Шифровальщик PE32 атакует бизнес в России: выкуп до $150 000

Шифровальщик PE32 атакует бизнес в России: выкуп до $150 000

Шифровальщик PE32 атакует бизнес в России: выкуп до $150 000

В феврале 2025 года российский малый и средний бизнес столкнулся с новой киберугрозой — программой-вымогателем PE32. Новый шифровальщик требует выкуп в размере от 500 до 150 000 долларов США в биткоинах (50 000 – 15 000 000 рублей по текущему курсу) за расшифровку данных.

Об этой киберугрозе сообщили криминалисты F6 в своем блоге.

  • Цель: Вымогательство денег у организаций.
  • Жертвы: Российские компании малого и среднего бизнеса.
  • Метод атаки: Проникновение через скомпрометированные службы удаленного доступа.
  • Технологии: Разработан на языке программирования Rust, использует трехраундовое шифрование файлов, а также является одной из первых программ-вымогателей, использующих постквантовую криптографию.
  • Особенности: В отличие от большинства шифровальщиков, атакующие не похищают данные жертв, а взаимодействие с пострадавшими ведут через электронную почту и Telegram. Контактные данные преступников также используются в других партнерских программах.

С 2022 года количество атак программ-вымогателей в России неуклонно растет, при этом значительная часть группировок имеет проукраинские или ближневосточные корни. Восточные партнерские программы, такие как Mimic, Proton/Shinra, Proxima, Enmity/Mammon, LokiLocker/BlackBit, RCRU64, HardBit, Sauron, TeslaRVNG и другие, продолжают атаковать российские организации.

В 2024 году зафиксирован тренд перехода шифровальщиков на атаки Linux-систем наряду с традиционными атаками на Windows. Например, партнерская программа Proxima/BlackShadow адаптировала свои инструменты для Linux. В августе 2024 года появилась новая версия Enmity — программа Mammon, использующая двухпроходное шифрование.

PE32 стал первым выявленным персидским шифровальщиком, разработанным на Rust. Однако он не является первой программой-вымогателем на этом языке, использованной для атак в России — ранее была обнаружена программа Muliaka, предназначенная для атак на виртуальные среды ESXi.

Первые атаки PE32 зафиксированы в середине февраля 2025 года. Исследователи F6 обнаружили, что номера версий шифровальщика (4.0.1 и 4.1.1) указаны в коде вредоносных программ. Более ранние версии PE32 загружались на VirusTotal еще с 4 января 2025 года через анонимные сети Tor и VPN. Специалисты полагают, что таким образом разработчик тестировал уровень детектирования своего софта антивирусными решениями и совершенствовал его защиту от обнаружения.

Рекомендации по защите Чтобы минимизировать риск заражения, экспертное сообщество рекомендует:

  • Использовать многофакторную аутентификацию (MFA) для защиты удаленного доступа.
  • Обновлять системы и программное обеспечение до актуальных версий.
  • Проводить регулярные резервные копирования данных и хранить их в изолированных средах.
  • Ограничить доступ к критически важным системам и мониторить подозрительную активность в сети.

Кибератаки с применением шифровальщиков становятся все более изощренными, а преступники продолжают совершенствовать свои инструменты. Важно своевременно принимать меры защиты, чтобы избежать финансовых и репутационных потерь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники крадут товары, выдавая себя за ПСК и Ozon

Злоумышленники под видом известных компаний совершили серию крупных краж, оформив закупки с помощью поддельных документов и используя подмену номеров телефонов. Аферисты выдавали себя за представителей легитимных организаций, предъявляли доверенности и добивались отгрузки товара. Используемые ими документы были высокого качества и не вызывали подозрений даже у опытных сотрудников.

Как сообщила «Фонтанка», мошенники оформили несколько крупных заказов от имени Петербургской сбытовой компании (ПСК). В частности, под видом сотрудников ПСК были приобретены 130 комплектов автомобильных шин и 20 тонн сливочного масла.

В обоих случаях за товаром приезжал якобы представитель ПСК и предъявлял доверенности на получение груза. Однако позже выяснилось, что ни почта, ни телефон, ни фамилия человека, забиравшего продукцию, не имели отношения к компании.

Номер телефона, с которого связывались аферисты, в приложении Getcontact отображался как принадлежащий ПСК. Поддельные документы были выполнены на высоком уровне: в случае с «покупкой» масла мошенники даже приложили протокол разногласий к договору, где указали неустойки за нарушение условий хранения продукции.

Между тем ещё в апреле на официальном сайте ПСК появилось предупреждение: «Информируем о новой мошеннической схеме. В адрес юридических лиц поступают письма об организации закупок от имени Петербургской сбытовой компании. Письма направляются с подложного почтового адреса: zakaz.pesc-opt.ru с указанием номеров телефонов, не принадлежащих Петербургской сбытовой компании».

ПСК — не единственная пострадавшая организация. Подобные случаи неоднократно фиксировались в отношении Ozon: от его имени злоумышленники вывозили компьютеры, промышленные пылесосы и стройматериалы в разных регионах страны. При этом также использовались поддельные документы и подменённые номера телефонов.

«Мы знаем о ситуации, при которой некие сторонние лица, представляясь компанией Ozon, обращаются к поставщикам с просьбой предоставить самые разные товары, в том числе с постоплатой, — сообщили изданию в пресс-службе маркетплейса. — Часто мошенники используют схожие по написанию домены и формируют письма-запросы на бланках с логотипом Ozon».

По данным «Фонтанки», на момент публикации ни одной из пострадавших компаний не удалось вернуть ни деньги, ни украденный товар.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru