Вымогатель HavanaCrypt распространяется под видом обновлений софта Google

Вымогатель HavanaCrypt распространяется под видом обновлений софта Google

Вымогатель HavanaCrypt распространяется под видом обновлений софта Google

Исследователи из Trend Micro обнаружили новое семейство программ-вымогателей, которые авторы маскируют под приложение Google Software Update. Вредонос получил имя HavanaCrypt, у него есть ряд интересных особенностей.

Во-первых, HavanaCrypt проверяет наличие виртуальной среды и использует IP-адрес хостингового сервиса Microsoft в качестве командного сервера (C2). Это позволяет вымогателю уйти от детектирования.

Кроме того, как показал анализ Trend Micro, HavanaCrypt задействует пространство имён и функцию, которая ставит метод в очередь на выполнение, и использует во время шифрования модули менеджера паролей с открытым исходным кодом.

HavanaCrypt скомпилирован в .NET, а для обфускации применяет решение с открытым исходным кодом — Obfuscar. После выполнения вредонос прячет своё окно, а потом проверяет AutoRun на наличие записи “GoogleUpdate“ и продолжает работу, если такой записи нет.

Далее включаются методы антивиртуализации, состоящие из четырёх стадий:

  • проверка служб, связанных с виртуальными машинами;
  • проверка файлов, связанных с виртуальными машинами;
  • проверка имён файлов, являющихся исполняемыми в виртуальной среде;
  • проверка MAC-адреса устройства.

После того как все проверки пройдены, шифровальщик загружает файл “2.txt“ с веб-хостинга Microsoft, сохраняет его с расширение .bat и запускает. Этот файл содержит инструкции для встроенной антивирусной программы Windows Defender, согласно которым она должна игнорировать сканирование директорий “Windows“ и “User“.

Следующим шагом HavanaCrypt пытается завершить часть работающих процессов, принадлежащих Microsoft SQL Server и MySQL, а также Microsoft Office и Steam. Затем удаляются теневые копии и другой бэкап.

Потом шифровальщик копирует исполняемый файл в папки “ProgramData“ и “StartUp“ и устанавливает им значение «скрытый» и «системный». Файл в формате .bat добавляется в автозагрузку, он содержит функцию, отключающую Диспетчер задач Windows.

В процессе шифрования вредонос добавляет расширение “.Havana“ к пострадавшим файлам. Отсутствие записки с требованием выкупа натолкнуло специалистов Trend Micro на мысль, что шифровальщик всё ещё находится в стадии разработки.

Украли iPhone? Apple советует не светить контакты на экране

Apple обновила рекомендации для владельцев украденных iPhone и добавила неожиданное предупреждение. Если смартфон именно украли, а не потеряли, оставлять на экране блокировки свои контакты не стоит. Раньше компания советовала указывать номер телефона или другое средство связи в режиме пропажи (Lost Mode), чтобы нашедший устройство мог вернуть его владельцу.

Теперь Apple уточняет: этот совет подходит только для потерянных гаджетов. Если же речь идет о краже, контактные данные могут сыграть против владельца.

В корпорации объясняют, что злоумышленники всё чаще используют методы социальной инженерии. Получив номер телефона жертвы, вор может позвонить от имени Apple, мобильного оператора или службы поддержки и попытаться выманить данные для доступа к аккаунту Apple ID.

Apple также напоминает о другой распространенной ошибке. После кражи нельзя удалять устройство из сервиса Find My («Локатор»).

Пока iPhone привязан к аккаунту владельца, действует блокировка активации. Она не позволяет злоумышленнику просто сбросить устройство и перепродать его как новый смартфон. Если удалить аппарат из Find My, этот защитный механизм перестанет работать.

Еще одна рекомендация — как можно быстрее перевести устройство в режим пропажи. В Apple подчеркивают, что функция Stolen Device Protection («Защита украденного устройства») действует ограниченное время и не заменяет Lost Mode.

Купертиновцы также раскрыли одну из популярных схем краж. Мошенник предлагает сфотографировать компанию друзей на чужой iPhone. Пока телефон находится у него в руках, он зажимает кнопки питания и громкости, временно отключая Face ID.

После этого владелец вынужден разблокировать устройство кодом, который злоумышленник может подсмотреть. Остается лишь дождаться удобного момента для кражи смартфона.

RSS: Новости на портале Anti-Malware.ru