Новый вымогатель LockFile применяет частичное шифрование для обхода защиты

Новый вымогатель LockFile применяет частичное шифрование для обхода защиты

Новый вымогатель LockFile применяет частичное шифрование для обхода защиты

Новое семейство программ-вымогателей, получившее имя LockFile, оказалось не таким простым, как могло показаться на первый взгляд. Проанализировав этот шифровальщик, эксперты пришли к выводу, что его авторы реализовали целый ряд разных уловок для обхода защитных систем. Одной из ключевых особенностей LockFile стало использование «прерывистого шифрования».

Буквально неделю назад мы писали об операциях LockFile, который взял на мушку серверы Microsoft Exchange. Группировка, управляющая этой программой-вымогателем, получила то же имя.

Недавние атаки LockFile рассчитаны на эксплуатацию связки уязвимостей, известной под общим названием — ProxyShell. Также вредонос использует вектор атаки PetitPotam для проникновения в сети организаций.

Чтобы избежать детектирования современными антивирусными средствами, LockFile прибегает к интересной тактике: программа-вымогатель шифрует лишь каждые 16 байтов файла, что можно назвать частичным или прерывистым шифрованием.

«Операторы вредоносных программ используют частичное шифрование для ускорения процесса. Ранее мы наблюдали такое поведение, например, у BlackMatter, DarkSide, а теперь этой техникой обзавёлся и LockFile», — объясняет Марк Ломан из Sophos.

«Тем не менее есть нечто, что отличает LockFile от других похожих зловредов — он не шифрует первые несколько блоков документа, а фокусируется лишь на каждых 16 байтах. Таким образом, текстовые файлы будут частично читаемы и даже выглядеть при этом как оригинальные».

«Такой подход может быть очень полезным, если нужно уйти от обнаружения защитными программами, заточенными под детектирование шифровальщиков».

Специалистам Sophos удалось изучить поведение относительно нового семейства программ-вымогателей благодаря образцу, который попал на площадку VirusTotal 22 августа 2021 года.

Мантуров: Механизм управления объектами КИ не подразумевает национализацию

Российские власти смогут вводить временное управление на критически важных объектах, владельцы которых игнорируют требования безопасности. Первый вице-премьер Денис Мантуров заверил, что массовой кампании и национализации не намечается: решения будут принимать точечно и на самом высоком уровне.

Соответствующий указ Владимир Путин подписал 24 августа. Механизм можно задействовать, если собственник не принимает или несвоевременно принимает меры безопасности, а его бездействие создаёт риски для целой отрасли.

По словам Мантурова, сначала федеральные органы будут указывать владельцам на проблемы и помогать их устранять. Если собственник продолжит делать вид, что всё под контролем, государство сможет временно забрать управление, организовать защиту предприятия от атак и восстановить его работу.

В перечень попали объекты топливно-энергетического комплекса, промышленности, связи, энергетики, транспорта, логистики, коммунальной инфраструктуры и систем жизнеобеспечения.

Управление может распространяться на имущество, ценные бумаги и имущественные права предприятия. При этом временный управляющий не получает права распоряжаться имуществом, например продавать его.

Расходы на управление планируют покрывать за счёт доходов самого объекта. Вернуть контроль собственнику правительство сможет также по поручению президента.

Власти объясняют появление механизма участившимися атаками на критическую инфраструктуру. Иными словами, частный статус больше не станет аргументом в споре о безопасности: если объект важен для отрасли, а хозяин ничего не делает, государство намерено вмешаться. Подробности у РБК.

RSS: Новости на портале Anti-Malware.ru