В атаках буткита-вымогателя MBR-ONI эксперты видят русский след

В атаках буткита-вымогателя MBR-ONI эксперты видят русский след

В атаках буткита-вымогателя MBR-ONI эксперты видят русский след

Обнаруженный ранее в этом году в Японии вымогатель ONI, по мнению экспертов, был призван скрыть сложную хакерскую операцию. Напомним, что данный вредонос шифрует файлы, добавляя к ним расширение .oni.

В опубликованном докладе исследователи Cybereason связали использование ONI со сложными атаками на японскую промышленность. В отличие от традиционных атак вымогателей, эти атаки продолжались от трех до девяти месяцев, а их кульминацией стало использование вымогателя ONI.

В этом же исследовании Cybereason отмечает новую версию буткитов, MBR-ONI, которая модифицирует MBR и шифрует разделы диска.

«Мы пришли к выводу, что как за ONI, так и за MBR-ONI стоят одни и те злоумышленники. Это очевидно, учитывая, что в указаниях о выкупе в обоих случаях указан одинаковый адрес электронной почты», - утверждают исследователи.

В проанализированных Cybereason атаках наблюдается общий принцип. Все начинается с фишинга, призванного внедрить программу удаленного доступа Ammyy Admin. Далее следует этап разведки и похищения данных, а после этого злоумышленники получают полный контроль над сетью. Последним этапом атаки является использование вымогателя ONI и удаление журналов.

MBR-ONI используется всего против нескольких конечных точек, таких как AD-сервер и файловые серверы. Исследователи считают, что MBR-ONI использовался в целях сокрытия основного мотива операции злоумышленников.

Также эксперты подозревают, что не обошлось без эксплойта EternalBlue, так как этот патч не был установлен на взломанных компьютерах.

Примечательно, что код ONI, по словам социалистов, «содержит русский след».

«Несмотря на то, что это может быть ложный след, мы предполагаем, что нападение могло быть совершено русскоязычными киберпреступниками», - говорят исследователи.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В августе число DDoS-атак на интернет-провайдеров в России выросло на 86%

Компания StormWall зафиксировала резкий рост кибератак на телеком-отрасль в августе 2025 года. Больше всего досталось интернет-провайдерам: с 1 по 25 августа количество DDoS-атак на них увеличилось на 86% по сравнению с июлем.

По словам экспертов, это связано с ажиотажем вокруг проводного интернета. Из-за проблем с мобильным доступом многие пользователи начали массово подключать кабельные линии, что вызвало скачок нагрузки на ресурсы провайдеров.

Этим и воспользовались злоумышленники, решив «добить» компании с помощью DDoS-атак. Для хакеров провайдеры оказались удобной целью: атаки устраивались по принципу «ковровых бомбардировок» — не на один конкретный адрес, а сразу на целые диапазоны или подсети с сотнями и тысячами IP.

Чаще всего для этого применялись ботнеты. Отразить такие атаки особенно сложно: отключить отдельный адрес не помогает.

Крупные игроки отрасли смогли устоять благодаря профессиональной защите, а вот для региональных провайдеров атаки стали настоящим испытанием. Во многих случаях единственным быстрым решением было подключение сервисов DDoS-защиты.

«Сейчас интернет-провайдеры продолжают работать на фоне повышенной нагрузки, а хакеры всё так же запускают массовые атаки. Мы прогнозируем, что ситуация может затянуться до конца сентября, поэтому провайдерам важно заранее позаботиться о защите своих онлайн-ресурсов», — отметил CEO StormWall Рамиль Хантимиров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru