Исследователь Emsisoft: Вымогатель RSAUtil распространяется через RDP

Исследователь Emsisoft: Вымогатель RSAUtil распространяется через RDP

Исследователь Emsisoft: Вымогатель RSAUtil распространяется через RDP

Автор недавно обнаруженного вымогателя распространяет свой продукт путем взлома служб протокола удалённого рабочего стола (RDP, Remote Desktop Protocol).

Вредонос получил имя RSAUtil, написан на Delphi и добавляет расширение .helppme@india.com.ID83994902 к зашифрованным файлам, об этом в твиттере написал исследователь Emsisoft. Вредоносная программа также копирует в каждую папку текстовый файл с именем How_return_files.txt, который содержит инструкции по выкупу.

Как отмечает Лоренс Абрамс (Lawrence Abrams) из BleepingComputer, помимо самой вредоносной программы злоумышленник загружает множество инструментов и конфигурационный файл, предназначенный для параметров запуска вымогателя.

Зловред распространяется вместе с пакетом, предназначенным для подготовки системы к установке RSAUtil. Файл CMD очищает следы того, как машина была скомпрометирована путем очистки журналов событий, еще два файла не позволяют компьютеру переходить в спящий режим, оставляя соединение активным, файл изображения предположительно используется как фон рабочего стола, а bat-файл используется для настройки различных опций.

Существует также файл конфигурации, который вымогатель использует в процессе шифрования. Он проверяет, был ли уже компьютер зашифрован, определяет, какой идентификатор, и какую электронную почту вредоносная программа должна использовать.

Пакет, в который входит RSAUtil имеет имя svchosts.exe. Он сканирует папки компьютера и шифрует файлы пользователя. Он также помещает записку о выкупе в каждую папку, где был зашифрован хоть один файл.

Вредоносная программа не нацелена на какой-то определенный тип файлов, это значит, что многие исполняемые файлы также шифруются. Проанализированные исследователями образцы этого вымогателя добавляют к зашифрованным файлам расширение .helppme@india.com.ID83624883.

По завершению процесса шифрования, RSAUtil отображает экран блокировки, информирующий пользователя о контактах злоумышленника (helppme@india.com или hepl111@aol). Если пользователь заплатит выкуп, он получит ключ дешифровки, который нужно будет ввести на экране блокировки, это восстановит доступ к файлам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ViPNet Client 5 для ОС «Аврора» получил сертификат ФСБ по классу КС1

Компания «ИнфоТеКС» объявила, что программный комплекс ViPNet Client 5 для российской мобильной ОС «Аврора 5» прошёл сертификацию ФСБ России и соответствует требованиям к СКЗИ класса КС1. Это первый продукт нового поколения ViPNet, который получил сертификат в линейке решений для «Авроры».

ViPNet Client 5 предназначен для защищённой передачи данных и безопасного доступа пользователей к корпоративным ресурсам через общедоступные сети, включая интернет.

Кроме классических функций защиты каналов связи, продукт позволяет безопасно подключаться к системам аудио- и видеоконференций, SIP-телефонии и может использоваться в промышленных системах и ИСУЭ.

Новая версия работает на едином исходном коде, поддерживает протокол IPlir 6, алгоритмы шифрования «Магма» и «Кузнечик», ключи форматов dst и ds5. Среди обновлений — переработанный интерфейс, поддержка нескольких профилей на одном устройстве, а также возможность многофакторной аутентификации и работы с аппаратными токенами.

Руководитель продуктового направления «ИнфоТеКС» Александр Василенков отметил, что продукт стал результатом тесного взаимодействия разработчиков, платформы «Аврора» и экспертов регулятора. Он подчеркнул, что ViPNet Client 5 создавался с прицелом на соответствие и более высоким классам СКЗИ — КС2 и КС3. Сертификация будет завершена после подтверждения соответствия ОС «Аврора 5» по классам АК2 и АК3.

В «Открытой мобильной платформе» также считают получение сертификата важным шагом для расширения экосистемы доверенного ПО. Начальник продуктовой экспертизы Сергей Аносов подчеркнул, что многие заказчики используют решения ИнфоТеКС в доверенных ПАКах для защищённой работы и безопасного доступа к корпоративным ресурсам.

ОС «Аврора» развивается как корпоративная мобильная платформа с сертификациями ФСТЭК и ФСБ. Её уже внедряют крупные государственные компании и организации, формируя защищённую мобильную среду для работы сотрудников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru