Вымогатель LokiLocker наказывает неплательщиков, стирая их файлы

Вымогатель LokiLocker наказывает неплательщиков, стирая их файлы

Вымогатель LokiLocker наказывает неплательщиков, стирая их файлы

Специалисты BlackBerry изучили LokiLocker — шифровальщика для Windows, предоставляемого в пользование в качестве услуги (Ransomware-as-a-Service, RaaS). Исследование подтвердило, что зловред обладает функциями вайпера, которые он пускает в ход, когда оператор выберет соответствующую опцию.

В рамках этой функциональности LokiLocker стирает все несистемные файлы и перезаписывает MBR на диске, а также пытается вызвать «синий экран смерти» (BSoD). Созданный на основе вредоноса RaaS-сервис работает с ограниченным доступом: воспользоваться им могут только проверенные лица — таких партнеров на настоящий момент выявлено около 30.

Активность LokiLocker (не путать с шифровальщиком Locky из арсенала Evil Corp и инфостилером LokiBot) ИБ-эксперты наблюдают с августа прошлого года. Зловред похож на LockBit, но назвать его прямым потомком пока никто не отважился.

Ранние версии LokiLocker (видимо, пробные) распространялись через взломанные инструменты брутфорса — PayPal BruteCheck, Spotify BruteChecker, PiaVNP Brute Checker, FPSN Checker. Хакеры обычно используют их для проверки актуальности баз учетных данных и получения доступа к аккаунтам по методу credential stuffing (с помощью списков краденых логинов и паролей).

Проведенный в BlackBerry анализ показал, что для защиты кода авторы написанного на .NET зловреда использовали коммерческий инструмент NETGuard, а для шифрования его файлов — плагин KoiVM. Вредонос умеет прибивать мешающие ему процессы и сервисы, а также отключать Диспетчер задач, отчеты об ошибках Windows, брандмауэр и Microsoft Defender. Более того, жертву лишают всякой возможности вернуть данные — щифровальщик удаляет файлы бэкапа, теневые копии, точки восстановления Windows и тщательно чистит корзину.

Из других IoC примечательны подмена регистрационного окна экрана и появление имени LokiLocker в системном реестре — в записи с информацией о производителе оборудования (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\OEMInformation).

 

Шифрование файлов осуществляется с использованием AES-256 в режиме GCM и RSA-2048 (для защиты ключа AES); поиск нужных объектов проводится путем сканирования локальных и подключенных сетевых дисков. После обработки к имени файла добавляется новое расширение — чаще всего .Loki.

Папки с зашифрованными файлами переименовываются, в каждой создается файл с требованием выкупа (обычно Restore-My-Files.txt или info.hta). В этом сообщении приведены адреса email для связи; жертву также предупреждают: если биткоины не поступят в назначенный срок, все ее файлы будут удалены.

География заражений LokiLocker, по данным BlackBerry, весьма разнообразна, с наибольшей концентрацией таких очагов в Восточной Европе и Азии. Прописку авторов шифровальщика установить не удалось — несмотря на то, что в коде встречаются строки с фразами на безупречном английском языке. Некоторые аффилиаты RaaS-сервиса подключаются из Ирана; эта страна также оказалась единственной в списке исключений, которым шифровальщик, судя по всему, пока не пользуется.

Бесплатного декриптора для данной угрозы не существует, но BlackBerry все равно не советует платить выкуп: он далеко не всегда гарантирует восстановление файлов. К тому же злоумышленники могут не удовлетвориться взломом одной системы и развить свой успех, используя ее как точку входа в сеть.

35% компаний увеличили бюджеты на ИИ — больше, чем на кибербезопасность

Российский бизнес окончательно перестал воспринимать облака как модный эксперимент. Теперь главный вопрос звучит иначе: где запускать ИИ, как управлять несколькими облаками одновременно и кто поможет всё это не сломать.

К таким выводам пришли авторы исследования «Облачные тренды в корпоративном секторе России 2026», подготовленного VK Tech совместно с Apple Hills Digital, Cloud.ru и Selectel.

Главный герой отчёта — искусственный интеллект. Уже 24% компаний запустили ИИ-нагрузки в облаке, а ещё 22% находятся на стадии пилота или планируют стартовать в течение ближайшего года. В сумме получается, что почти половина российского бизнеса так или иначе движется в сторону облачного ИИ.

Более того, ИИ впервые стал главным направлением роста ИТ-бюджетов. В 2026 году 35% компаний увеличили расходы именно на проекты, связанные с искусственным интеллектом. Это больше, чем на кибербезопасность, которая традиционно считалась одним из главных получателей новых инвестиций.

Самым популярным вариантом оказались опенсорс-модели, доступные как сервис. Их используют 37% клиентов облачных провайдеров. За ними следуют ИИ-агенты и дообученные большие языковые модели — по 27%.

При этом выяснилась любопытная деталь. Несмотря на хайп вокруг ИИ, большинство компаний по-прежнему вынуждены разбираться с ним самостоятельно. По данным исследования, 41% организаций получают от провайдера только вычислительные мощности и инфраструктуру, а внедрением искусственного интеллекта занимаются своими силами. Лишь 10% активно используют экспертизу облачного провайдера.

Меняется и сам рынок облаков. Уже 58% компаний работают сразу с двумя или более облачными платформами. Но при этом 57% продолжают управлять такой инфраструктурой вручную. А зрелые практики контроля облачных расходов внедрила только каждая десятая компания.

Авторы исследования отмечают, что рынок перешёл в новую фазу. Споры о том, нужны ли облака, практически закончились. Теперь компании решают более сложные задачи: как эффективно использовать ИИ, как не потеряться в мультиоблачной среде и как не превратить растущие ИТ-бюджеты в бесконтрольные расходы.

Похоже, что в 2026 году облака стали обычной частью корпоративной жизни. А новым полем битвы между провайдерами постепенно становится уже не инфраструктура, а искусственный интеллект и сервисы вокруг него.

RSS: Новости на портале Anti-Malware.ru