Новый вредонос Rakhni может заразить как майнером, так и шифровальщиком

Новый вредонос Rakhni может заразить как майнером, так и шифровальщиком

Новый вредонос Rakhni может заразить как майнером, так и шифровальщиком

Специалисты «Лаборатории Касперского» наткнулись на новую форму вредоносной программы, которая может инфицировать компьютер пользователя либо вымогателем, либо вредоносным майнером (зависит от конфигурации компьютера). Зловред получил имя Rakhni.

Исследователи уточняют, что первые образцы семейства Trojan-Ransom.Win32.Rakhni были впервые обнаружены в 2013 году.

Теперь же злоумышленники решили добавить к возможностям Rakhni вредоносный криптомайнинг. Попав в систему, новые варианты Rakhni принимают решение, чем заразить пользователя, исходя из конфигурации его компьютера.

Rakhni распространяется с помощью целевого фишинга, электронные письма содержат прикрепленный файл документа Word. В документах находится значок PDF, если на него нажать, запуститься вредоносный исполняемый файл.

В процессе выполнения вредоносная составляющая отобразит пользователя сообщение об ошибке, тем временем параллельно будут выполняться проверки на установленные антивирусные программы и песочницы.

Если вредонос понимает, что систему можно заразить, он выбирает между вредоносным майнером и вымогателем.

Rakhni будет проверять наличие папки %AppData%\Bitcoin, если она существует, вредоносная программа установит шифровальщик. Если же директории нет, а компьютер располагает двумя и более логическими процессорами, зловред загрузит майнер криптовалюты.

Rakhni располагает сертификатом, то есть каждый исполняемый файл подписан. Эти поддельные сертификаты якобы были выпущены Microsoft и Adobe. Эксперты также заметили, что вредоносная программа использует CertMgr.exe для установки поддельных сертификатов.

Гражданин Латвии из Москвы получил в США 8,5 года за кибервымогательство

В США вынесли приговор Дениссу Золотарёвсу — гражданину Латвии, жившему в Москве и связанному с крупной русскоязычной группировкой вымогателей. Суд назначил ему 102 месяца тюрьмы, то есть 8,5 года, за участие в атаках на компании и вымогательство.

По данным Минюста США, группировка атаковала более 54 организаций и использовала разные названия, включая Karakurt, Royal, TommyLeaks, SchoolBoys и Akira. В её составе, как утверждают американские власти, были бывшие участники Conti.

Роль Золотарёвса описывается не как техническая, а как дожим жертв. Он занимался переговорами и усилением давления на компании, которые отказывались платить. Для этого злоумышленники использовали украденные данные: персональную информацию, корпоративные документы и медицинские сведения.

Один из самых жёстких эпизодов связан с атакой на компанию из сферы детского здравоохранения. По версии следствия, Золотарёвс предлагал публиковать или продавать медицинские данные детей, чтобы запугать будущих жертв и повысить шансы на выплату выкупа.

Финансовый ущерб тоже внушительный. Только по 13 подтверждённым жертвам власти США оценивают потери в 56 млн долларов, а общий ущерб от деятельности группировки может исчисляться сотнями миллионов. Среди последствий атак были остановка работы системы 911 у одной из госструктур, утечки номеров Social Security, дат рождения, домашних адресов и медицинских данных.

Золотарёвса задержали в Грузии в декабре 2023 года, а в августе 2024-го экстрадировали в США.

Напомним, в октябре Ирландия передала США украинца в рамках дела о шифровальщике Conti.

RSS: Новости на портале Anti-Malware.ru