Перейти к содержанию

Новый шифровальщик BlackCat | Блог Касперского


Рекомендуемые сообщения

Рынок не терпит пустоты: после ухода нашумевших группировок BlackMatter и REvil неизбежно должны были появиться новые игроки. И вот один из них: в декабре прошлого года на хакерских форумах появилась реклама сервисов группировки ALPHV, также известной как BlackCat. После нескольких инцидентов наши эксперты из подразделения Global Research and Analysis Team (GReAT) решили тщательно исследовать схему работы этой группировки и обнародовать результаты в посте на сайте Securelist.

Еще в рекламе злоумышленники говорили, что они изучили ошибки и проблемы предшественников и создали улучшенный вариант зловреда. Однако, судя по некоторым признакам, их связь с BlackMatter и REvil может быть куда более тесной, чем они пытаются показать.

Что за группировка и чем она атакует жертвы?

Создатели шифровальщиков из BlackСat предлагают свои услуги по схеме Ransomware-as-a-Service (RaaS), то есть предоставляют другим злоумышленникам доступ к своей инфраструктуре и вредоносному коду за процент от выкупов. Кроме того, они, вероятно, берут на себя переговоры с жертвой. Таким образом, все, что остается оператору — получить доступ к корпоративной среде, так что разработки BlackCat применяются для атак на компании разного размера по всему миру.

В арсенале BlackCat имеется одноименный шифровальщик. Он написан на языке Rust, благодаря чему злоумышленникам удалось добиться определенной кроссплатформенности: варианты зловреда существуют и под Windows и под Linux.

 

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Мы наблюдаем новую кампанию по массовой рассылке вредоносных писем по сотрудникам компаний с приложенным шпионским зловредом Agent Tesla. От множества аналогов эту рассылку отличает неожиданный уровень внимания злоумышленников к деталям — на этот раз послание злоумышленников действительно можно принять за реальное деловое письмо с приложенными документами. Цель — заставить получателя открыть приложение и запустить вредоносный файл.
      Особенности вредоносной почтовой рассылки
      Начнем с того, что злоумышленники как прикрытия используют реально существующие компании, снабжая свои письма реальными логотипами и легитимно выглядящими подписями. Английский язык в письмах не идеален, но, чтобы этот факт не смущал получателя, в качестве фирмы-отправителя обычно выбирают резидентов каких-то не англоговорящих стран — то Болгарии, то Малайзии.
      Злоумышленники рассылают свой архив от имени множества компаний, меняя при этом и текст. То они запрашивают у сотрудников различных организаций цены на товары, перечисленные в приложенном архиве, то пытаются узнать, есть ли перечисленный товар в наличии, но, скорее всего, мы не видели все варианты «наживок». Главное — убедить жертву посмотреть, что за товары интересуют этого псевдоклиента. То есть авторы рассылки уделили достаточно много внимания подготовке, что нехарактерно для таких массовых кампаний — в прошлом подобные приемы чаще встречались в целевых атаках.
      Пример письма злоумышленников с запросом цен и архивом с Agent Tesla
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      В официальном магазине Google Play нередко под видом безобидных приложений прячутся всевозможные зловреды. К сожалению, даже многочисленные проверки площадки не всегда могут отследить их до публикации. Одна из самых популярных разновидностей таких зловредов — трояны-подписчики, которые скрытно от пользователя оформляют от его имени подписки на платные услуги. Мы уже писали о наиболее распространенных семействах таких троянов. В этом посте расскажем еще об одном. За схожесть и, вероятно, общие корни с уже известным Joсker это семейство получило название Harly (созвучно тому, как зовут соратницу знаменитого злодея из комиксов).
      Немного о троянах Harly
      С 2020 года в Google Play было обнаружено более 190 приложений, зараженных Harly. Судя по нижней границе данных по количеству скачиваний приложения в магазине, суммарно его установили более 4,8 миллиона раз. При этом реальное число скачиваний может быть намного больше.
      Примеры приложений, содержащих зловред, в Google Play
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Мы давно заметили, что многие сказки на самом деле являются завуалированными отчетами о киберинцидентах или рассказами о технологиях информационной безопасности. Судя по всему, старинные сказители пытались заложить у потомков правильные подходы к защите информации с древнейших времен. Особенно интересно с этой точки зрения смотреть на народные сказания — в них изначальные сюжеты лучше всего описывают работу безопасников прошлого, без лишних художественных приемов и приукрашиваний, свойственных авторским сказкам.
      К сожалению, хакасские сказки дошли до меня в несколько искаженном виде — во-первых, мне они доступны только в переводе, а во-вторых, в переводе, изданном в советские времена, когда было принято акцентировать внимание читателя на вопросах классовой борьбы. Но несмотря на это, в них все еще можно обнаружить описания интересных происшествий и вычитать полезные советы по кибербезопасности!
      Вот несколько хакасских сказок, которые практически прямым текстом объясняют суть некоторых киберугроз и рассказывают, как им противостоять.
      Как мальчик заставил Смерть на себя работать
      Вот сюжет хакасской сказки «Как мальчик заставил Смерть на себя работать»: молодой человек, странствующий в поисках правды, встречает Смерть в образе дряхлого старика с волчьими зубами. Смерть регулярно ходит к богам, чтобы узнать, кого ему следует съесть следующим. Мальчик вызывается помочь старику и сам бегает к богам по железной лестнице на небо. Но ему каждый раз становится жалко скармливать Смерти реальные цели, поэтому он подменяет ответ — то посылает его три года грызть древесную кору, то жевать водоросли.
      Совершенно очевидно, что древние авторы этой сказки постарались объяснить потомкам концепцию атаки MitM (Man-in-the-middle): в то время как Смерть считает, что работает напрямую с сервером богов, в реальности в обмен информацией вмешивается мальчик. Богам он доставляет реальный запрос, а вот в ответе подменяет адрес цели.
      Судя по всему, изначально сказка рассказывала о том, как некий древнехакасский специалист по информационной безопасности пытался обезвредить инструмент для атак типа «отказ в обслуживании» (DoS). Не в силах справиться с источником атаки, он делает все возможное для того, чтобы минимизировать ущерб.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Рынок видеоигр с его 3,2 миллиардами геймеров по всему миру привлекает бизнесы всех мастей. Всевозможными компьютерными девайсами, созданными специально для любителей игр, уже никого не удивишь. Но дело уже давно ими не ограничивается: кто-то выпускает геймерскую мебель, кто-то — геймерские напитки. Совершенно не удивительно, что и киберпреступники не остаются в стороне.
      Геймеры — народ увлекающийся, поэтому достаточно часто их оказывается не так уж сложно поймать на какую-нибудь хорошую социальную инженерию. Иногда достаточно пообещать Android-версию игры, которая недоступна в официальном магазине, или, скажем, бесплатные игры. Не говоря уже о том, что в мире гейминга существует пиратство, читы и черные рынки аккаунтов — огромное пространство возможностей для злоумышленников.
      В общем, на геймеров опять объявлена охота: злоумышленники распространяют троян-стилер RedLine под видом читов для игр и пытаются украсть аккаунты, номера карт и все-все-все.
      Смотрите на YouTube: троян под видом чита
      Именно с читами и связана нынешняя находка исследователей «Лаборатории Касперского», детали которой изложены в отчете на Securelist. Злоумышленники разместили на YouTube ролики, якобы рассказывающие о том, как использовать читы в популярных онлайн-играх — Rust, FIFA 22, DayZ и еще паре десятков других. Ролики выглядят вполне убедительно и предлагают выполнить действия, к которым очень даже привыкли геймеры, пользующиеся читами: перейти по ссылке, которая находится в описании, чтобы скачать некий самораспаковывающийся архив, и после этого, конечно же, его запустить.
      Если скачать не получается, то заботливые создатели видео рекомендуют отключить Windows SmartScreen — фильтр, защищающий пользователей браузера Microsoft Edge от фишинга и зловредных сайтов. Правда, они почему-то столь же заботливо не уточняют, что в итоге всех этих действий на компьютер пользователя окажутся установлены сразу несколько зловредов.
      Во-первых, незадачливому читеру достанется троян-стилер RedLine, который ворует с компьютера практически любую ценную информацию — в первую очередь, пароли, сохраненные в браузерах. Помимо этого, RedLine умеет исполнять на компьютере команды, а также скачивать и устанавливать на зараженный компьютер другие программы. Так что если он сам и не справился с какой-то зловредной задачей, то сможет «позвать друзей».
      Во-вторых, в комплекте с RedLine идет майнер, добывающий на компьютере жертвы криптовалюту для злоумышленников. Геймерские компьютеры — логичная цель для установки нежелательных майнеров, ведь в них обычно используются мощные видеокарты, при помощи которых и добывается криптовалюта.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Борцы с уязвимостями компании Microsoft продемонстрировали свежий улов: 64 уязвимости в продуктах и сервисах, из которых пять критические. Информация о двух уязвимостях была опубликована до патча (что технически делает их зиродеями), причем одна активно эксплуатируется злоумышленниками. Как обычно, затягивать с установкой обновлений не стоит — советуем начать загружать патчи вот прямо сейчас. А мы пока кратко расскажем о дырах, которые заслуживают особого внимания.
      Активно эксплуатируемая злоумышленниками уязвимость CVE-2022-37969
      CVE-2022-37969 — уязвимость нулевого дня в драйвере Common Log File System. Это не самая опасная проблема из тех, что были закрыты свежим обновлением (рейтинг по шкале CVSS всего 7,8) — для того, чтобы ей воспользоваться, злоумышленникам уже необходимо как-то проникнуть на компьютер жертвы. Однако успешная эксплуатация позволит им повысить своих права до системных. С учетом того, что по информации Microsoft эксплойт для данной уязвимости уже применяется в атаках, закрыть ее следует как можно скорее.
       
      View the full article
×
×
  • Создать...