10 рансъмуер заплахи, белязали 2016

[You must be registered and logged in to see this image.]

И настоящата година бе споходена от кошмара на криптозаплахите в Интернет. Престъпници генерираха милиони от заключването на потребителските данни и взетия откуп за връщане на достъпа до тях. Подобно на миналата и по-миналата година, рансъмуер атаките се увеличават, а решение на хоризонта не се вижда. Кои обаче бяха най-страшните криптозаплахи тази година? Отговор дава Давид Бисон от страниците на блога на Tripwire. Ето ги и тях.

10. Cryptowall
Вече на две години, този рансъмуер попада в класацията не защото участва в някоя от мащабните атаки тази година, а най-вече заради дълголетието си. Фактът, че откритата през лятото на 2014г. заплаха, все още нанася загуби за потребителите е доказателство за сложния дизайн на програмата и нейната устойчивост.

9. SamSam
Открит от разработчиците от Cisco Talos, SamSam е идентифициран, като първия крипточервей. За разлика от традиционните рансъмуер заплахи, които се разпространяват основно чрез фишинг кампании и експлойт комплекти, крипточервеите се считат за следващото поколение заплахи от този тип, като те имитират методите за разпространяване на червеите без намеса от страна на потребителя. Това си поведение заплахата демонстрира през март тази година, когато авторите ѝ се възползваха от JexBoss, инструмент за сканиране и експлоатиране на уязвими JBoss сървъри. Това позволява на заплахата да сканира мрежовия диапазон за присъствието на уязвима машина, установяването на връзка с него и придвижването към друга уязвима машина, като в хода на това движение криптира данните, помещаващи се на тези системи.

8. Jigsaw
Този тип заплаха, за която декриптиращ ключ се появи сравнително бързо, не е крипторансъмуер, в смисъл, че не само криптира файловете, след което да иска откуп за получаване на достъп до тях, а и ги трие. „Jigsaw е особено садистична форма на рансъмуер, която дава само 24 часа на жертвата да плати откуп от $150. Ако жертвата не се вмъкне в дадения период, Jigsaw започва да трие файлове на всеки час, като увеличава с времето броя на изтритите файлове“, пише Бисон. Ако жертвата пък реши да изключи компютъра или по някакъв друг начин да спре действието на заплахата, защитните ѝ механизми се включват и тя трие 1000 файла. Действието на програмата продължава 72 часа до изтриването на всички файлове, които се намират на компютъра, подбирайки ги измежду зададени 240 файлови типове.

7. Chimera
Появила се през ноември миналата година, заплахата се отличаваше от други сходни заплахи по две главни характеристики: използването на услугата за обмен на съобщения посредством P2P протокола BitMessage за генериране на ключ за криптирането и покана към жертвата да се присъедини към разпространителска програма. През лятото на тази година обаче, авторите на друг тип крипозаплаха – Petya/Mischa – публикуваха в Twitter връзка към файл, съдържащ 3500 декриптиращи ключове. Това се оказа и първия случай на битка между разпространителите на рансъмуер заплахи.

6. Petya и Mischa
Разпространяваща се под формата на наемна услуга (ransomware-as-a-service, RaaS), заплахата направи своя дебют през юли. Заплахите стартират разпространението си, пускайки на машината файл, който инсталира Mischa или Petya. Ако успее да получи административни права, бива инсталиран Petya, който подменя MBR сектора и криптира MFT таблицата. Ако обаче не успее да вземе администраторски права се зарежда Misha, по-традиционна криптозаплаха, която криптира данните на жертвата на файлово ниво.

5. Cerber
Открита през пролетта, заплахата демонстрира сериозната подготовка на авторите ѝ и желанието им да останата на рансъмуер сцената за дълго. Всеки от вариантите на Cerber атакува не само локалните файлове, но и мрежово споделените данни. Декриптиращата бележка идва на 12 езика и някои от вариантите, даже „говорят“ с помощта на VBScript. Не е учудващо и това, че авторът ѝ реши да започне да я предлага по RaaS схема. Именно това и помогна за сериозното разпространение на Cerber и генерирането на сериозен приход за автора му – милион долара годишно. Последната версия на програмата атакува вече и бази данни.

4. CryLocker
Отново нестандартен изнудвач. Вместо да криптира данните и да представи искане за откуп, той събира лична информация от системата и я представя в обобщен вид пред жертвата, искайки откуп от $45 в следващите 24 часа. Подробности за регистрацията в Skype, Facebook, LinkedIn и други услуги, пълното име на жертвата, IP адреса му и местоположението му. Всичко това бива показано пред жертвата и той бива заплашен, че ако не плати откупа, тези данни ще се появят в Интернет.

3. HDDCryptor
Появила се през септември, заплахата криптира всички файлове на системата, след което презаписва MBR сектора на машината. При рестарт на компютъра, вместо приветстващия екран, потребителя вижда само бележката с искане за откуп. HDDCryptor нашумя, след като атакува успешно машини, свързани с транспортната система на Сан Франциско, искайки откуп от $70 000 в биткойни. Администраторите на мрежата отказаха да платят, тъй като имаха архив, но случая даде представа докъде може да стигне разпространението на рансъмуер заплахите. И ако случаят по-скоро беше посрещнат с усмивки и множество хора се возиха безплатно в обществения транспорт, следващия път престъпниците могат да вземат на мушка мрежата на криптично важна инфраструктура и това едва ли ще е смешно.

2. TeslaCrypt
След месеци на продължителни спам кампании, авторите на заплахата предоставиха декриптиращите ключове на специалисти от словашката компания за инфозащита ESET, които създадоха и декриптираща програма. Разпространението на TeslaCrypt обаче е такова, че второто ѝ място тук е напълно заслужено.

1. Locky
Появила се през февруари, заплахата се превърна в кошмар за компютърните потребители и хората, борещи се с киберпрестъпления. Авторите осигуряват сериозна поддръжка на заплахата , като новата версия, пристига и под формата на зловредни .xls файлове. Заплахата нашумя особено много, след като атакува успешно мрежата на медицински център в Калифорния. Администраторите на мрежата на Презвитерианския медицински център в Южна Калифорния взеха решение да затворят мрежата на центъра, което внесе хаос в заведението, а впоследствие се оказа, че няма и наличен осъвременен бекъп на данните, което доведе до това, че беше платен откуп в размер на 70 000 биткойна.


/kaldata.com

Вчера ми домъкнаха вариант на CERBER в службата. Дойде като прикачен VBS скрипт към писмо, написано на чист български език, уж подадено от служител на НАП, със стряскащото описание "НАКАЗАТЕЛНО ПРОИЗВОДСТВО" и разбира се, подкана да се отвори zip прикачен файл, съдържащ въпросния VBS. Там се намирали "подробностите" за наказателното производство.

Не е за вярване, но операторът се е подвел и все пак е отворил прикачения файл, а Malwarebytes Anti Malware светкавично е блокирала създаването и изпълнението на първия излъчен от скрипта файл - някакъв .tmp в appData. Иначе скриптът е успял да изтегли някакво .exe, което след това без трудности намерих и изтрих в системната папка на БозаТа.

Бъдете внимателни.