Вышел бесплатный декриптор для жертв шифровальщика LockerGoga

Вышел бесплатный декриптор для жертв шифровальщика LockerGoga

Вышел бесплатный декриптор для жертв шифровальщика LockerGoga

Специалисты Bitdefender создали универсальный декриптор для восстановления данных, зашифрованных вредоносом LockerGoga. Доступ к инструменту предоставляется на безвозмездной основе.

В анонсе ИБ-компании сказано, что новая разработка — результат совместных усилий Bitdefender, Европола, проекта NoMoreRansom, а также прокуратуры и полиции Цюриха. Утилиту можно скачать из первоисточника или на сайте nomoreransom.org.

Создатели декриптора предусмотрели возможность автоматизированного поиска и обработки нужных файлов (с расширением .locked) в корпоративной сети. Инструмент при этом запускается из консоли и работает в фоновом режиме. На случай возникновения проблем с расшифровкой пользователю предоставлена опция резервного копирования файлов, которая по умолчанию включена.

Шифровальщик LockerGoga впервые появился на интернет-арене в январе 2019 года и приобрел широкую известность после разрушительной атаки на Norsk Hydro. Преступная группа, применявшая также MegaCortex и Dharma, была ликвидирована в октябре 2021 года стараниями Европола, Евроюста и правоохраны нескольких стран.

К этому времени на счету LockerGoga и Ко числилось более 1,8 тыс. жертв заражения; совокупный ущерб от деятельности вымогателей оценен в $104 миллиона. В ходе трансграничной операции были проведены 12 арестов и изъяты носители, на которых хранились закрытые ключи для расшифровки файлов.

Оператора LockerGoga заключили под стражу до суда, который состоится в Цюрихе. Поскольку ОПГ прекратила свое существование, новый декриптор предназначен в основном тем, кто отказался платить вымогателям и предпочел ждать шанса вернуть свои файлы без выкупа.

Согласно сообщению швейцарской прокуратуры, можно ожидать, что в скором времени появится также бесплатный декриптор для MegaCortex.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Хактивисты BO Team атакуют госсектор России через фишинг и удалённый доступ

С середины 2024 года в России фиксируются кибератаки на госсектор и бизнес со стороны группы хактивистов под названием BO Team. Они действуют довольно изощрённо — используют целевой фишинг и приёмы социальной инженерии, чтобы получить доступ к внутренним системам.

Кто такие BO Team

Группу ещё называют Black Owl, Lifting Zmiy или Hoody Hyena. О ней впервые стало известно в начале 2024 года — хактивисты публиковали заявления через Telegram.

 

Судя по их действиям, основной интерес — разрушение ИТ-инфраструктуры жертвы, иногда с добавлением вымогательства и шифрования данных. Бьют по крупным целям — государственным учреждениям и большим компаниям из сферы ИТ, связи и производства.

Как начинается атака

Как отмечается в отчёте «Лаборатории Касперского», атакующие рассылают письма с вредоносными вложениями. Если кто-то из сотрудников открывает файл — запускается цепочка заражения. В результате в систему попадает бэкдор, то есть программа для скрытого удалённого управления компьютером. Чаще всего — DarkGate, BrockenDoor или Remcos.

Фишинг подаётся очень правдоподобно. Например, хакеры могут прикинуться настоящей компанией, которая занимается автоматизацией техпроцессов — логично, ведь такие фирмы часто взаимодействуют с потенциальными жертвами. Кроме того, используют и другие подставные «отправители», чтобы сделать письмо ещё более убедительным.

 

Чем прикрываются

Чтобы не вызвать подозрений, вредоносный файл может сопровождаться документом-приманкой. Например, PDF с якобы коммерческим предложением от вымышленной организации. Бывает, что вместе с этим открывается веб-страница настоящего онлайн-сервиса проверки контрагентов — и на ней действительно есть информация о «псевдокомпании», от имени которой пришло письмо. Всё это делается, чтобы снизить настороженность у получателя.

Что происходит после заражения

Когда хакеры получают доступ, они стараются не светиться. Используют стандартные средства Windows, маскируют вредоносные файлы под обычные системные, закрепляются в системе через задачи, запускающиеся по расписанию, и используют взломанные учётки сотрудников для повышения прав доступа.

Какой вред наносят

На следующем этапе злоумышленники удаляют резервные копии, уничтожают виртуальные машины, затирают данные с помощью утилит вроде SDelete. Иногда поверх этого ещё и запускают шифровальщик, чтобы потребовать выкуп.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru