Нацеленный на VMware ESXi шифровальщик Cicada3301 за лето собрал 19 жертв

Нацеленный на VMware ESXi шифровальщик Cicada3301 за лето собрал 19 жертв

Нацеленный на VMware ESXi шифровальщик Cicada3301 за лето собрал 19 жертв

Написанный на Rust вредонос Cicada3301 вооружен шифраторами для Windows и Linux/VMware ESXi. Он предоставляется в пользование как услуга (Ransomware-as-a-Service, RaaS) и за три месяца поразил 19 организаций (атаки в СНГ по условиям подписки запрещены).

Первые случаи применения Cicada3301 были зафиксированы в начале июня. В конце того же месяца на хакерском форуме Ramp появилось объявление о запуске партнерской программы на основе данного шифровальщика.

 

Проведенный в Truesec анализ Linux-версии зловреда выявил большое сходство с ALPHV/BlackCat (минувшей весной операторы этого RaaS скрылись, украв $22 млн у одного из аффилиатов; такие случаи в мире киберкриминала известны как exit scam).

Оба шифровальщика написаны на Rust, умеют выключать ВМ и удалять снепшоты, работают по алгоритму ChaCha20, одинаково именуют записки с требованием выкупа и используют прерывистое шифрование на тяжелых файлах.

 

Ключи шифрования Cicada3301 генерирует случайным образом (с помощью функции OsRng) и защищает их по RSA. Обработке подвергаются все найденные документы и мультимедийные файлы; если размер превышает 100 Мбайт, применяется прерывистое шифрование. К имени зашифрованных файлов добавляется расширение из семи произвольных знаков.

Аффилиатам предоставляется возможность отсрочки запуска шифратора (для большей скрытности) и шифрования ВМ без отключения / стирания текущего состояния (деструктивные функции зловреда по умолчанию включены).

Свои победы они могут фиксировать на специальном сайте утечек; эксперты также не исключают, что у нового RaaS имеется свой брокер доступа к сетям, вооруженный инструментом брутфорса.

МВД предложило без суда блокировать продавцов серых симок и аккаунтов

МВД хочет разрешить внесудебную блокировку сайтов и страниц, на которых продают активированные сим-карты, чужие аккаунты и другие инструменты для мошенников. Инициатива вошла в обсуждаемый пакет «Антифрод 3.0». Роскомнадзор идею пока встретил без аплодисментов.

Без решения суда предлагается закрывать доступ к ресурсам с объявлениями о продаже данных для входа в платёжные сервисы, средств аутентификации, электронных подписей, а также регистрационных документов компаний и ИП.

Под блокировку могут попасть и площадки, предлагающие обмен цифровых валют, выяснили «Известия».

В МВД объясняют: такая торговля помогает совершать преступления, а ответственность за неё уже предусмотрена УК. Значит, ждать судебного решения для удаления каждого объявления ведомство считает излишней роскошью.

Роскомнадзор возражает, что новые полномочия потребуют денег, сотрудников и других ресурсов. Ведомство попросило оценить количество потенциальных блокировок и доказать, что действующих механизмов — через суд или Генпрокуратуру — действительно недостаточно.

Масштаб серого рынка внушительный. По экспертным оценкам, в открытом Рунете размещено не менее 500 тыс. актуальных предложений о продаже симок, аккаунтов и связанных услуг.

Исследование Open Measures за год обнаружило в Telegram свыше 5 млн публикаций о покупке и продаже аккаунтов. В базе ЦБ в 2025 году числилось около 1,2 млн счетов дропов против 700 тыс. годом ранее.

Эксперты считают, что быстрая блокировка усложнит поиск подставных номеров, счетов и аккаунтов, повысив стоимость входа в мошеннический бизнес. Но полностью рынок не исчезнет: продавцы переедут в закрытые чаты, даркнет и на зеркала.

Поэтому законодателям советуют чётко описать признаки незаконного объявления. Иначе вместе с лавкой готовых симок под раздачу рискуют попасть легальные сервисы. Пока же окончательное решение не принято, пакет «Антифрод 3.0» проходит межведомственное согласование.

RSS: Новости на портале Anti-Malware.ru