Новый шифратор LockBit Green заимствует код у Conti

Новый шифратор LockBit Green заимствует код у Conti

Новый шифратор LockBit Green заимствует код у Conti

Грозный вымогатель вновь изменил свой шифратор. Анализ образцов вариации LockBit Green показал, что ее создатели воспользовались утечкой исходных кодов сгинувшего Conti.

Вредонос LockBit обновляет свой шифратор далеко не первый раз. Изначально код был кастомный, но по мере развития проекта в него вносились изменения, пока не появился LockBit 3.0 (LockBit Black) с шифратором на основе исходников BlackMatter.

По данным Group-IB, в настоящее время шифровальщик LockBit возглавляет список киберугроз этого класса. О новом приобретении одноименного RaaS-сервиса (Ransomware-as-a-Service, вымогатель как услуга) — версии Green — первой узнала команда аналитиков VX-Underground.

После ее твита ИБ-исследователи начали искать образцы на VirusTotal и в других аналогичных источниках. Одну из таких находок изучил аналитик, известный в Twitter как CyberGeeksTech, и пришел к выводу, что шифратор LockBit Green позаимствован у Conti.

ИБ-компания PRODAFT тоже расшарила хеши нескольких семплов вместе с новым Yara-правилом. Экспертам, по свидетельству BleepingComputer, удалось также выявить пять жертв новобранца.

Тестирование образца LockBit Green из коллекции PRODAFT подтвердило сходство шифратора с кодом Conti. Прежней осталась лишь записка с требованием выкупа.

 

Специалисты BleepingComputer также обнаружили еще одно приметное изменение: вместо .lockbit к имени зашифрованных файлов теперь добавляется произвольное расширение (случайный набор букв и цифр).

Почему RaaS-сервис LockBit решил сменить исправно работающий шифратор, доподлинно неизвестно. В PRODAFT полагают, что одной из причин может являться удобство для бывших участников группировки Conti: по наблюдениям, версия Green пришлась им по вкусу.

Летом прошлого года преступный синдикат, которому на Западе склонны приписывать российские корни, свернул свои операции из-за повышенного внимания со стороны ИБ-сообщества и правоохраны. Внутренняя переписка и коды Conti, включая шифратор, были слиты в Сеть, кибербанда распалась, а исходники подхватили конкуренты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Депутат Антропенко предупредил о фишинговых сайтах по продаже икры

В преддверии новогодних праздников злоумышленники заметно увеличили число фишинговых сайтов, предлагающих купить икру и морепродукты. Такие ресурсы привлекают низкими ценами, а их оформление зачастую почти не отличается от легитимных интернет-магазинов.

Об усилении мошеннической активности РИА Новости рассказал член комитета Госдумы по промышленности и торговле Игорь Антропенко. По его словам, количество поддельных сайтов, продающих икру и морепродукты, растёт по мере приближения праздников.

«С учетом развития интернета мошенникам сегодня не составляет труда создать фишинговый сайт и связанные с ним страницы в соцсетях, наполнив их привлекательными изображениями. Всё это создает иллюзию работы легитимного магазина», — отметил депутат.

Согласно статистике МВД, покупатели таких фейковых магазинов рискуют получить вместо товара брак, фальсификат или даже пустую коробку. По-прежнему распространена схема, когда мошенники запускают сайт на ограниченное время, собирают деньги с покупателей, после чего «клон» магазина бесследно исчезает.

«Если всё же возникает желание заказать что-то в неизвестном магазине, никогда не стоит заранее сообщать реквизиты банковских карт и оплачивать товар до его получения. И хочу напомнить: будьте осторожны при покупке икры “на вес”, поскольку во многих случаях не соблюдаются условия хранения и транспортировки такого продукта», — предостерёг Игорь Антропенко.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru