Новый шифровальщик GwisinLocker атакует как Windows, так и Linux ESXi

Новый шифровальщик GwisinLocker атакует как Windows, так и Linux ESXi

Новый шифровальщик GwisinLocker атакует как Windows, так и Linux ESXi

Новое семейство программ-вымогателей, получившее имя “GwisinLocker”, атакует организации сферы здравоохранения, а также промышленный сектор и фармацевтические компании. Вредонос может шифровать, как Windows, так и Linux, включая поддержку серверов VMware ESXi и виртуальных машин.

Автором нового шифровальщика является киберпреступная группировка Gwisin (с корейского переводится как «призрак»). Эксперты не могут с уверенностью сказать, из какой страны эта группировка, однако нет никаких сомнений, что участники хорошо знают корейский язык.

Более того, атаки совпадают с корейскими праздниками и проходят в ранние утренние часы по южнокорейскому времени. Впервые о Gwisin заговорили в прошлом месяце.

Интересно, что Windows-версию шифровальщика разобрали специалисты Ahnlab, а образец вредоноса для Linux описывают в отчете исследователи из компании ReversingLabs.

Когда GwisinLocker атакует Windows, цепочка заражения начинается с запуска инсталляционного файла MSI, которому требуются специальные параметры командной строки для корректной загрузки встроенной DLL. Именно эта библиотека выступает в качестве шифровальщика.

Необходимость запуска с параметрами затрудняет анализ специалистам в области кибербезопасности. Для обхода детектирования антивирусом вредоносная DLL внедряется в системные процессы Windows.

Иногда конфигурация включает параметр, запускающий программу-вымогатель в безопасном режиме. В этом случае вредонос копирует себя в подпапку ProgramData, устанавливается как служба и перезагружается в безопасном режиме.

Linux-версия заточена под шифрование виртуальных машин VMware ESXi. Два параметра командной строки задают режимы шифрования:

  • -h, —help — отображает справку
  • -p, --vp — выдает список путей для шифрования (разделены запятой)
  • -m, --vm — завершает процессы виртуальной машины (если «1», то останавливаются службы, если «2» — процессы)
  • -s, --vs — время режима сна до шифрования (в секундах)
  • -z, --sf — пропускает шифрование ESXi-файлов
  • -d, --sd — самоуничтожение после завершения задачи
  • -y, --pd — записывает текст в конкретный файл
  • -t, --tb — входит в цикл, если время Unix равно четырём часам с начала эры Unix (Unix epoch).

Вымогатель также завершает несколько Linux-демонов, а затем активирует шифрование с симметричным ключом AES и SHA256-хешированием.

Интересно, что каждая атака кастомизирована, включая указание имени атакованной компании в записке с требованием выкупа, а также использование уникального расширение, которое добавляется к именам затронутых файлов.

Госдума не захотела проверять эффективность блокировки Telegram

Попытка поднять в Госдуме вопрос о целесообразности ограничений против Telegram закончилась ничем. Депутаты не поддержали предложение КПРФ запросить у Минцифры и Роскомнадзора информацию об эффективности и обоснованности блокировки популярного мессенджера.

Как сообщает «Коммерсантъ», за поручение проголосовали всего 73 парламентария. Для принятия решения требовалось минимум 226 голосов. При этом большинство депутатов предпочли вообще не участвовать в голосовании.

Поводом для инициативы стало обращение предпринимателя Константина Малофеева, который ранее раскритиковал ограничения в отношении Telegram. По его мнению, блокировка мессенджера является имитацией безопасности, а борьба с приложениями на телефонах граждан не решает реальных проблем.

Один из авторов предложения, депутат от КПРФ Сергей Обухов, заявил, что парламентарии хотели получить от профильных ведомств более подробные объяснения.

По его словам, депутаты до сих пор не располагают полной информацией о том, какие именно претензии предъявляются Telegram и почему ограничения продолжают действовать.

«Они нарушают? Хорошо, покажите. Мы до сих пор не имеем полноценной информации о том, что, когда и где идет навстречу, а где нет», — пояснил Обухов.

Однако глава думского комитета по информационной политике Сергей Боярский встретил инициативу без энтузиазма. Он назвал ее популистской и напомнил, что ограничения в отношении интернет-платформ вводятся за невыполнение требований законодательства, которое сама Госдума принимала еще в 2017 году.

По мнению Боярского, выглядит странно ситуация, когда парламент просит ведомства объяснить причины исполнения законов, ранее принятых самим парламентом.

В итоге вопрос даже не приблизился к полноценному обсуждению. Голосов оказалось недостаточно, а идея запросить официальные разъяснения у регуляторов поддержки не получила.

RSS: Новости на портале Anti-Malware.ru