Вымогатель Locky снова взлетел в рейтингах вредоносов

Вымогатель Locky снова взлетел в рейтингах вредоносов

Вымогатель Locky снова взлетел в рейтингах вредоносов

Check Point в сентябре зафиксировал значительное увеличение числа атак Locky. По результатам Global Threat Impact Index, вымогатель поразил 11,5% организаций во всем мире.

Locky не появлялся в десятке самых активных зловредов с ноября 2016 года, но в сентябре 2017 стремительно поднялся, оказавшись на втором месте при помощи ботнета Necurs, который тоже вошел в рейтинг, заняв 10 место. Эти атаки подняли Locky на 25 мест, выше оказался только рекламный зловред RoughTed.

Locky начал распространяться в феврале 2016 года и быстро стал одним из самых активных в мире вредоносных семейств. В основном он распространяется через спам-письма, содержащие загрузчик с вредоносными макросами, замаскированный под вложение Word или Zip. Когда пользователи активируют эти макросы — обычно под действием социальной инженерии — приложение загружает и устанавливает вредоносное ПО, которое шифрует файлы. Сообщение направляет пользователя на загрузку браузера Tor и открывает веб-страницу с требованием оплаты выкупа в биткойнах. В июне 2016 года ботнет Necurs выпустил обновленную версию Locky, содержащую новые методы для обхода обнаружения.

Возрождение Locky показывает, что компании не могут быть спокойны, пока вредоносное ПО существует. Опытные киберпреступники будут постоянно искать способы совершенствования своих инструментов, чтобы снова использовать их. Мощные ботнеты могут вдохнуть новую жизнь в старые варианты зловредов, позволяя им быстро поражать пользователей по всему миру. Тот факт, что в сентябре каждая десятая организация во всем мире была поражена хотя бы одним видом вымогателей, говорит о том, что существующие вредоносные программы могут быть так же опасны, как и абсолютно новые варианты.

Самые активные зловреды сентября 2017:

  1. RoughTed — крупномасштабная кампания вредоносной рекламы, используется для переадресации пользователей на зараженные сайты и загрузки мошеннических программ, эксплойт-китов и программ-вымогателей. Зловред может быть использован для атаки на любые типы платформ и операционные системы; способен обходить блокировку рекламы.
  2. Locky — вымогатель, который начал свое распространение в феврале 2016 года, распространяется в основном с помощью спам-писем, содержащих загрузчик, замаскированный под вложение Word или Zip, которое затем загружает и устанавливает вредоносное ПО, которое шифрует файлы пользователя.
  3. Globeimposter — вымогатель, замаскированный под шифровальщик Globe ransomware. Был обнаружен в мае 2017 года и распространялся с помощью спам-кампаний, вредоносной рекламы и эксплойт-китов. После шифрования программа добавляет расширение .crypt к каждому зашифрованному файлу.

HackerDefender — пользовательский руткит для Windows, который был третьим по распространенности вредоносным ПО в августе, покинул первую десятку.

Самым популярным вредоносным ПО для атаки мобильных устройств в сентябре стал Triada, который поднялся с третьего места, за ним следуют Hiddad и Lotoor:

Самые активные мобильные зловреды:

  1. Triada — модульный бэкдор для Android, который дает огромные привилегии скачанным зловредам, поскольку помогает им внедриться в системные процессы. Triada также был замечен в подмене URL-адресов, загруженных в браузере.
  2. Hiddad — зловред для Android, который переупаковывает легитимные приложения и затем реализует их в магазинах сторонних производителей. Его главная функция — показ рекламы, однако он также может получить доступ к ключевым настройкам безопасности, встроенным в операционную систему, что позволяет злоумышленнику получить конфиденциальные данные пользователя.
  3. Lotoor — хакерский инструмент, использующий уязвимости в операционных системах Android, чтобы получить root-доступ на взломанных мобильных устройствах.

«Если какие-либо организации все еще сомневаются в серьезности угрозы вымогательства, эти статистические данные должны заставить их задуматься, — говорит Майя Горовиц, руководитель группы Threat Intelligence, Check Point Software Technologies. — Вымогатели занимают два из трех мест в топ-3: один относительно новый вариант, который возник только в этом году, а другой — из известного семейства вымогателей, у которой только что была крупная перезагрузка. Если хотя бы один сотрудник попадется на уловку социальной инженерии, вся компания будет скомпрометирована».

В Check Point мы считаем важным развернуть многоуровневую стратегию кибербезопасности, которая защищает как от известных семейств вредоносных программ, так и от угроз нулевого дня. Эффективные инструменты кибербезопасности следят за подозрительной активностью и элементами, такими как встроенные макросы в документах, а не только за знакомыми сигнатурами вредоносных программ. Этот подход реализован в решениях SandBlast ™ Zero-Day Protection и Mobile Threat Prevention.

Global Threat Impact Index и ThreatCloud Map разработаны ThreatCloud intelligence, самой большой совместной сетью по борьбе с киберпреступностью, которая предоставляет данные об угрозах и тенденциях атак из глобальной сети датчиков угроз. База данных ThreatCloud, содержащая более 250 миллионов адресов, проанализированных для обнаружения ботов, более 11 миллионов сигнатур вредоносных программ и более 5,5 миллионов зараженных сайтов, продолжает ежедневно идентифицировать миллионы вредоносных программ.

Мошенники придумали новый способ обхода антидропперских мер

Злоумышленники нашли новый способ обходить меры по противодействию выводу похищенных средств — через криптовалютные операции. Причём исполнители зачастую даже не подозревают, что участвуют в мошеннической схеме. В отличие от классических сценариев, новая модель не требует передачи банковских карт третьим лицам: владельцы карт выполняют операции с криптовалютой, не осознавая, что тем самым помогают обналичивать украденные деньги.

Вознаграждение за такие операции обычно составляет 1–2% от суммы. О схеме говорится в исследовании компании DLBI по мониторингу даркнета, с результатами которого ознакомились «Известия».

По оценке DLBI, новая схема обладает высокой устойчивостью к банковским антифрод-системам: владелец карты формально осведомлён обо всех транзакциях и доступен для проверок, что снижает подозрительность операций.

Как отмечает руководитель ИТ-подразделения агентства «Полилог», эксперт Регионального общественного центра интернет-технологий (РОЦИТ) Людмила Богатырева, злоумышленники активно перестраивают свои подходы на фоне усиленной борьбы с дропами и дропперством. В частности, такие схемы маскируются под легальные операции по покупке криптовалюты или, наоборот, по её выводу в фиат.

По словам менеджера образовательного проекта Servicepipe Ивана Горячева, масштабы применения этой схемы продолжают расти. Этому способствует её простота, ориентация на массовый «наём» и хорошая масштабируемость через мессенджеры и социальные сети.

Классические схемы с дропами стали для преступников слишком рискованными, дорогими и неудобными из-за криминализации такой деятельности. В результате срок «жизни» дропа, как отмечалось ранее, уже в мае не превышал нескольких дней — ещё на этапе внедрения новых мер. Побочным эффектом этого процесса в июле стал даже коллапс на наркорынке.

При этом и новая схема, по мнению эксперта платформы «Мошеловка», заместителя руководителя проекта «За права заёмщиков» Александры Пожарской, несёт серьёзные юридические риски для участников. Налицо корыстный мотив и действия в интересах третьих лиц, что может повлечь уголовную ответственность. Управляющий партнёр компании «Провъ» Александр Киселёв уточняет, что уже сформировавшаяся судебная практика учитывает осознание преступного характера операций, согласованность действий с организаторами схемы и получение выгоды.

При этом, как подчёркивает эксперт агентства «Цифровые коммуникации» Кирилл Карамзин, классические дропы полностью не исчезли: «Традиционная “аренда” карты на месяц за фиксированную плату никуда не делась. Через карту могут провести, например, 500 тысяч или 1 млн рублей, а затем вернуть её владельцу. Но даже при возврате карты такие действия остаются незаконными».

Глава комитета Госдумы по финансовому рынку Анатолий Аксаков напомнил, что привязка банковских счетов к ИНН направлена в том числе на то, чтобы отличать легальную подработку от мошеннических схем. По его словам, человеку, однажды совершившему сомнительную операцию, не позволят повторить её вновь.

Главный юрист продуктовой группы «Контур.Эгида» и Staffcop Ольга Попова даёт простой совет тем, кто не хочет стать дропом «втёмную»: «Нужно придерживаться одного принципа — всё, что принадлежит вам, должно оставаться только вашим, и никто не имеет права этим пользоваться».

RSS: Новости на портале Anti-Malware.ru