Плохой кролик атакует Россию и Украину, перебираясь в Европу

27 октября 2017 года

«Зловредный компьютерный вирус Bad Rabbit атакует СМИ»

Во вторник, 24 октября 2017 года, российские и украинские организации стали жертвами вируса-вымогателя Bad Rabbit (плохой кролик).

Среди пострадавших от хакеров - три российских СМИ, в том числе Интерфакс и Фонтанка.ру. Атаке подвергся аэропорт Одессы, Киевский метрополитен, а также многие другие организации. По словам гендиректора Group-IB Ильи Сачкова, Bad Rabbit пытался заразить российские банки из топ-20. Центральный банк России зафиксировал неудавшуюся попытку вмешательства в свою инфраструктуру.

При активации на компьютере пользователя зловред традиционно для подобных программ шифрует файлы и вымогает вознаграждение за восстановление доступа к ним. Вирус требует за разблокировку одного компьютера 0,05 биткоинов (около 16 тыс. рублей) в течение 48 часов. Однако, отличительной особенностью Bad Rabbit является возможность похищать с заражённой системы учётные данные пользователя и загружать дополнительные вредоносные модули.

Схема распространения вируса примитивна — пользователи, как и обычно, сами заражают свои компьютеры, переходя по ссылке из полученного письма на скомпрометированные веб-сайты и самостоятельно устанавливая вирус на своё устройство.

С технической стороны, по данным экспертов из Trend Micro, Bad Rabbit распространяется посредством атаки drive-by download (первоначально неточно классифицированной как watering hole — букв. «отверстие для полива»), предполагающей заражение web-сайтов, часто посещаемых потенциальными жертвами. Когда жертва попадает на заражённый сайт, ей предлагается установить поддельный Flash Player с именем install_flash_player.exe с контролируемого хакерами сайта. Что жертва обычно и делает. Далее вирус запрашивает подтверждение повышения полномочий посредством UAC Microsoft Windows. В настоящее время ссылка hxxp://1dnscontrol.com/flash_install, по которой предлагалось скачать поддельный плеер, уже неактивна.

После запуска поддельного установщика программ с помощью процесса rundll32.exe на атакуемую систему устанавливается шифровальщик infpub.dat и шифровальщик/дешифровщик dispci.exe. Приложение производит шифрование файлов по алгоритмам AES-128-CBC и RSA-2048

В ходе атаки Bad Rabbit использует три файла. Имена двух из них являются отсылкой к популярному телесериалу «Игра престолов», а именно имена трёх драконов — Дрогона, Рейгаля и Визериона. Файл rhaegal.job ответственен за выполнение файла дешифровщика, а drogon.job — за блокировку компьютера жертвы. Хранящиеся на системе файлы затем шифруются, а на экране появляется уведомление с требованием выкупа. Третий файл, viserion_23.job, второй раз перезагружает систему, после чего доступ к ней блокируется, а на экран выводится еще одно уведомление с требованием заплатить выкуп за ключ для дешифровки.

Bad Rabbit инфицирует другие компьютеры в сети путём загрузки в неё своих копий и выполнения их с помощью легальных инструментов Windows Management Instrumentation (WMI) и Service Control Manager Remote Protocol (см. Диспетчер управления службами). При использовании Service Control Manager Remote Protocol вредонос осуществляет атаку по словарю для получения учётных данных.

Среди других легальных инструментов, предположительно применяемых вредоносом для получения учётных данных, эксперты называют утилиту с открытым исходным кодом Mimikatz (на github). Исследователи также обнаружили признаки использования законного инструмента DiskCryptor (в нарушение лицензии GPLv3) для шифрования файлов на атакуемых компьютерах.

По данным компании Acronis, Bad Rabbit шифрует файлы с помощью легального драйвера ядра dcrypt.sys. ПО подписано сертификатами якобы от Symantec, благодаря чему вредоносу удается обходить антивирусные решения.

В отличие от шифровальщика NotPetya, Bad Rabbit не эксплуатирует уязвимость в файл-сервере srv.sys. Кроме того, шифрование диска осуществляется без имитации работы chkdsk.exe, сообщает РБК со ссылкой на экспертов Acronis. По мнению исследователей, NotPetya и Bad Rabbit имеют схожие черты «на концептуальном уровне», однако сильно различаются с технологической точки зрения. Среди общих черт эксперты, в частности, отмечают возможность как файлового, так и дискового шифрования у обоих вредоносов.

Тем не менее специалисты Group-IB установили (Архивная копия от 29 октября 2017 на Wayback Machine), что за атаками Bad Rabbit и эпидемией вымогательского ПО NotPetya, могут стоять связанные лица. На это указывают уникальная функция вычисления хэша в коде этих двух программ, способ распространения по сети, удаление журналов, логика извлечения модулей и сами модули. Некоторые модули были скомпилированы летом 2014 года, что говорит об использовании старых инструментов для работы с дисками из предыдущих атак данной группировки. Исследователи указывают также на то, что именно в 2014 году хакерская группировка Black Energy резко начала проявлять активность. В отчёте (Архивная копия от 29 октября 2017 на Wayback Machine) приводятся и другие подробности состоявшейся атаки. В частности, анализ кода показывает, что первоначально атака могла быть запланирована на 25 октября, однако началась на день раньше.

Позже исследователей безопасности из Cisco Talos и F-Secure опубликовали дополнительную информацию. По их данным, для более быстрого распространения Bad Rabbit использовалась модифицированная версия эксплоита EternalRomance, похищенного у группы Equation Group, подозреваемой в связях с Агентством национальной безопасности США (АНБ).

В настоящее время хакеры свернули атаку Bad Rabbit — контролируемая ими инфраструктура для распространения вируса (C&C-сервер — 1dnscontrol.com/185.149.120.3 и заражённые сайты) отключена. Расшифровать с помощью выплат злоумышленникам файлы заражённых ими компьютеров, скорее всего, уже не удастся.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.

Мнения

Пожалуйста, прочтите правила общения и оформления реплик на портале Викиновости

Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.

Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.

Несколько советов по оформлению реплик:

• Новые темы начинайте, пожалуйста, снизу.
• Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
• Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
• Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.

Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.

Добавить комментарий