Обнаружен Python-шифровальщик, нацеленный на серверы Jupyter Notebook

Обнаружен Python-шифровальщик, нацеленный на серверы Jupyter Notebook

Обнаружен Python-шифровальщик, нацеленный на серверы Jupyter Notebook

В ханипот-ловушку Aqua Security попался незнакомый шифровальщик, написанный на Python. Как оказалось, новоявленный зловред ориентирован на корпоративные окружения, использующие среду разработки Jupyter Notebook.

Это интерактивное веб-приложение с открытым исходным кодом предназначено для работы с данными. Продукт позволяет создавать и запускать коды на разных языках программирования, визуализировать результаты анализа, обмениваться блокнотами и публиковать их в интернете. Среди пользователей софта числятся Microsoft, IBM, Google, Oracle, а также ряд американских ВУЗов.

Найденный образец шифровальщика был похож на других Python-собратьев (об одном из них, нацеленном на VMware ESXi, рассказала Sophos в октябре прошлого года). Не исключено, что автор зловреда попросту позаимствовал чьи-то исходники и приспособил их для своих нужд.

Анализ также показал, что это не полнофункциональный шифровальщик; так, аналитики не нашли свидетельств существования записки с требованием выкупа. В Aqua полагают, что им попался тестовый семпл — либо время соединения с ловушкой истекло до завершения атаки. Тем не менее, эксперты уверены, что это не вайпер: зловред не стирает данные и не пытается вывести их на сторонний сервер.

Вредоносная атака начинается с поиска возможностей для взлома: пользователь Jupyter Notebook может допустить ошибку при настройке веб-приложения или упустить из виду защиту доступа. Для проверки уязвимости сервера злоумышленники также пытаются дистанционно загрузить на него текстовый файл с именем f1gl6i6z (в папку /tmp).

Этот файл содержит единственное слово — bl*t, которое навело исследователей на мысль, что авторами атаки могут быть русскоязычные хакеры. Такой же файл аналитики из Aqua не раз находили ранее при разборе атак криптоджекеров на серверы с установленным софтом Jupyter.

Взломав уязвимое приложение брутфорсом, автор атаки открывает шелл-доступ к серверу, используя соответствующую функцию Jupyter Notebook, затем загружает на него необходимые инструменты (напрмер, шифраторы), вручную создает вредоносный скрипт (вставкой Python-кода) и запускает его на исполнение. Итоговый зловред шифрует каждый файл в заданной папке с помощью пароля, также выбранного вручную, и по завершении процесса удаляет себя из системы.

 

В комментарии для SecurityWeek представитель Aqua отметил, что они обнаружили в интернете свыше 11 тыс. серверов с Jupyter Notebooks. Некоторые из них могут оказаться ловушками, однако остальные потенциально уязвимы для подобных атак.

Поскольку интерактивная платформа Jupyter используется для анализа данных и построения моделей данных, новый Python-шифровальщик может причинить большой ущерб организациям, пренебрегающим резервным копированием. Эксперты рекомендуют защитить Jupyter Networks адекватной аутентификацией, ограничить права пользователям, использовать SSL для передачи данных и отключить интернет-доступ к таким серверам — или организовать его через VPN.

В России придумали, как сохранить домены для иностранных компаний

Группа «Рунити», в которую входят «Руцентр», «Рег.ру», «Рег.облако», SpaceWeb и другие компании, собирается к лету запустить сервис, который должен упростить регистрацию доменов в России для иностранных компаний. Об этом на Russian Internet Governance Forum рассказал глава группы Андрей Кузьмичев.

По сути, речь идёт об аналоге trustee-сервиса. Это схема, при которой местная компания формально становится держателем домена, а реальный владелец управляет им на основании договора.

Такой механизм давно используется в странах, где национальные домены можно регистрировать только при наличии местного присутствия — например, в Австралии, Сингапуре, Италии и Франции.

Для России это новая история. До сих пор иностранные компании могли напрямую регистрировать домены в зонах .RU, .РФ и .SU. Но ситуация меняется: с 1 сентября 2026 года в стране должно заработать новое требование — верификация владельца домена через ЕСИА. А вот отдельный порядок для иностранных компаний в проекте правил пока не прописан.

Именно на этом фоне и появляется идея нового сервиса. Предполагается, что он поможет нерезидентам сохранить возможность администрировать домены в российских зонах, даже если прямое подключение к ЕСИА для них окажется слишком сложным. Заодно, по задумке разработчиков, это должно усложнить жизнь мошенникам, которые нередко прячутся именно за иностранной регистрацией.

По словам Андрея Кузьмичева, сейчас «Рунити» работает над интерактивной процедурой идентификации клиентов. То есть сервис, судя по всему, будет не просто формальной прокладкой, а ещё и инструментом проверки тех, кто хочет воспользоваться этой схемой.

По данным Технического центра Интернет на 6 апреля 2026 года, в России зарегистрировано 6,1 млн доменов в зоне .RU, 647 тысяч в зоне .РФ и ещё 80 тысяч в зоне .SU. Только в зоне .RU насчитывается около 2 млн администраторов доменов, и хотя подавляющее большинство из них — российские владельцы, часть доменов всё же зарегистрирована на нерезидентов.

Отдельная проблема — сама подготовка рынка к новым правилам. Как отметил глава «Рунити», сложность не только в технологии, но и в том, чтобы вообще донести до администраторов доменов мысль: теперь личность придётся подтверждать через ЕСИА. За десятилетия в доменных базах накопилось много устаревших данных: у кого-то старый паспорт, у кого-то изменился адрес регистрации, а кто-то, возможно, давно не вспоминал, что его данные вообще нужно обновлять.

RSS: Новости на портале Anti-Malware.ru