Американские эксперты втихую взломали ключи шифровальщика Zeppelin

Американские эксперты втихую взломали ключи шифровальщика Zeppelin

Американские эксперты втихую взломали ключи шифровальщика Zeppelin

Специалисты ИБ-компании Unit 221B обнаружили, что ключи шифрования Zeppelin можно получить брутфорсом. По уговору с ФБР полезную находку до недавних пор скрывали от общественности; мера предосторожности позволила двум десяткам жертв восстановить данные без уплаты выкупа.

Зловред Zeppelin, написанный на Delphi, объявился в интернете в конце 2019 года. Он шифрует файлы, используя ARC4 и AES-256 в режиме CBC; для защиты приватных ключей (у каждой жертвы свои, а публичные потом удаляются) используется RSA. Зашифрованным файлам добавляется расширение — три группы по три символа, которое также служит идентификатором жертвы в переговорах о выкупе.

Перед запуском шифратора вредонос определяет установленный по умолчанию язык и местонахождение жертвы (по внешнему IP через обращение на спецсервис). Страны, для которых исполнение откатывается: Россия, Украина, Белоруссия, Казахстан. Завершив шифрование, Zeppelin удаляет свой исполняемый файл.

Три дня назад исследователи опубликовали свою находку, рассказав об уязвимости шифратора, позволяющей добыть нужные ключи брутфорсом. Взлом занимает считаные часы, если этим занимается сотня серверов в облаке; однако весь процесс осложняется тем, что открытые ключи, генерируемые зловредом, существуют в памяти лишь пять минут после завершения шифрования. 

По результатам исследования в Unit 221B был создан Live CD на базе Linux для запуска на зараженных компьютерах с целью извлечения ключей шифрования из памяти. Вывод загружается в кластер из 800 CPU, предоставленный хостером Digital Ocean, который и выполняет брутфорс.

В блоге эксперты пишут, что занялись поиском способов взлома Zeppelin после атак шифровальщика на НКО и благотворительные организации. Об успехе предприятия Unit 221B долгое время знали только правоохранительные органы и некоторые ИБ-эксперты; решение придержать публикацию было принято, чтобы не спровоцировать изменение вредоносного кода — такие случаи уже были, и пришлось бы заново создавать декриптор.

В августе американская CERT опубликовала предупреждение об угрозе Zeppelin, отметив, что операторы шифровальщика могут многократно исполнять его в зараженной сети. Каждый раз появляются новые ID, расширения файлов и уникальные ключи, и вернуть данные становится сложнее.

Вымогательским атакам подвергаются различные бизнес-структуры, оборонные предприятия, образовательные и медицинские учреждения. Первичный доступ к сетям злоумышленники получают, используя слабые пароли к RDP, уязвимость файрволов SonicWall или вредоносные рассылки.

До развертывания Zeppelin хакеры в течение недели или двух проводят разведку в сети, выискивая лакомые цели — такие как хранилища данных и бэкапы. Размеры выкупа (взимается в биткоинах) могут составлять от нескольких тысяч до 1 млн долларов с лишним.

Росавиация предложила ограничить использование пауэрбанков на борту

Росавиация рекомендовала Минтрансу законодательно ограничить использование пауэрбанков на борту самолётов во время полёта. Такие предложения появились по итогам расследования инцидента с возгоранием портативного аккумулятора, произошедшего в феврале.

Отчёт о расследовании инцидента на рейсе «Уральских авиалиний» из Екатеринбурга в Стамбул, где в феврале загорелся пауэрбанк и потребовалась вынужденная посадка, оказался в распоряжении «Известий».

Подобные случаи происходили и ранее: только летом 2025 года было зафиксировано два таких инцидента. В документе отмечается, что в России отсутствует полноценная нормативная база, регулирующая провоз портативных аккумуляторов в багаже и ручной клади.

Этот пробел Росавиация предлагает устранить, введя ограничения или даже полный запрет на использование портативных зарядных устройств на борту воздушных судов в течение всего полёта.

Как сообщили в пресс-службе «Уральских авиалиний» в ответ на запрос «Известий», авиакомпания уже внесла соответствующие изменения в правила перевозки. Аналогичные ответы издание получило от S7 и «Аэрофлота». В «Аэрофлоте» также отметили, что приняли нормы, рекомендованные Международной ассоциацией воздушного транспорта (IATA).

Согласно правилам «Уральских авиалиний», такие устройства нельзя заряжать от бортовой сети самолёта и использовать во время полёта. Кроме того, установлены ограничения по содержанию лития — не более 2 г — и по удельной мощности, которая не должна превышать 100 Вт/ч. В рекомендациях IATA также указано, что подобные устройства нельзя хранить в ручной клади, размещённой на багажных полках.

Ограничения на провоз пауэрбанков уже ввели и многие зарубежные авиакомпании. Среди них — Lufthansa Group, AJet, Azal, Emirates, Pegasus, El Al и другие. Такие меры принимались после расследования инцидентов с возгоранием портативных аккумуляторов во время полётов.

«Рано или поздно ограничительные меры придётся принять, поскольку возможная угроза и её последствия могут оказаться совершенно несопоставимыми с теми неудобствами, которые создают запреты, — прокомментировал инициативу Росавиации председатель Общероссийского объединения пассажиров Илья Зотов. — В ряде стран, например в Китае, подобные ограничения на использование портативных аккумуляторов уже действуют. При этом существенного дискомфорта для пассажиров они не создают, поскольку на борту доступны альтернативные способы зарядки, включая розетки и USB-порты. Таким образом, каких-либо серьёзных сложностей для пассажиров не возникает».

Глава Общественной потребительской инициативы Олег Павлов, напротив, назвал запрет избыточной мерой. По его мнению, более разумным решением стало бы ужесточение сертификации таких устройств с обязательным подтверждением их безопасности.

Между тем сама Росавиация позднее уточнила свою позицию по поводу провоза пауэрбанков:

«Ограничения на провоз таких устройств уже существуют — они регламентируются как международными требованиями в области безопасной перевозки опасных грузов по воздуху, так и правилами авиакомпаний».

В ведомстве также подчеркнули, что рекомендации Уральского МТУ, на которые ссылались «Известия», не носят обязательного характера. Оснований для полного запрета портативных аккумуляторов в Росавиации в настоящее время не видят.

RSS: Новости на портале Anti-Malware.ru