Вымогатель Cerber сначала шифрует файлы, а затем заговаривает с жертвой

Тема в разделе "Новости информационной безопасности", создана пользователем regist, 5 мар 2016.

  1. regist
    Оффлайн

    regist гоняюсь за туманом Ассоциация VN/VIP VIP Разработчик

    Сообщения:
    11.382
    Симпатии:
    5.268
    Независимые эксперты, а также исследователи Malwarebytes и Bleeping Computer зафиксировали прибавление в стане всевозможных шифровальщиков. Малварь Cerber, созданная русскоговорящими хакерами, шифрует данные жертвы, а затем вслух требует выкуп, используя для этого речевой синтезатор.
    Вымогатели со встроенным чатом уже были, теперь пришло время говорящей малвари. Первыми Cerber заметили эксперты компании SenseCy. Согласно их данным, вымогатель был создан русскоязычными хакерами, а теперь и распространяется как услуга на российских андеграундных форумах. Подобная бизнес-модель в последнее время пользуется большой популярностью у киберпреступников: авторы предоставляют подписку на использование своего вредоноса, который готов к работе «под ключ», а себе берут небольшой процент с полученных выкупов.
    Исследователи пишут, что Cerber не заражает пользователей из России и стран СНГ. Подобные региональные ограничения встречаются достаточно часто.
    Перед тем как зашифровать файлы жертвы, Cerber хитростью вынуждает ее перезагрузить компьютер, отображая фальшивые ошибки (см. иллюстрации ниже). ПК принудительно загружается в безопасном режиме (Safe Mode with Networking), а затем снова принудительно перегружается уже нормально. После этого свою работу начинает шифровальщик, который шифрует более 380 типов файлов с применением алгоритма AES. Расширение файлов при этом изменяется на .cerber.
    shutdown-alert-2.jpg shutdown-alert.jpg

    Когда данные зашифрованы, вымогатель оставляет во всех директориях текстовые, HTML и VBS-файлы с требованием выкупа. Особенно интересно послание хакеров в VBS-формате – используя преобразование текста в речь, малварь зачитает жертве требования вслух.

    Cerber требует от жертв заплатить 1,24 биткоина (около $520), но, согласно некоторым сообщениям, на этой неделе сумма выкупа возросла вдвое. Для оплаты пользователя традиционно просят прейти в даркнет, на сайт в зоне .onion. Взломать шифрование вымогателя пока никому не удалось.

    html-ransom-note.jpg

     
    Последнее редактирование модератором: 17 мар 2016
    Kиpилл, Dragokas и orderman нравится это.
  2. shestale
    Оффлайн

    shestale Ассоциация VN/VIP Преподаватель

    Сообщения:
    8.059
    Симпатии:
    4.488
    3083.jpg

    Исследователи американской компании Invincea сообщают, что один из топовых криптовымогателей, Cerber, теперь использует технику известную как malware factory («фабрика малвари»). Чтобы избежать обнаружения антивирусным ПО на клиентской стороне, Cerber каждые 15 секунд создает новую версию себя.

    В ходе изучения последних версий Cerber, специалисты Invincea хотели воссоздать всю цепочку заражения, однако во время анализа обнаружилось кое-что необычное. Аналитики заметили, что теперь пейлоад Cerber распространяется с разными хешами.

    В ходе воссоздания всей цепочки заражения, исследователи сначала получили два разных хеша. Затем они повторили попытку и получили третий хеш, а потом и четвертый. Стало ясно, что никакой ошибки нет, и хеши изменяются намерено на управляющем сервере хакеров. Дальнейшее изучение показало, что C&C-сервер генерирует бинарники с новым хешем раз в 15 секунд, сообщает xakep.ru.

    cerber-ransomware-795x9001.png

    Такое поведение является одним из ярчайших признаков использования техники malware factory, — в пейлоады малвари автоматически вносятся незначительные изменения, исключительно с целью генерации файлов с разным хешем. Исследователи не сумели установить, генерируются пейлоады локально, прямо на сервере, или же генерация происходит где-то еще, а на сервер пейлоады просто подгружает соответственный скрипт.

    Так как антивирусные решения в наши дни часто «опознают» угрозы именно при помощи хешей, проверяя их по базе сигнатур, данная техника позволяет Cerber избегать радаров некоторых защитных программ.

    Кроме того, аналитики Invincea теперь полагают, что Cerber был создан вовсе не в феврале-марте 2016 года, какпредполагалось ранее. Исследователи более тщательно изучили пейлоады вредоноса и обнаружили сходство с подозрительным файлом, которые впервые был замечен в составе эксплоит кита Neutrino еще в сентябре 2015 года.

    источник
     
    Последнее редактирование модератором: 6 авг 2016
    Kиpилл, DuBepCaHT, Охотник и 3 другим нравится это.

Поделиться этой страницей