Хакеры обходят защиту от шифровальщиков, используя WinRAR

Хакеры обходят защиту от шифровальщиков, используя WinRAR

Хакеры обходят защиту от шифровальщиков, используя WinRAR

Операторы нового шифровальщика, именующие себя «команда Memento», придумали, как блокировать файлы в тех случаях, когда жертва использует спецзашиту от таких вредоносов. Разбор октябрьских атак в Sophos показал, что во избежание таких помех взломщики теперь архивируют целевые данные с помощью WinRAR и устанавливают пароль на доступ.

В сети мишеней Memento проникает, используя эксплойт CVE-2021-21972 для VMware vCenter. Патч для этой RCE-уязвимости вышел еще в феврале, однако далеко не все пользователи удосужились его установить.

Закрепившись на взломанном сервере, злоумышленники создают SSH-туннель, извлекают учетные данные админа и начинают продвигаться по сети, используя RDP. Закончив рекогносцировку, хакеры тщательно стирают следы своей деятельности с помощью утилиты BCWipe и запускают шифровальщика.

 

Этот написанный на Python 3.9 зловред вначале архивировал файлы с помощью WinRAR, а затем шифровал их по AES. Однако последнее действие зачастую вызывало срабатывание антивирусной защиты, заточенной под такое поведение, и Memento пришлось скорректировать свой код.

Теперь вредонос не использует шифратор, он только пускает в ход WinRAR, присваивая итогам расширение .vaultz. Для каждого архива генерируется пароль, который затем шифруется с использованием RSA.

Оригиналы архивированных файлов удаляются, а на рабочий стол админа помещается записка с требованием выкупа — суммарно 15,95 BTC (около $1 млн) или 0,099 BTC за каждый документ. Формат и текст этого послания, по словам Sophos, позаимствованы у REvil, для связи закеры предлагают контакты в Telegram и Protonmail.

Жертвы атак, попавших в поле зрения экспертов, выкуп не платили — восстановили свои файлы из резервных копий, заранее побеспокоившись о создании бэкапа.

Яндекс Банк завис во время акции с 100% кешбэком

Вечерняя акция «Яндекс Банка» с обещанием 100% кешбэка обернулась для клиентов разочарованием. По словам пользователей, платёжные сервисы банка зависли ровно в разгар акции — и именно тогда, когда многие уже стояли на кассах.

Речь идёт об акции «Полный кешбэк» через «Яндекс Пэй», в рамках которой банк обещал вернуть всю сумму любой покупки, совершённой 29 декабря с 20:25 до 20:30. Пользователи заранее пришли в магазины, заняли очереди и ждали заветного времени старта.

Однако, как пишет «Хабр», уже в 20:26 операции по картам «Яндекса» перестали проходить. По словам клиентов, оплата не работала около трёх минут и восстановилась лишь ближе к концу пятиминутного окна акции. В результате часть покупателей просто не смогла воспользоваться предложением.

 

Почти сразу после этого форумы и каналы поддержки «Яндекса» наполнились жалобами. Пользователи писали о неработающих картах, сорванных покупках и упущенном кешбэке.

Позже «Яндекс Банк» прокомментировал ситуацию, объяснив сбой резким ростом нагрузки на системы, и принёс извинения клиентам за доставленные неудобства.

Будет ли банк как-то компенсировать неудачную акцию тем, кто не успел оплатить покупки, пока не сообщается.

RSS: Новости на портале Anti-Malware.ru