Эксперты Palo Alto Networks наткнулись на новые образцы вымогателя Jaff

Эксперты Palo Alto Networks наткнулись на новые образцы вымогателя Jaff

Эксперты Palo Alto Networks наткнулись на новые образцы вымогателя Jaff

WannaCry не единственное семейство вымогателей, активно атакующее организации и пользователей в последнее время. За несколько дней до вспышки атаки WannaCry появилась другая угроза – вымогатель Jaff.

С самого начала Jaff распространялся ботнетом Necurs и использовал дизайн сообщения о выкупе схожий с Locky. Таким образом, исследователи в области безопасности сразу поняли, что авторы нового вымогателя и авторы Locky и Dridex, скорее всего, одни и те же люди.

Первые версии Jaff добавляли к зашифрованным файлам расширение .jaff и требовали выкуп в районе 2 биткойнов. Вектором заражения были .PDF-файлы, отправленные в виде вложений в спам-письмах.

Эксперт Брэд Дункан (Brad Duncan) из Palo Alto Networks утверждает, что в новых вариантах вымогателя расширение .jaff уже не используется, как не используется и схожие с Locky требования выкупа.

Теперь вымогатель добавляет к зашифрованным файлам расширение .wlu и использует в сообщении о выкупе зеленые шрифты на темном фоне. Исследователь безопасности также заметил, что авторы просят выкуп в размере 0.30030347 биткойнов.

Первые спам-рассылки, распространяющие новый вариант вредоноса, были замечены во вторник, 23 мая. Эти письма содержат вложение PDF, в котором находится документ Word с вредоносными макросами, предназначенными для заражения компьютера.

«Макросы Word генерируют начальный URL-адрес для загрузки закодированного двоичного файла Jaff, после чего мы видим еще один URL-адрес для обратного вызова после инфицирования. Исходный HTTP-запрос возвращает закодированный двоичный файл» - рассказывает Дункан.

Как и первые образцы этого вымогателя, новая версия атакует 400 типов файлов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

PT ISIM 5.8 получил функции поиска и контроля устранения уязвимостей

Компания Positive Technologies представила обновление своей системы для кибербезопасности промышленных инфраструктур — PT Industrial Security Incident Manager (PT ISIM) версии 5.8. Теперь продукт не только отслеживает инциденты, но и помогает обнаруживать, оценивать и контролировать устранение уязвимостей в программном обеспечении и операционных системах.

Разработчики объясняют: защита промышленных объектов требует не только мониторинга сетевого трафика, но и полноценного цикла управления уязвимостями — от поиска до закрытия.

Для этого в PT ISIM 5.8 реализована интеграция данных об активах, которые система собирает с рабочих станций и серверов.

Информация поступает двумя способами — через агент PT ISIM Endpoint, установленный на конечных узлах, и через сетевой сканер, который получает данные удаленно, если установка агента невозможна.

В новой версии специалисты по ИБ и ИТ могут видеть все найденные уязвимости в ОС и приложениях, отслеживать их опасность и статус устранения. PT ISIM 5.8 также использует базу знаний Positive Technologies о реально эксплуатируемых и трендовых уязвимостях, помогая приоритизировать работу по исправлению критических ошибок.

«Устаревшие операционные системы и программы — одна из главных причин успешных атак. Поэтому важно понимать, какие риски несут такие компоненты и как их компенсировать», — пояснил руководитель разработки продуктов для безопасности промышленных систем Илья Косынкин.

Новая функциональность уже доступна пользователям PT ISIM proView Sensor после обновления продукта до версии 5.8.

В апреле мы рассматривали функциональные возможности PT ISIM 5.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru