Key Wolf: вымогатель безвозвратно шифрует данные российских пользователей

Key Wolf: вымогатель безвозвратно шифрует данные российских пользователей

Key Wolf: вымогатель безвозвратно шифрует данные российских пользователей

Группа Key Wolf атакует российских пользователей. Одноименная программа-вымогатель шифрует все данные на компьютере без возможности восстановления. Зловреда рассылают по электронной почте.

О деструктивных атаках шифровальщика сообщают специалисты по кибербезопасности из компании BI.ZONE. Активность группы Key Wolf заметили в марте. Хакеры распространяют файл с программой-вымогателем, которая шифрует все данные на компьютере.

Важная особенность — у потерпевшего нет возможности дешифровать данные даже за выкуп.

Обычно используют два вида файлов. Их отправляют жертвам, предположительно, на электронную почту. Документы носят названия “Информирование зарегистрированных.exe” и “Информирование зарегистрированных.hta”.

В первом случае самораспаковывающийся архив содержит два файла: gUBmQx.exe и LICENSE.

Во втором — файл gUBmQx.exe, который незаметно для пользователя загружается с файлового обменника Zippyshare в фоновом режиме.

Программа-вымогатель Key Group шифрует данные на жестких дисках, ставит на рабочий стол иллюстрацию с логотипом группировки и выводит на экран сообщение на английском языке. Месседж декларирует цель атаки: уничтожить российские компьютеры. Мошенники предлагают помочь им в этом, отправив деньги на биткоин-кошелек.

“Активность шифровальщиков не утихает последние несколько лет, мы видим появление все новых модификаций подобного вредоносного ПО”, — комментирует новость руководитель управления киберразведки BI.ZONE Олег Скулкин.

Чаще всего шифровальщики атакуют частные компании, но “попадают” и рядовых пользователи, предупреждают эксперты.

Обычно у злоумышленников есть финансовая мотивация, но последнее время вымогателей используют, чтобы вывести компьютерные системы из строя без возможности восстановления. Атака Key Wolf как раз один из таких примеров, подчеркивает Скулкин.

Эксперт компании BI.ZONE также принял участие в последнем эфире AM-Live Threat Hunting: российская практика охоты на киберугрозы. Ведущие специалисты по кибербезопасности обсуждали процесс проактивной охоты и поиска киберугроз. На реальных примерах они рассказывали про удачные сценарии применения этой концепции на практике.

Добавим, накануне стало известно о новом вредоносе, который шпионит за госучреждениями Донбасса и Крыма. Программа CommonMagic делает скриншоты экрана и ворует файлы с USB и активна до сих пор.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

LKRG 1.0.0: модуль защиты ядра Linux стал зрелым и стабильным

Проект Linux Kernel Runtime Guard (LKRG) наконец-то дорос до версии 1.0.0. Этот модуль работает поверх ядра Linux и в реальном времени проверяет его на попытки эксплуатации уязвимостей или признаки подмены, не требуя при этом внесения изменений в само ядро.

Благодаря такому подходу LKRG можно использовать на самых разных версиях Linux — от старых RHEL7 до самых свежих мейнлайновых сборок.

Разработка велась больше семи лет, и теперь команда считает проект зрелым и стабильным. В релизе 1.0.0 особое внимание уделено совместимости с новыми ядрами и повышению надёжности.

LKRG протестирован вплоть до Linux 6.17-rc4, научился корректно работать с изменениями начиная с версии 6.13, а на старых ядрах стал тщательнее проверять атаки на перезапись указателей учётных данных.

Также серьёзно почистили и оптимизировали код — минус полторы тысячи строк, убрано лишнее отслеживание неподтверждённых учётных данных. Добавили поддержку важных функций вроде OverlayFS ovl_tmpfile (актуально для контейнерных нагрузок на ядрах 6.10–6.12), а также совместимость с Intel CET IBT и KCFI на x86_64.

Производительность и стабильность выросли: часть хуков перевели с kretprobes на более простые kprobes, улучшили работу с «теневыми» данными задач, сделали некоторые операции без блокировок, устранили баги с seccomp и валидацией пространств имён. Это снизило число ложных срабатываний и падений.

В LKRG 1.0.0 также улучшена поддержка clang (хотя основной компилятор по-прежнему GCC), добавлены опциональные тесты kprobe для Gentoo, переработано логирование. В CI теперь используется Fedora для тестирования на последних ядрах и новые версии Ubuntu, при этом CentOS 7 поддерживается несмотря на снятие с поддержки.

Итог: LKRG 1.0.0 стал быстрее, стабильнее и совместимее, а сам проект — полноценным инструментом для защиты ядра Linux.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru