Операторы BlackByte поместили ключ шифрования в открытый доступ

Операторы BlackByte поместили ключ шифрования в открытый доступ

Операторы BlackByte поместили ключ шифрования в открытый доступ

Проведенный в Trustwave анализ показал, что шифровальщик BlackByte обходит стороной страны бывшего СНГ и способен самостоятельно распространяться по сети. Его авторы — скорее всего, любители, так как применяемая ими обфускация тривиальна, а единственный ключ шифрования / расшифровки до недавних пор хранился на общедоступном сервере в виде скрытого файла .PNG.

По имеющимся данным, названный вредонос объявился в интернете в минувшем июле. Исследователи из Trustwave наткнулись на него, разбирая недавнюю атаку на одного из своих клиентов.

Поскольку анализ не выявил признаков родства BlackByte с известными семействами шифровальщиков, эксперты пришли к выводу, что зловред написан с нуля, притом не очень умело. Как оказалось, BlackByte шифрует все файлы одним и тем же ключом AES, загружая его с публичного HTTP-сервера; это позволило специалистам создать декриптор, который уже выложен на GitHub.

Атака BlackByte начинается с установки на машину обфусцированного модуля запуска — Obamka.js. Чтобы затруднить реверс-инжиниринг кода, вирусописатели, по словам Trustwave, используют легко преодолеваемые техники — заполнение файла мусором, смену имен переменных, скремблирование. В настоящее время этот JavaScript-лончер детектируют 26 из 58 антивирусов на VirusTotal.

Единственная задача Obamka.js — расшифровка и запуск в памяти основного модуля зловреда (написанной на .NET DLL).

 

Перед шифрованием вредонос пытается обезвредить Microsoft Defender, обойти AMSI и проверяет наличие других защитных решений (Sandboxie, песочницы Qihoo360, антивирусов Avast и Comodo). Он также умеет отключать и деинсталлировать Raccine — утилиту с открытым исходным кодом, пресекающую попытки шифровальщиков удалить теневые копии Windows.

Примечательно, что вшитый в код BlackByte публичный ключ RSA используется только раз — для зашифровки ключа AES, чтобы вставить итоговый код в записку с требованием выкупа. Этот код жертве предлагается указать в письме при установке контакта с вымогателями.

В сети Tor злоумышленники создали сайт-аукцион для публикации данных, украденных у жертв, но функций, обеспечивающих вывод данных с зараженных машин, у шифровальщика обнаружено не было. Исследователи полагают, что операторы вредоноса пытаются таким образом запугать своих жертв и заставить их платить выкуп.

Самораспространение BlackByte по сети происходит примерно так же, как у Ryuk. Вначале он выжидает 10 секунд, а затем начинает перебирать имена хостов (до 1000) из Active Directory, чтобы удаленно включить компьютеры с помощью магических пакетов (Wake-on-LAN, WoL).

Удостоверившись, что устройство успешно «разбужено», шифровальщик пытается внедрить свою копию и в случае успеха создает запланированное задание на запуск. Этот способ самораспространения, по словам экспертов, достаточно примитивен, но вполне оправдывает себя: в той же сети было найдено еще несколько зараженных машин.

Расследование Trustwave, по всей видимости, вспугнуло стоящую за BlackByte группировку: они убрали ключ шифрования из доступа и ушли в тень.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft: 0-day в SharePoint уже эксплуатируют, патча пока нет

Microsoft в экстренном порядке предупредила всех пользователей SharePoint Server: в продукте обнаружена критическая уязвимость нулевого дня — CVE-2025-53770, получившая почти максимальную оценку по CVSS: 9.8 из 10.

Проблеме дали условное название ToolShell и, по словам Microsoft, она является вариантом уже известной уязвимости CVE-2025-49706.

Патча пока нет, но специалисты уже готовят обновление. Временные рекомендации по защите и обнаружению атак уже опубликованы — и их нужно применять незамедлительно.

По данным Google Threat Intelligence Group, уязвимость уже активно эксплуатируется — атакующие устанавливают веб-шеллы и вытаскивают криптографические ключи с серверов жертв. Это даёт им несанкционированный доступ к инфраструктуре компаний.

Исследователи из Eye Security сообщают как минимум о нескольких десятках скомпрометированных систем — первые атаки произошли вечером 18 июля и утром 19 июля (по центральноевропейскому времени).

Palo Alto Networks (группа Unit42) подтверждает (TXT): эксплуатируются и другие уязвимости в SharePoint — CVE-2025-49704 и CVE-2025-49706, на которые тоже стоит обратить внимание.

Microsoft рекомендует настроить AMSI-интеграцию в SharePoint и развернуть Microsoft Defender на всех SharePoint-серверах. Это должно заблокировать неаутентифицированные попытки эксплуатации.

Комментарий от Mandiant (входит в Google Cloud):

«Организации должны не просто внедрить защиту и установить патч (когда он выйдет), но и сразу исходить из предположения, что система уже могла быть скомпрометирована. Нужно проводить расследование и устранять последствия».

К 20 июля уязвимость уже добавили в реестр активно эксплуатируемых CISA (каталог KEV).

Итог простой: если вы используете SharePoint Server — реагируйте немедленно. Пока патча нет, только быстрая реакция поможет минимизировать ущерб.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru