Вымогатель Ryuk обрел функции самораспространения по локальным сетям

Вымогатель Ryuk обрел функции самораспространения по локальным сетям

Вымогатель Ryuk обрел функции самораспространения по локальным сетям

Выявлена версия шифровальщика Ryuk, способная самостоятельно распространяться на другие Windows-устройства в локальной сети. Для запуска копий вредоносного кода на пораженных машинах создается запланированное задание.

Самоходный образец Ryuk обнаружили в начале текущего года исследователи из Национального управления по вопросам безопасности информационных систем Франции (Agence Nationale de la Sécurité des Systèmes d'Information, ANSSI). Анализ показал (PDF), что новый вариант зловреда собран из разнородных opensource-компонентов, перекомпилирован и забэкдорен.

При запуске обновленный Ryuk пытается скопировать себя на все компьютеры, доступные по сети через Windows-сервис вызова удаленных процедур (RPC). Чтобы отыскать их, вредонос генерирует все возможные варианты IP-адресов и отсылает на них пинг-запросы IMCP.

Более того, он также пытается добраться до устройств в дежурном режиме, используя списки, загруженные в кеш ARP из маршрутизаторов подсетей. По всем адресам, обнаруженным в ARP-таблице, шифровальщик рассылает пакет WOL (Wake-on-LAN) — эту технику дистанционного включения устройств по сети Ryuk освоил год назад. Если на найденных таким образом устройствах открыты ресурсы совместного доступа, зловред пытается подключить их, чтобы зашифровать содержимое.

Запуск копий Ryuk (rep.exe или lan.exe), расселившихся по сети, осуществляется путем создания запланированной задачи с помощью Windows-утилиты schtasks.exe. Механизмов блокировки повторного заражения у новой версии нет.

Поскольку ее распространение на другие узлы осуществляется посредством использования аккаунта привилегированного пользователя домена, этот процесс можно приостановить заменой пароля. Можно также отключить этот аккаунт, а затем сменить пароль к сервисной учетной записи KRBTGT в Active Directory. Не исключено, что такая мера, по свидетельству ANSSI, приведет к дестабилизации служб KDC (Kerberos Distribution Center) в домене и, возможно, потребует перезапуска многих устройств, однако дальнейшее распространение инфекции будет остановлено.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Линус Торвальдс назвал патчи Google для RISC-V в Linux мусором

Линус Торвальдс снова высказался в своём фирменном стиле — на этот раз в адрес инженера Google из команды Android, Пальмера Даббелта. Поводом стали патчи для архитектуры RISC-V, предложенные в Linux Kernel 6.17, который сейчас находится в стадии merge window.

Торвальдс резко раскритиковал не только качество кода, но и время его отправки:

«Нет. Это мусор, и он пришёл слишком поздно. Я просил присылать пул-реквесты заранее, потому что я в поездке. Если вы не можете следовать этому правилу, то хотя бы делайте пул-реквесты качественными».

По его словам, изменения включали «всякий хлам», не относящийся к RISC-V, в общие заголовочные файлы ядра. И, как подчеркнул Торвальдс, «это то, что никто никогда не должен мне присылать — тем более поздно в merge window».

Фактически он посоветовал Даббелту перенести правки на следующий релиз — Linux Kernel 6.18 — вместо того, чтобы пытаться «додавить» их в текущий.

Хотя формально merge window не запрещает отправку новых изменений, негласное правило простое: код в этот период должен быть полностью готов и чист. В этот раз, по мнению Торвальдса, условие нарушено, поэтому его резкая реакция вряд ли стала неожиданностью для сообщества.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru