Вымогатель LokiLocker наказывает неплательщиков, стирая их файлы

Вымогатель LokiLocker наказывает неплательщиков, стирая их файлы

Вымогатель LokiLocker наказывает неплательщиков, стирая их файлы

Специалисты BlackBerry изучили LokiLocker — шифровальщика для Windows, предоставляемого в пользование в качестве услуги (Ransomware-as-a-Service, RaaS). Исследование подтвердило, что зловред обладает функциями вайпера, которые он пускает в ход, когда оператор выберет соответствующую опцию.

В рамках этой функциональности LokiLocker стирает все несистемные файлы и перезаписывает MBR на диске, а также пытается вызвать «синий экран смерти» (BSoD). Созданный на основе вредоноса RaaS-сервис работает с ограниченным доступом: воспользоваться им могут только проверенные лица — таких партнеров на настоящий момент выявлено около 30.

Активность LokiLocker (не путать с шифровальщиком Locky из арсенала Evil Corp и инфостилером LokiBot) ИБ-эксперты наблюдают с августа прошлого года. Зловред похож на LockBit, но назвать его прямым потомком пока никто не отважился.

Ранние версии LokiLocker (видимо, пробные) распространялись через взломанные инструменты брутфорса — PayPal BruteCheck, Spotify BruteChecker, PiaVNP Brute Checker, FPSN Checker. Хакеры обычно используют их для проверки актуальности баз учетных данных и получения доступа к аккаунтам по методу credential stuffing (с помощью списков краденых логинов и паролей).

Проведенный в BlackBerry анализ показал, что для защиты кода авторы написанного на .NET зловреда использовали коммерческий инструмент NETGuard, а для шифрования его файлов — плагин KoiVM. Вредонос умеет прибивать мешающие ему процессы и сервисы, а также отключать Диспетчер задач, отчеты об ошибках Windows, брандмауэр и Microsoft Defender. Более того, жертву лишают всякой возможности вернуть данные — щифровальщик удаляет файлы бэкапа, теневые копии, точки восстановления Windows и тщательно чистит корзину.

Из других IoC примечательны подмена регистрационного окна экрана и появление имени LokiLocker в системном реестре — в записи с информацией о производителе оборудования (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OEMInformation).

 

Шифрование файлов осуществляется с использованием AES-256 в режиме GCM и RSA-2048 (для защиты ключа AES); поиск нужных объектов проводится путем сканирования локальных и подключенных сетевых дисков. После обработки к имени файла добавляется новое расширение — чаще всего .Loki.

Папки с зашифрованными файлами переименовываются, в каждой создается файл с требованием выкупа (обычно Restore-My-Files.txt или info.hta). В этом сообщении приведены адреса email для связи; жертву также предупреждают: если биткоины не поступят в назначенный срок, все ее файлы будут удалены.

География заражений LokiLocker, по данным BlackBerry, весьма разнообразна, с наибольшей концентрацией таких очагов в Восточной Европе и Азии. Прописку авторов шифровальщика установить не удалось — несмотря на то, что в коде встречаются строки с фразами на безупречном английском языке. Некоторые аффилиаты RaaS-сервиса подключаются из Ирана; эта страна также оказалась единственной в списке исключений, которым шифровальщик, судя по всему, пока не пользуется.

Бесплатного декриптора для данной угрозы не существует, но BlackBerry все равно не советует платить выкуп: он далеко не всегда гарантирует восстановление файлов. К тому же злоумышленники могут не удовлетвориться взломом одной системы и развить свой успех, используя ее как точку входа в сеть.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Депутат Немкин назвал важной мерой усиление ответственности для дропов

Член Комитета Госдумы по информационной политике Антон Немкин назвал инициативу по введению уголовной ответственности за дропперство (посредничество при выводе средств, похищенных киберпреступниками и мошенниками) давно ожидаемым шагом.

Как отметил парламентарий в комментарии для «РИА Новости», без участия дропов большинство мошеннических схем просто не работает. В некоторых случаях, по его словам, их роль является ключевой.

Именно дропы, по словам Антона Немкина, обеспечивают вывод похищенных средств, что позволяет организаторам преступлений оставаться вне поля зрения правоохранительных органов. В результате каждый, кто соглашается участвовать в такой цепочке, становится её соучастником.

Последствия, как предупредил депутат, могут быть серьёзными уже сейчас, даже до вступления закона в силу: от блокировки банковских счетов до уголовного преследования. Прецеденты уже имеются. Так, в Санкт-Петербурге два человека были осуждены на три года лишения свободы с возмещением ущерба пенсионеру, у которого телефонные мошенники похитили почти 4 млн рублей. Осуждённые участвовали в обналичивании этих средств.

«Важно понимать: дроп — это не просто "исполнитель по глупости". Даже если человек не знает всей схемы и "просто дал карту за процент" — он становится участником преступной группы. Это не административное правонарушение, а соучастие в серьёзных преступлениях, включая мошенничество, отмывание денег и содействие кибератакам. Введение уголовной ответственности закроет эту "серую зону" и сделает наказание более чётким и неотвратимым», — подчеркнул Антон Немкин.

Законопроект о введении уголовной ответственности за участие в дропперских схемах уже поддержан правительственной комиссией и в ближайшее время будет внесён в Госдуму.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru