Операторы шифровальщика Maze опубликовали файлы, украденные у Пенсаколы

Операторы шифровальщика Maze опубликовали файлы, украденные у Пенсаколы

Операторы шифровальщика Maze опубликовали файлы, украденные у Пенсаколы

В начале декабря город Пенсакола подвергся атаке программы-вымогателя. В результате местным властям пришлось отключить большую часть систем, поскольку атака затронула электронную почту, телефонные линии и сервисы онлайн-оплаты.

Как только стало известно об инциденте, эксперты предположили, что за кибератакой стояло семейство вредоносных программ, известное под именем Maze.

Операторов Maze от их «коллег» отличает один нюанс — мало того, что все файлы шифруются, так ещё злоумышленники угрожают опубликовать все украденные конфиденциальные данные.

Таким образом, если жертва отказывалась платить выкуп за возврат файлов в прежнее состояние (мог быть свежий бэкап и тому подобное), киберпреступники сливали в Сеть всё, что удалось найти на компьютере пострадавшего пользователя.

Стоящие за Maze операторы создали специальный сайт, на страницах которого разместили список из восьми компаний, отказавшихся заплатить выкуп. Более того, злоумышленники слили 2 Гб файлов, украденных у властей Пенсаколы в ходе последних атак.

Также известно, что киберпреступники запросили у Пенсаколы $1 миллион за расшифровку всех файлов, общий объём которых составляет 32 Гб.

Подпишитесь на новости

В России ограничивают целые сети хостингов: соединение есть, данные не идут

Российские пользователи могут сталкиваться с ограничениями доступа не к отдельным сайтам, а к сетям зарубежных хостинг-провайдеров. К такому выводу пришёл автор под ником msinakaev: он проверил 435 тестовых точек у 154 компаний. Характерный симптом — соединение устанавливается, передаёт немного данных и зависает.

Методику и результаты автор опубликовал на Хабре. Сначала исследователь проверил доступность файлов из Европы, затем повторил тесты из России.

Через домашнее подключение загрузка прошла у 87% точек. Зависшие адреса, по его подсчётам, сгруппировались в 14 сетей, включая OVH, Hetzner, DigitalOcean, Vultr и Scaleway.


Стоит отметить, что небольшой хостинг может арендовать инфраструктуру крупного провайдера и попадать под ограничения вместе с его сетью. У одного бренда разные площадки поэтому могут работать по-разному.


Дополнительные эксперименты привели автора к выводу, что порог зависит от количества пакетов в TCP-соединении, а не от фиксированного объёма данных. После его достижения обмен зависал в обе стороны. Проверенные UDP-подключения в этих опытах продолжали работать.


Исследователь связывает поведение с ТСПУ, но доступа к оборудованию и правилам фильтрации у него нет.

Тем не менее масштаб выводов стоит держать в узде: основные замеры сделаны 5-6 ноября одним человеком на двух подключениях в одном городе, МТС проверялся на небольшой выборке. AWS и Azure в исследование не вошли.

RSS: Новости на портале Anti-Malware.ru