Арсенал шифровальщика LockBit дополнили модулем для macOS-устройств

Арсенал шифровальщика LockBit дополнили модулем для macOS-устройств

Арсенал шифровальщика LockBit дополнили модулем для macOS-устройств

Неделю назад на VirusTotal был загружен ZIP-файл, который при проверке был опознан как LockBit. Вредоносный архив содержит набор шифраторов: 16 экзешников ELF и один Mach-O. Анализ показал, что последний — это тестовый образец, которому не хватает ряда функций для правильной работы.

Шифровальщик LockBit до сих пор использовался, и крайне успешно, для атак на корпоративные серверы Windows, Linux и ESXi. Обнаруженный экспертами бандл был создан 20 марта: по состоянию на 17 апреля его распознают 36 из 63 антивирусов из коллекции VirusTotal.

Новый набор шифраторов зловреда нацелен в основном на Linux/ESXi/FreeBSD и поддерживает ряд CPU-архитектур: ARM/AArch, MIPS64, SPARC, s390x, PowerPC. Файл Mach-O ориентирован на новейшие «яблочные» компьютеры на чипах Apple Silicon (M1) и пока плохо детектится (9/60 на 17 апреля).

Проведенный в BleepingComputer анализ содержимого файла Mach-O показал, что в коде присутствуют строки, неуместные для macOS-зловреда. Так, в нем обнаружен список из 65 расширений и имен файлов-исключений, ассоциируемых с Windows. Кроме того, были найдены многочисленные ссылки на ESXi, хотя VMware однозначно заявила, что не будет поддерживать Apple M1.

Почти все строки, имеющие отношение к ESXi и Windows, также присутствуют в шифраторах LockBit для MIPS и FreeBSD, что может свидетельствовать об общей кодовой базе. Все эти сборки показались аналитикам сырыми, не готовыми к развертыванию в атаках.

Выводы BleepingComputer подтвердили Азим Ходжибаев из Cisco Talos и специалист по macOS-угрозам Патрик Уордль (Patrick Wardle). Последний при этом отметил, что M1-шифратору для корректной работы не хватает некоторых функций, а также отсутствует адекватная цифровая подпись.

По мнению Уордля, шифратор LockBit для M1 основан на Linux-версии кода и пока не учитывает специфику macOS. При его запуске происходит сбой из-за ошибки переполнения буфера, поэтому на настоящий момент зловред не способен нанести большой вред.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГК Солар фиксирует волну атак на сайты малого и среднего бизнеса

В преддверии летнего сезона специалисты сервиса Solar Space (ГК «Солар») фиксируют резкий рост кибератак на сайты санаториев, гостиниц, пансионатов, небольших туроператоров, а также фитнес-клубов и сервисов аренды свадебного декора.

Как отмечают в ГК «Солар», это отражает общую тенденцию увеличения количества атак на веб-ресурсы малого и среднего бизнеса. За ними могут стоять как политически мотивированные хактивисты, так и недобросовестные конкуренты.

С технической точки зрения атаки делятся на два основных типа. Первый — классические DDoS-атаки, цель которых — сделать сайт недоступным для пользователей. Второй — атаки с использованием ботов, создающих фиктивные бронирования и мешающих настоящим клиентам воспользоваться услугами.

Эксперты рекомендуют бизнесу как минимум обеспечить базовую защиту от DDoS и автоматизированной вредоносной активности. Также необходимо организовать постоянный мониторинг, чтобы своевременно оценивать нагрузку на сайт и оперативно реагировать на инциденты.

«Подобные атаки направлены как на нанесение ущерба пользователям, которые могут остаться без нужных услуг, так и на подрыв деятельности самих компаний, теряющих потенциальную прибыль. При этом злоумышленниками могут быть как идеологически мотивированные группы, так и хакеры, действующие по заказу конкурентов», — комментирует Артём Избаенков, директор платформы облачной киберзащиты Solar Space ГК «Солар».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru