Шифровальщик Magniber начал маскироваться под обновление Windows 11

Шифровальщик Magniber начал маскироваться под обновление Windows 11

Шифровальщик Magniber начал маскироваться под обновление Windows 11

В конце апреля эксперты Qihoo 360 Technology зафиксировали новую волну атак, нацеленных на засев Magniber; злоумышленники предлагали владельцам Windows 10 совершить апгрейд. Спустя месяц появились вредоносные пакеты, развивающие эту легенду: шифровальщик начал атаковать Windows 11 под видом обновления для этой ОС.

По свидетельству Qihoo 360, способы распространения Magniber остались прежними. Его раздают с различных форумов, пиратских и порносайтов через ссылки на сторонние сетевые диски. Изменились только имена вредоносных файлов; теперь они называются win10-11_system_upgrade_software.msi, иногда — covid.warning.readme.xxxxxxxx.msi.

Динамика атак шифровальщика в мае в версии китайских специалистов по ИБ выглядит следующим образом:

 

Анализ новейших семплов показал, что сама вредоносная программа почти не изменилась. Она по-прежнему способна заражать разные версии Windows, а используемый метод шифрования (AES + RSA-2048) оставляет мало надежды на создание бесплатного декриптора.

К зашифрованным файлам Magniber добавляет расширение — случайный набор символов. Для каждой жертвы в сети Tor создается отдельная страница. Если выкуп не уплачен в назначенный срок, onion-ссылка деактивируется. Тем, кто совершит платеж в течение пяти дней, предлагаются скидки — с них возьмут только 0,09 биткоина (около $2850 по текущему курсу); по истечении этого срока сумма удваивается.

В конце прошлого года распространители Magniber внедряли его через уязвимости в Internet Explorer. В январе они вооружились эксплойтами для Microsoft Edge и Google Chrome и выдавали зловреда за приложение для браузера, используя файлы .appx с действующим сертификатом.

Банки и корпорации чаще строят ИБ-решения сами, а не покупают у вендоров

Российские компании и банки, особенно крупные, всё чаще разрабатывают решения в области информационной безопасности собственными силами. Основной причиной такого подхода становится недовольство продуктами с открытого рынка: ряд участников прямо заявляет, что не готов приобретать сторонние решения из-за их несоответствия внутренним требованиям.

Эта тенденция явно проявилась на форуме «Территория безопасности», организованном группой ComNews.

Так, вице-президент «Т-Банка» Дмитрий Гадарь рассказал об опыте разработки SIEM-системы силами ИТ-департамента. Специалисты по ИБ подключились позже — уже на этапе создания правил корреляции и других функциональных модулей.

По словам Гадаря, около 90% пользователей системы составляют ИТ-специалисты: «Мы переводим в SIEM процессы управления инцидентами по данным, внутренний фрод, а также систему, предотвращающую попадание фродерских мобильных устройств в продукты. Это уже сервис для бизнеса, а не только для информационной безопасности. Для нас SIEM — гибкий инструмент».

Директор по информационной безопасности «Райффайзен Банка» Георгий Руденко среди причин перехода к собственной разработке назвал экономику и функциональность. В ряде случаев создание решений внутри компании обходится дешевле, чем покупка. Кроме того, критически важные функции в коммерческих продуктах иногда приходится ждать годами. В качестве примера он привёл внутреннюю платформу управления уязвимостями.

«ИБ-продукты — это ключевой инструмент защиты интеллектуальной собственности и ноу-хау, обеспечивающих конкурентные преимущества. Чем выше уровень защищённости бизнеса, тем выше его прибыль и привлекательность для инвесторов», — отметил директор дирекции по экономической безопасности «Диайпи», советник заместителя генерального директора по безопасности — начальника СЭБ «Трубной металлургической компании» (ТМК) Александр Савостьянов.

О собственных разработках и внедрении ИБ-инструментов также рассказали представители VK и Wildberries&Russ. В их числе — решения классов SIEM и ASPM.

Даже относительно небольшие компании идут по этому пути. Например, в HeadHunter, по словам директора по информационным технологиям и кибербезопасности Татьяны Фомичёвой, используются собственные инструменты защиты контейнерной инфраструктуры, хотя в целом компания по-прежнему опирается на тиражные решения.

При этом объём разработок, выполненных внутренними командами крупных компаний, по итогам 2025 года лишь незначительно уступил выручке независимых вендоров. Как отмечает президент ассоциации «Руссофт» Валентин Макаров, кэптивные разработчики уже создают серьёзную конкуренцию рынку — и эта конкуренция не всегда идёт ему на пользу.

RSS: Новости на портале Anti-Malware.ru