Сбои в работе сервисов Apple могут быть связаны с кибератаками на Россию

Сбои в работе сервисов Apple могут быть связаны с кибератаками на Россию

Треки не проигрываются, погода не отображается, обновления не приходят, а из App Store исчез ProtonVPN. Сбои в работе сервисов Apple начались накануне. Проблемы могут быть связаны с атаками на российскую инфраструктуру.

“Непогода” с российским Apple разыгралась в четверг утром. У многих пользователей сервисы отказывали или работали произвольно. Например, у одного оператора музыка от Apple не показывала обложку альбома или не проигрывала треки. На другом — всё работало как обычно.

В это же время на устройствах Apple отказалось работать приложение для обхода блокировок — ProtonVPN. Журналист Anti-Malware.ru успел зайти в App Store и обновить программу — через несколько часов приложение исчезло из российского магазина.

Proton VPN нельзя больше найти через поиск, а при переходе по прямой ссылке пользователей встречает строка статуса "Приложение недоступно в вашем регионе". В прессе появилось предположение, что Apple сама удалила швейцарский VPN из своего магазина.

(Напомним, Роскомнадзор заявил о блокировке Proton и еще шести VPN-сервисов в начале июля. О том, что на самом деле произошло, мы писали в материале Кому выгодна блокировка Proton в России).

“Обновленный” ProtonVPN до сих пор не подключается на смартфоне журналиста Anti-Malware.ru.

Сегодня утром в профильных Telegram-каналах стали появляться сообщения, что работу сервисов Apple штормит не по инициативе государства или собственно Apple. Причина — массированные кибератаки на российскую инфраструктуру.

Вчера в 9 утра началась масштабная атака на российскую инфраструктуру: затронуты банки, мобильные операторы, РЖД и другии компании, комментирует цепочку событий для Mobile-Review.com ведущий аналитик Mobile Research Group Эльдар Муртазин.

“Учитывая, что все более-менее работает, а сбои одиночные и краткосрочные, можно сказать, что с атакой инфраструктура справляется”, — добавляет эксперт.

По словам Муртазина, никто не готов публично комментировать ситуацию, так как “сам факт атак негативно сказывается на бизнесе и воспринимается как слабость”.

Неработоспособность или частичная работоспособность сервисов от Apple — следствие таких атак, считает эксперт. Уровень вредоносной активности по сравнению с мартом значительно вырос, на защиту от действий злоумышленников тратят значительные ресурсы.

“Их не блокируют, но в тех сетях, где атакующие маскируются под сервисы от Apple, они могут попадать в стоп-лист. Работа нормализуется, когда атаки схлынут. Либо у вас есть выбор — использовать VPN-клиент, тогда никаких проблем вы наблюдать не будете”, — добавляет Муртазин.

В пользу этой версии говорит и вчерашний крупный сбой в работе Сбербанк.Онлайн. Пользователи не могли войти в приложение, не работал кол-центр. Проблему решили за два часа.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Шифровальщик Diavol вернулся, сменив визуальные IoC

После долгого перерыва на VirusTotal вновь стали множиться образцы вымогательской программы Diavol. Анализ новейших из них показал, что вредонос стал 64-битным, сменил имя записки с требованием выкупа и добавляемое расширение, но файлы шифрует по-прежнему — с помощью XOR и RSA.

В ИБ-сообществе считают Diavol творением создателей TrickBot, влившихся в сообщество Conti. После распада преступного синдиката сторонний шифровальщик затих, а теперь, видимо, возобновил атаки. Специалисты по реверс-инжинирингу изучили новые семплы и пришли к выводу, что в некоторых случаях восстановление файлов все еще возможно.

В рамках обновления операторы зловреда изменили расширение, добавляемое к зашифрованным файлам, — вместо прежнего .lock64 используется .bully. Записка, оставляемая на машине жертвы, теперь именуется WARNING.txt (на самом деле новое название файла всплыло еще в ноябре прошлого года, а текст в нынешнем виде появился в минувшем июне).

Система шифрования данных осталась прежней — XOR + RSA, но она настолько необычна, что исследователи разобрали ее и в мартовском блоге, и сейчас. Перед началом процесса Diavol генерирует и сохраняет в теле ключ длиной 2048 байт для выполнения операций XOR над данными (уникален для каждой жертвы, но один для всех ее файлов).

Затем вредонос начинает в цикле дробить файлы на блоки по 2048 байт, отбрасывая остаток. После этого ко всем считанным блокам применяется XOR, итог записывается обратно в обрабатываемые файлы.

 

В конец файла записываются XOR-ключ, зашифрованный по RSA (публичный ключ хранится в коде зловреда), а также объем обработанных данных — число также кодируется разовым прогоном XOR.

К сожалению, это еще не все. Завершив первый этап, вредонос возвращается к началу файла и начинает считывать блоки 0x75 байт, шифровать их по RSA с возвратом результата в тот же файл, но без добавления ничего не значащих данных (паддинга).

Такой способ шифрования, по мнению исследователей, вселяет надежду. Получив XOR-ключ, можно без особого труда вернуть содержимое многих файлов — за исключением первых 1170 байт, которые придется отстраивать заново.

Напомним, жертвы Diavol могут также воспользоваться бесплатным декриптором, который уже доступен на сайте No More Ransom.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru