Операторы NAS-шифровальщика DeadBolt атакуют российские учебные заведения

Операторы NAS-шифровальщика DeadBolt атакуют российские учебные заведения

Операторы NAS-шифровальщика DeadBolt атакуют российские учебные заведения

Шифровальщик DeadBolt, заточенный под сетевые накопители (NAS), все еще актуален как угроза. Жертвами вымогательства чаще всего становятся представители малого и среднего бизнеса; эксперты Group-IB зафиксировали также несколько атак на ведущие российские вузы и провели анализ образца, полученного в ходе одного из инцидентов.

Вредонос DeadBolt известен не только своей избирательностью, но также тем, что требует выкуп не только у жертвы (0,03-0,05 биткоина, то есть менее $1000 по текущему курсу), но и у производителя NAS-устройств — QNAP или ASUStor (50 BTC за детали используемой уязвимости и мастер-ключ). Необычен также способ передачи ключа расшифровки после уплаты выкупа: жертва получает его в деталях блокчейн-транзакции (внутри кода OP_RETURN).

 

Анализ семпла DeadBolt (файла ELF), полученного при разборе одной из недавних атак, показал, что вредонос написан на Golang и представляет собой 32-битную программу для Linux/ARM. При запуске в режиме шифрования зловред загружает список расширений для поиска и конфигурацию из указанного в командной строке файла JSON (после загрузки перезаписывается нулевыми байтами и удаляется, чтобы предотвратить восстановление содержимого).

Шифрование данных осуществляется с помощью AES-128 в режиме CBC, при этом используется многопоточная обработка. Расшифровка запускается автоматически через веб-интерфейс NAS после ввода ключа, оплаченного жертвой. По завершении процесса вредоносная программа удаляет свои файлы.

Вывода данных при заражении DeadBolt не происходит (операторы шифровальщиков обычно прибегают к краже, чтобы угрожать публикацией в случае неуплаты выкупа). Среди жертв вымогательских NAS-атак числятся представители малого и среднего бизнеса, учебные заведения, физлица; их прописка при этом (страна), похоже, не имеет значения.

Криминальная группировка, стоящая за DeadBolt, активна в интернете как минимум с начала 2022 года. В январе число зараженных устройств исчислялось тысячами, а сейчас уже перевалило за 20 тысяч — по крайней мере, так пишет голландская полиция, которой удалось обманом собрать 155 ключей расшифровки, прежде чем злоумышленники спохватились и усилии контроль платежей.

Вектор атаки DeadBolt долго оставался неизвестным; сами злоумышленники утверждали, что используют уязвимость нулевого дня. В начале прошлого месяца на фоне новой волны атак DeadBolt вышел патч для QTS, подтвердивший гипотезу 0-day (CVE-2022-27593).

Рекомендации Group-IB по защите NAS от подобных атак:

  • не пренебрегать обновлением программного обеспечения / прошивки NAS-устройств;
  • настроить двухфакторную аутентификацию (2FA) в учетной записи администратора;
  • включить SystemConnectionLogs (журнал подключений) на устройстве;
  • настроить отправку событий журналов (системного и SystemConnectionLogs) на удалённый Syslog-сервер;
  • использовать сильные пароли;
  • отключить учетную запись admin и создать отдельный аккаунт с правами администратора;
  • отключить неиспользуемые сервисы (FTP, Telnet и т. п.);
  • переназначить порты основных служб (SSH, FTP, HTTP/HTTPS), заданные по умолчанию;
  • отключить автоматический проброс портов в myQNAPcloud.

Ариша, НейроЖириновский и коты: как ИИ пришёл в политику

Российские партии активно подключают искусственный интеллект к кампании перед выборами в Госдуму. Нейросети уже рисуют агитационные картинки, создают ролики, ведут подкасты и объясняют избирателям партийные инициативы.

«Единая Россия» выпускает видео с цифровыми ведущими. Одна из них в русском народном костюме рассказывает, как проголосовать через «Госуслуги», другая объясняет новые законы.

КПРФ запустила виртуальную ведущую Аришу, которая рассуждает о ценах на бензин, кредитах и цифровых ограничениях, убедились «Ведомости».

ЛДПР продолжает развивать «НейроЖириновского» и публикует сгенерированные изображения основателя партии. На одном из них Жириновский в футбольной форме бьет мячом по коррупции, бедности и чиновникам.

«Справедливая Россия» иллюстрирует нейросетями еженедельные дайджесты и партийную газету. «Новые люди» сопровождают инициативы картинками с котами-молодоженами и самокатчиками. Партия пенсионеров пошла еще дальше: у нее появились робот Иван Иванович и цифровая внучка Варя, которая ведет подкаст.

Но красивые картинки — лишь верхушка. ИИ используют для анализа больших массивов данных, сценарного планирования, мониторинга общественного мнения и подготовки ответов на фейки.

При этом сами партии стараются не переборщить. Избирателей раздражает слишком очевидный нейроконтент, особенно когда он выглядит стерильно и ненатурально. Эксперты отмечают: плохая генерация не нравится никому, а голосовать за партию только из-за виртуальной ведущей люди вряд ли побегут.

RSS: Новости на портале Anti-Malware.ru