоумышленник может получить необходимую информацию без риска быть обнаруженным» - объясняют исследователи.

Затем злоумышленник может проверить активные хосты, используя команду PING, и установить на них вредоносный модуль с помощью еще одной утилиты Windows - PSEXEC. Поскольку это легитимный встроенный инструмент, который ИТ-менеджеры используют для удаленного управления, атака останется незамеченной.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Около 40% ИТ-преступлений В России совершаются по телефону

По оценке МВД РФ, в настоящее время примерно 40% ИТ-преступлений в стране совершаются с использованием телефонной связи. В 80% случаев целью является кража денег, которые мошенники зачастую предлагают перевести на «безопасный» счет.

Эту цифру озвучил в ходе круглого стола «Известий» на тему защиты от кибермошенничества замначальника отдела по противодействию ИТ-преступлениям УБК МВД Денис Костин.

Как оказалось, в мошеннических кол-центрах существуют даже свои надзиратели, которые могут оштрафовать рядового сотрудника за малейшую провинность.

«Это всё делается в профессиональных кол-центрах с распределением ролей, — рассказывает Костин. — Если раньше, когда мошенник звонил, можно было посмеяться и задать ему вопрос: “Чей Крым?”, и он там отвечал матом и бросал трубку, то сейчас им это делать запрещено».

Операторам, в основном молодым людям, также запрещено сознаваться в попытке обмана, пока собеседник на связи. За их работой следят «менеджеры»; если подопечный сделал что-то не по протоколу, ему грозит штраф.

Большинство мошеннических звонков поступает с Украины, где развернуто более 200 кол-центров. Самые отчаянные злоумышленники, пренебрегая риском, базируются на территории России.

Возрастной состав жертв обмана, со слов Костина, тоже изменился. Если ранее в сети мошенников попадали в основном пенсионеры, то теперь в группу риска входит также молодежь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru