Обнаружена тестовая кампания по распространению шифровальщика PyCL

Обнаружена тестовая кампания по распространению шифровальщика PyCL

Обнаружена тестовая кампания по распространению шифровальщика PyCL

Эксперты предупреждают о наличии нового семейства вымогателей, распространяемого при помощи набора эксплоитов RIG. На данный момент оно находится на стадии тестирования и, по словам исследователей, может представлять серьезную угрозу.

Получившая имя PyCL, вредоносная программа написана на Python, со скриптом cl.py. Опираясь на название этого скрипта, эксперты BleepingComputer , Лоуренс Абрамс (Lawrence Abrams), дал вредоносу соответствующее название.

Новая угроза распространяется под видом установщика NSIS и содержит пакет Python, предназначенный для шифрования файлов пользователей, а также инструкцию по оплате выкупа. Судя по всему, вредоносная программа взаимодействует с командным центром (C&C) на каждом этапе процесса шифрования, чтобы предоставить разработчику отладочную информацию.

Один из исследователей, обнаруживших PyCL, Дэвид Мартинес (David Martínez), нашел в программе файл с именем user.txt и выяснил, что строка в нем отправляется в командный центр во время каждого запроса. По словам Абрамса, это говорит о том, что PyCL является частью системы «вымогатель как услуга» (Ransomware as a Service, RaaS), где имя пользователя является аффилированным идентификатором.

Вымогатель, попав в систему, первым делом проверяет наличие прав администратора, и если они есть, удаляет теневые копии. Затем вредоносная программа отправляет злоумышленнику версию Windows, разрешение экрана, архитектуру процессора, имя компьютера, имя пользователя и MAC-адрес основного сетевого адаптера.

PyCL использует уникальный ключ шифрования AES-256 для каждого файла, сохраняет список файлов и их ключей расшифровки в файл со случайным именем в папке CL, а затем шифрует этот файл при помощи открытого ключа шифрования RSA-2048.

В то время как большинство вымогателей заменяют файлы пользователей своими зашифрованными аналогами, PyCL оставляет исходные файлы на жестком диске, что означает, что пользователям не нужно платить, чтобы вернуть их. Однако этот момент может быть исправлен в последующих версиях. В заключительном этапе шифровальщик отображает экран блокировки, который содержит таймер, рассчитанный на четыре дня, биткойн-адрес и сумму выкупа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky Fraud Prevention научился точнее выявлять мошеннические схемы

«Лаборатория Касперского» выпустила обновление своего решения Kaspersky Fraud Prevention, которое помогает компаниям выявлять и предотвращать онлайн-мошенничество. Повод для усиления защиты более чем актуален — с начала 2025 года в России фиксируется резкий рост числа фрод-аккаунтов в ретейле, а летом наблюдалась волна автоматизированных атак, связанных с нелегитимным бронированием и скупкой билетов.

Обновлённый Kaspersky Fraud Prevention теперь лучше справляется с подобными схемами как на сайтах, так и в мобильных приложениях.

Разработчики добавили новые источники данных, усилили алгоритмы детектирования и внедрили более 20 новых признаков мошеннической активности.

Теперь система анализирует не только телеметрию устройств, но и анонимизированные технические данные клиентов, что позволяет адаптировать защиту под конкретную отрасль — будь то онлайн-торговля, банковские сервисы или системы бронирования.

В модулях Advanced Authentication и Automated Fraud Analytics появилась возможность объединять правила, что помогает выявлять более сложные схемы. Например, система может заметить, что одно и то же устройство используется для подозрительных входов в разных аккаунтах.

Новые признаки мошеннической активности включают даже такие детали, как траектория движения мыши — это помогает распознавать автоматизированные действия и ботов ещё до того, как они наносят ущерб.

Для аналитиков добавлен новый механизм отчётности и расширена информация об аутентификации: теперь можно получать не только оценку риска сессии, но и технические сведения о ней — например, параметры устройства и особенности подключения. Это делает анализ инцидентов более гибким и точным.

«Мы видим, как бизнес всё активнее уходит в онлайн, и вместе с этим растёт количество мошеннических схем, — отмечает Екатерина Данилова, менеджер по развитию бизнеса Kaspersky Fraud Prevention. — В новой версии мы сосредоточились на точности детектирования и удобстве аналитиков. Теперь система лучше видит технические признаки фрода, например циклические бронирования или перепродажу бонусов, и помогает реагировать быстрее».

Обновлённый Kaspersky Fraud Prevention уже доступен клиентам и, по словам компании, должен значительно повысить эффективность противодействия сложным цифровым схемам обмана.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru