Вредонос Hive окончательно перешел на Rust и сменил подход к шифрованию

Вредонос Hive окончательно перешел на Rust и сменил подход к шифрованию

Вредонос Hive окончательно перешел на Rust и сменил подход к шифрованию

Опасения ИБ-экспертов сбылись: Windows-версию Hive тоже переписали на Rust; в результате шифровальщик стал работать быстрее, надежнее и повысил устойчивость к анализу. Новые образцы вредоноса, разобранные в Microsoft, также используют другой, более сложный метод шифрования.

Шифровальщик Hive, предоставляемый пользование как услуга (RaaS), объявился в интернете немногим более года назад. Вредоносный код на тот момент был написан на Go и заточен под Windows. Осенью зловреда портировали на Linux — не совсем удачно, поэтому позднее шифратор в этой версии был переписан на Rust.

Эксперимент оправдал себя, и наблюдатели из ИБ-сообщества предрекли, что нововведение, ранее опробованное на примере BlackCat/ALPHV, перекочует в Windows-версию Hive. По словам экспертов, использование Rust в данном случае дает такие преимущества, как безопасность по памяти, типам данных и потокам, полный контроль над низкоуровневыми ресурсами, многопоточность, широкий выбор криптобиблиотек, осложнение реверс-инжиниринга.

Первые образцы Windows-версии Hive на Rust, как показало исследование, были загружены на VirusTotal 21 февраля — через пару дней после публикации отчета корейских специалистов, которым удалось получить мастер-ключ зловреда. В ходе анализа семплов в Microsoft выяснилось, что Hive теперь использует другие алгоритмы шифрования: Диффи-Хеллмана для эллиптических кривых и ChaCha20 (прежде применялась связка AES+RSA).

Обновленный вредонос генерирует в памяти два набора ключей, пускает их в ход, затем шифрует и записывает в формате .key в корневой каталог диска с зашифрованными данными — вместо того чтобы вставлять их в обработанные файлы, как ранее. Чтобы не путать ключи к разным файлам, их имена изменяются: к оригинальному полному имени добавляются имя релевантного файла .key, знак подчеркивания, дефис и закодированная по base64 строка, указывающая на два разных блока данных в key-файле. Результат может выглядеть следующим образом: C:\myphoto.jpg.l0Zn68cb _ -B82BhIaGhI8.

 

В рамках апгрейда вирусописатели также опробовали построчное шифрование кода как меру противодействия анализу. Содержимое секции ресурсов .rdata расшифровывается во время выполнения программы — через XOR с константами, значения которых в семплах могут различаться.

Еще одно нововведение, тоже ожидаемое: учетные данные для доступа жертв к персонализированным страницам в сети Tor теперь, как и в Linux-версии Hive, передаются как аргумент командной строки (-u <логин>:<пароль>). Прежде они были вшиты в код зловреда, и аналитики могли извлечь их и следить за ходом переговоров о выкупе.

Существенный апгрейд Hive — еще одно доказательство того, что в мире шифровальщиков все быстро меняется. В этом месяце стало известно о прекращении операций AstraLocker — вымогатели выложили в общий доступ дешифраторы, решив заняться криптоджекингом. Освободившуюся нишу сразу занял новичок RedAlert, способный атаковать и Windows, и Linux (серверы VMWare ESXi).

Киберпротект выпустил Кибер Бэкап 18.5. Упор на рост производительности

Вышла новая версия системы резервного копирования и восстановления «Кибер Бэкап» 18.5. Это функциональный релиз, в который разработчик традиционно включил большое количество нововведений. В этой версии «Киберпротект» сосредоточился на повышении производительности, защите виртуальных и контейнерных сред, а также интеграции с системами мониторинга.

Кроме того, появились неизменяемые копии с повышенной защитой от вайперов и шифровальщиков. Как сообщил вендор, ключевым изменением релиза стало многопоточное резервное копирование.

Эта функция должна дать наибольший эффект при работе с файловыми хранилищами и базами данных, прежде всего PostgreSQL и его производными, включая российские решения.

Система может обрабатывать до 24 потоков одновременно, что позволяет как минимум втрое увеличить скорость резервного копирования и восстановления в таких сценариях. Пока многопоточность настраивается через редактирование конфигурационного файла, однако в одной из следующих версий эту возможность планируют вынести в графический интерфейс.

В текущем релизе также добавлена поддержка российской системы виртуализации «Горизонт-ВС», в том числе на уровне гипервизора в безагентском режиме. Таким образом, общее число поддерживаемых платформ виртуализации достигло 20, из них 14 — российские. Кроме того, появилась возможность работы с аппаратными моментальными снимками СХД Yadro Tatlin.Unified для виртуальных машин под управлением zVirt. Улучшена и поддержка некоторых функций Kubernetes — в частности, меток в веб-консоли, что упрощает гранулярное восстановление.

В состав релиза вошли инструменты, упрощающие нативную интеграцию с системами мониторинга Prometheus и Loki. Также разработана базовая контрольная панель для Grafana с возможностью гибкой кастомизации и использования пользовательских метрик. В одной из ближайших версий разработчик обещает добавить полноценную интеграцию с Zabbix и другими решениями для мониторинга ИТ-инфраструктуры.

Кроме того, появилась поддержка защищённого протокола LDAPS для всех служб каталогов, с которыми работает «Кибер Бэкап». Для Linux-агентов теперь доступны отдельные установочные пакеты. Работу по разделению единого инсталлятора разработчик планирует продолжить и в дальнейшем.

«Кибер Бэкап 18.5 — это шаг в сторону корпоративных заказчиков с крупной, сложной и растущей инфраструктурой, которым важны эффективная защита данных и технологическая независимость. Мы кратно увеличили производительность системы за счёт реализации файловой многопоточности и одновременно проработали ключевые сценарии защиты нагруженных виртуальных сред в полностью отечественном стеке. Интеграция с системами мониторинга, расширенный API и безопасная работа со службами каталогов делают «Кибер Бэкап» удобным, предсказуемым и масштабируемым инструментом для ИТ-команд любого размера», — прокомментировал выход релиза Дмитрий Антонов, директор направления систем резервного копирования «Киберпротекта».

RSS: Новости на портале Anti-Malware.ru