Шифровальщик Diavol вернулся, сменив визуальные IoC

Шифровальщик Diavol вернулся, сменив визуальные IoC

Шифровальщик Diavol вернулся, сменив визуальные IoC

После долгого перерыва на VirusTotal вновь стали множиться образцы вымогательской программы Diavol. Анализ новейших из них показал, что вредонос стал 64-битным, сменил имя записки с требованием выкупа и добавляемое расширение, но файлы шифрует по-прежнему — с помощью XOR и RSA.

В ИБ-сообществе считают Diavol творением создателей TrickBot, влившихся в сообщество Conti. После распада преступного синдиката сторонний шифровальщик затих, а теперь, видимо, возобновил атаки. Специалисты по реверс-инжинирингу изучили новые семплы и пришли к выводу, что в некоторых случаях восстановление файлов все еще возможно.

В рамках обновления операторы зловреда изменили расширение, добавляемое к зашифрованным файлам, — вместо прежнего .lock64 используется .bully. Записка, оставляемая на машине жертвы, теперь именуется WARNING.txt (на самом деле новое название файла всплыло еще в ноябре прошлого года, а текст в нынешнем виде появился в минувшем июне).

Система шифрования данных осталась прежней — XOR + RSA, но она настолько необычна, что исследователи разобрали ее и в мартовском блоге, и сейчас. Перед началом процесса Diavol генерирует и сохраняет в теле ключ длиной 2048 байт для выполнения операций XOR над данными (уникален для каждой жертвы, но один для всех ее файлов).

Затем вредонос начинает в цикле дробить файлы на блоки по 2048 байт, отбрасывая остаток. После этого ко всем считанным блокам применяется XOR, итог записывается обратно в обрабатываемые файлы.

 

В конец файла записываются XOR-ключ, зашифрованный по RSA (публичный ключ хранится в коде зловреда), а также объем обработанных данных — число также кодируется разовым прогоном XOR.

К сожалению, это еще не все. Завершив первый этап, вредонос возвращается к началу файла и начинает считывать блоки 0x75 байт, шифровать их по RSA с возвратом результата в тот же файл, но без добавления ничего не значащих данных (паддинга).

Такой способ шифрования, по мнению исследователей, вселяет надежду. Получив XOR-ключ, можно без особого труда вернуть содержимое многих файлов — за исключением первых 1170 байт, которые придется отстраивать заново.

Напомним, жертвы Diavol могут также воспользоваться бесплатным декриптором, который уже доступен на сайте No More Ransom.

Минфин предложил ограничить внесение наличных через банкоматы

Министерство финансов предложило ввести лимит на внесение наличных через терминалы и банкоматы: не более 1 млн рублей в месяц на одного человека. Соответствующие поправки в закон «О банках и банковской деятельности» уже направлены на согласование в Банк России и Росфинмониторинг.

О готовящихся изменениях сообщил источник «Интерфакса». Сейчас каких-либо ограничений на такие операции не существует.

В пояснительной записке к законопроекту отмечается, что через внесение крупных сумм наличных в банковскую систему могут попадать средства с неустановленным происхождением. Новые меры, по замыслу авторов инициативы, должны снизить этот риск.

Кроме того, Минфин предлагает запретить регистрацию наличных расчетов между физическими и юридическими лицами, если сумма одной сделки превышает 5 млн рублей или если совокупный объем таких операций за месяц достигает 50 млн рублей. Ограничения планируется распространить в том числе и на сделки с недвижимостью.

Реализация этих изменений потребует серьезной доработки банковских систем и бизнес-процессов. Поэтому в случае принятия закон вступит в силу лишь через 180 дней после завершения всех процедур в Федеральном Собрании и подписания документа президентом.

«Интерфакс» связывает появление инициативы с призывами усилить контроль за оборотом наличных, которые озвучил президент Владимир Путин на заседании Совета по стратегическому развитию и национальным проектам в декабре 2025 года. Тогда же вице-премьер Александр Новак говорил о подготовке плана по «обелению» экономики, предусматривающего, в частности, рост доли безналичных расчетов.

Ранее, с 1 сентября 2025 года, Банк России уже предоставил банкам право ограничивать выдачу наличных при возникновении сомнений в характере операций. Перечень признаков таких операций был расширен с 1 января.

RSS: Новости на портале Anti-Malware.ru