Новый шифровальщик Dark Power за месяц проник в 10 организаций

Новый шифровальщик Dark Power за месяц проник в 10 организаций

Новый шифровальщик Dark Power за месяц проник в 10 организаций

По данным Trellix, операторы новоявленного вымогателя не имеют географических и иных предпочтений. Сумма выкупа, который они требуют за ключ расшифровки, довольно скромна — $10 тысяч в монеро: в случае неуплаты злоумышленники грозят опубликовать или продать данные, которые якобы были украдены из атакованной сети.

Первые атаки Dark Power были зафиксированы в конце прошлого месяца, на тот момент на его сайте утечек в сети Tor числилось 10 жертв — организации разного профиля из восьми стран. Анализ семпла (уровень детектирования 44/68 на 27 марта) показал, что шифратор зловреда был скомпилирован 29 января.

Новая вымогательская программа не рекламируется в даркнете; не исключено, что это закрытый проект. Успех дебютанта отчасти объясняется выбором языка программирования; вредонос написан на Nim, который позволяет ускорить работу кода, проводить атаки на разных платформах, а также обходить антивирусы: вредоносы на этом языке программирования — пока редкость.

Вектор заражения Dark Power пока неясен. Для шифрования он использует AES в режиме CRT, при создании ключа каждый раз генерирует новую строку из 64 случайных символов ASCII (строчные буквы). К имени зашифрованных файлов добавляется расширение .dark_power.

Аналитики выявили две разные схемы формирования ключа. В одном случае создается хеш ASCII-строки (по SHA-256), и результат делится надвое: первая половина — собственно ключ AES, вторая — вектор инициализации (нонс). Второй вариант зловреда использует хеш-сумму SHA-256 как ключ и фиксированное 128-битное значение в качестве нонса.

Перед запуском шифратора вредонос, оперируя вшитым списком, завершает ряд процессов, чтобы высвободить файлы для шифрования. Он также останавливает Windows-службу теневого копирования томов (VSS), сервисы резервного копирования данных и антивирусную защиту.

Прибив заданные процессы, Dark Power затихает на 30 секунд, а затем очищает консоль и системные журналы, чтобы затруднить анализ с целью восстановления данных. Важные для работы ОС файлы зловред не трогает; после шифрования в каждой папке с обработанными данными создается записка с требованием выкупа.

Жертве предлагается в течение трех суток перевести средства на указанный XMR-кошелек. В качестве контакта для связи злоумышленники указали qTox ID. Формат записки Dark Power необычен: это 8-страничный документ PDF.

 

В минувшие выходные сайт утечек вымогателей в Tor был недоступен. Исследователи из Trellix обнаружили на нем имена жертв, прописанных в США, Франции, Израиле, Турции, Чехии, Алжире, Египте и Перу. Специализация у них различна: сельское хозяйство, образование, здравоохранение, ИТ, промышленное производство.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Правительство утвердило новые правила управления рунетом

Премьер-министр Михаил Мишустин подписал постановление правительства №1667, которое заменит действующие правила 2020 и 2023 годов. Документ вступит в силу 1 марта 2026 года.

Постановление №1667 было подписано 27 октября, однако опубликовано на официальных ресурсах лишь вечером 7 ноября. Срок его действия установлен на шесть лет — до 1 марта 2032 года.

Как отмечает издание «Код Дурова», ключевым нововведением документа стало расширение перечня угроз для безопасности интернета в России. Теперь к ним относятся не только технические сбои, но и нарушения российского законодательства — например, противодействие блокировкам или «затруднение ограничения доступа» к запрещённой информации.

В список угроз также включены:

  • использование подменных номеров для телефонных звонков;
  • деятельность хостинг-провайдеров, не входящих в реестры Минцифры или нарушающих закон «Об информации»;
  • использование несертифицированных средств связи;
  • работа платформ (сайтов, мессенджеров), предоставляющих услуги связи без идентификации абонентов.

Ещё одно важное изменение касается распределения ответственности за эксплуатацию технических средств противодействия угрозам (ТСПУ). Теперь за их работу отвечают не только Роскомнадзор, но также ФСБ и Минцифры. При этом, как отмечает «Российская газета», Роскомнадзор остаётся основным координатором системы централизованного управления сетями.

В документе появились и некоторые послабления. В частности, операторам связи разрешено временно отключаться от ТСПУ в случае сбоев или некорректной работы оборудования — до завершения рассмотрения жалобы или устранения неисправностей. Ранее такой возможности у операторов официально не было.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru