Шифровальщик BlackByte тоже научился воровать документы из сети

Шифровальщик BlackByte тоже научился воровать документы из сети

Шифровальщик BlackByte тоже научился воровать документы из сети

Авторы атак с участием BlackByte начали использовать новый кастомный инструмент — Exbyte. В Symantec изучили новинку и выяснили, что она позволяет выгружать данные из Windows-систем на удаленный сервер и столь же умело уклоняется от анализа, как и сам шифровальщик.

Операторы вымогательских программ обычно прибегают к эксфильтрации данных в рамках схем двойного шантажа — чтобы угрожать публикацией в случае неуплаты выкупа за дешифратор. Кибергруппа, стоящая за BlackByte, создала с этой целью сайт еще в прошлом году, однако кражи информации из сетей, зараженных зловредом, на тот момент замечено не было.

Теперь, согласно Symantec, у злоумышленников появился необходимый инструмент; его использует как минимум один аффилиат RaaS-сервиса на основе BlackByte. Анализ показал, что Exbyte написан на Go и выводит краденые файлы в облачное хранилище MEGA.

При запуске вредонос выполняет ряд проверок, чтобы предотвратить анализ кода: вызывает функции IsDebuggerPresent и CheckRemoteDebuggerPresent, ищет процессы и DLL-файлы, ассоциируемые с песочницами и антивирусами. Такие же тесты, по словам экспертов, проводит BlackByte, но уже после вывода данных.

Если среда исполнения оказывается приемлемой, Exbyte перечисляет все документы в системе (.txt, .doc, .pdf и т. п.) и сохраняет список в %APPDATA%\dummy. Сами файлы зловред выгружает на Mega.co.nz, создавая папку и используя вшитые в код учетные данные.

В недавних атаках BlackByte, попавших в поле зрения Symantec, хакеры использовали уязвимости ProxyShell и ProxyLogon, а для горизонтального перемещения по сети — AdFind, AnyDesk, NetScan и PowerView. Внедряемый шифровальщик версии 2.0 пытался отключить драйверы режима ядра, используемые EDR, удалить теневые копии Windows, открыть удаленный доступ через настройки брандмауэра и выполнить основную задачу, работая в памяти scvhost.exe.

Аналитики не преминули отметить, что Exbyte — не единственный кастомный инструмент вывода данных. В прошлом году были обнаружены Exmatter, привлекший внимание BlackCat, и StealBit; аналогичный инфостилер некогда использовал также Ryuk.

Мужчина доказал измену жены с помощью камеры робота-пылесоса

Житель Тайваня доказал измену жены с помощью камеры робота-пылесоса, отсудил компенсацию, а затем сам получил пять месяцев тюрьмы за незаконную съёмку. Мужчина заподозрил супругу после того, как нашёл чужую зубную щётку в их загородном доме. Записи с камеры на парковке показали человека, который ранее подвозил его жену.

Через три месяца мужчина попытался связаться с супругой через приложение робота-пылесоса и увидел в трансляции того же гостя.

Камера устройства записала, как жена переодевается, ложится с мужчиной в кровать и ходит по дому обнажённой. Владелец сохранил видео и предъявил его суду как доказательство романа.

Сама измена на Тайване не считается уголовным преступлением, однако нарушение супружеских прав может стать основанием для денежной компенсации. Мужчина потребовал 2 млн тайваньских долларов, но получил 500 тыс. — около $19 тыс.

После этого жена подала встречный иск. Она заявила, что интимные кадры были записаны без её согласия, а датчики и индикаторы пылесоса не давали понять, что ведётся съёмка. Муж утверждал, что суд уже принял видео как доказательство, а значит, оно допустимо.

Суд с такой логикой не согласился. Использовать запись в гражданском деле оказалось можно, но незаконный способ её получения никуда не исчез. Право на неприкосновенность частной жизни признали более значимым, чем супружеские обязанности.

В итоге мужчина получил пять месяцев заключения и штраф 150 тыс. тайваньских долларов — 30% от выигранной компенсации.

RSS: Новости на портале Anti-Malware.ru