Плохо защищенные серверы MS-SQL атакует шифровальщик Trigona

Плохо защищенные серверы MS-SQL атакует шифровальщик Trigona

Корейская ИБ-компания AhnLab фиксирует рост количества атак, нацеленных на развертывание вымогательской программы Trigona на серверах Microsoft SQL. Злоумышленники пытаются получить доступ к подключенным к интернету машинам, используя брутфорс или подбор ключей по словарю.

После взлома на сервер MS-SQL внедряется зловред CLR Shell, который собирает системную информацию и меняет настройки скомпрометированного аккаунта, повышая привилегии до LocalSystem. С этой целью используется эксплойт — например, CVE-2016-0099, если Windows-служба Secondary Logon уязвима.

На следующем этапе атаки взломщики устанавливают и запускают дроппер (как svcservice.exe), который загружает в систему шифровальщика Trigona под видом svchost.exe. Дроппер также создает файл svchost.bat, отвечающий за исполнение полезной нагрузки.

Бинарник Trigona прописывается на автозапуск (средствами системного реестра). Чтобы жертва не смогла самостоятельно вернуть заблокированные данные, зловредный bat-скрипт удаляет теневые копии Windows и отключает возможность восстановления.

Названный шифровальщик впервые появился в поле зрения ИБ-экспертов в октябре прошлого года. Вредонос написан на Delphi и примечателен тем, что требует выкуп только в монеро. Он шифрует все файлы на устройстве и в сетевых папках; исключение составляют лишь некоторые каталоги, в том числе Windows и Program Files.

К зашифрованным файлам добавляется расширение ._locked. В каждый обработанный файл записываются зашифрованный ключ, ID жертвы и ID вредоносной кампании. В папках с зашифрованными файлами создается записка с требованием выкупа — how_to_decrypt.hta.

В тексте приведены ссылки на onion-сайт с чатом для переговоров и код авторизации для входа. Злоумышленники утверждают, что важные документы жертвы украдены и в случае неуплаты выкупа будут выставлены на продажу, однако свидетельств реальности угрозы пока не обнаружено.

 

По данным BleepingComputer, повышенная активность Trigona наблюдается уже третий месяц. Количество образцов зловреда, загруженных на ID Ransomware для проверки, уже перевалило за 190.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Стартап DoubleYou от матерых экспертов защитит устройства Apple

Два матерых эксперта в области безопасности Патрик Уордл и Михаил Сосонкин запускают стартап под названием DoubleYou, целью которого является помощь другим производителям продуктов для кибербезопасности повысить уровень защиты устройств Apple.

Друзья и по совместительству соучредители обладают огромным практическим опытом и знаниями в сфере безопасности «яблочных» продуктов.

Системы iOS и macOS стали более востребованы среди компаний по всему миру. К сожалению, для них до сих пор существует малое количество хороших защитных продуктов, в отличии от Windows. Как следствие, они всё чаще подвергаются кибератакам.

Идея DoubleYou заключается в том, чтобы разработать отдельные возможности (не модульные продукты) для защиты от злоумышленников, которые затем можно лицензировать, чтобы другие компании интегрировали их в свои продукты безопасности.

Исследователи уверены, что их технология будет включать анализ всех новых процессов для обнаружения и блокировки потенциально опасного кода (что в macOS означает, что они не «заверены» Apple), а также мониторинг и блокировку аномального сетевого трафика DNS, который может обнаружить вредоносные программы, когда они подключаются к доменам, связанным с киберпреступными группами.

Основатели намерены разработать инструменты для мониторинга вредоносных программ, обнаружения криптовалютных майнеров и программ-вымогателей на основе их поведения, а также для обнаружения, когда программы пытаются получить разрешение на использование веб-камеры и микрофона.

По словам Сосонкина, специалисты хотят внедрить функциональность, основанную на готовых каталогах, где клиент может выбирать, какие компоненты ему нужны для своего продукта.

Уордл и Сосонкин отметили, что намерены сосредоточиться на развитии своей технологии в комфортном для них темпе и обойтись без внешних инвестиций.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru