• Внимание. Восстановление баз 1С7, 1C8 и Mssql после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

    Внимание. Восстановление архивов RAR и ZIP, образов Acronis и виртуальных машин, баз почтовых программ после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

Вымогатель Cerber сначала шифрует файлы, а затем заговаривает с жертвой

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
14,886
Реакции
6,796
Независимые эксперты, а также исследователи Malwarebytes и Bleeping Computer зафиксировали прибавление в стане всевозможных шифровальщиков. Малварь Cerber, созданная русскоговорящими хакерами, шифрует данные жертвы, а затем вслух требует выкуп, используя для этого речевой синтезатор.
Cerber ransomware is offered as a service on a Russian closed forum @malwrhunterteam @BleepinComputer#SenseCy pic.twitter.com/W7Cnpywl6s
— SenseCy (@SenseCyBlog) March 3, 2016
Вымогатели со встроенным чатом уже были, теперь пришло время говорящей малвари. Первыми Cerber заметили эксперты компании SenseCy. Согласно их данным, вымогатель был создан русскоязычными хакерами, а теперь и распространяется как услуга на российских андеграундных форумах. Подобная бизнес-модель в последнее время пользуется большой популярностью у киберпреступников: авторы предоставляют подписку на использование своего вредоноса, который готов к работе «под ключ», а себе берут небольшой процент с полученных выкупов.
Исследователи пишут, что Cerber не заражает пользователей из России и стран СНГ. Подобные региональные ограничения встречаются достаточно часто.
Перед тем как зашифровать файлы жертвы, Cerber хитростью вынуждает ее перезагрузить компьютер, отображая фальшивые ошибки (см. иллюстрации ниже). ПК принудительно загружается в безопасном режиме (Safe Mode with Networking), а затем снова принудительно перегружается уже нормально. После этого свою работу начинает шифровальщик, который шифрует более 380 типов файлов с применением алгоритма AES. Расширение файлов при этом изменяется на .cerber.
shutdown-alert-2.jpg
shutdown-alert.jpg


Когда данные зашифрованы, вымогатель оставляет во всех директориях текстовые, HTML и VBS-файлы с требованием выкупа. Особенно интересно послание хакеров в VBS-формате – используя преобразование текста в речь, малварь зачитает жертве требования вслух.

Cerber требует от жертв заплатить 1,24 биткоина (около $520), но, согласно некоторым сообщениям, на этой неделе сумма выкупа возросла вдвое. Для оплаты пользователя традиционно просят прейти в даркнет, на сайт в зоне .onion. Взломать шифрование вымогателя пока никому не удалось.

html-ransom-note.jpg


 
Последнее редактирование модератором:
3083.jpg


Исследователи американской компании Invincea сообщают, что один из топовых криптовымогателей, Cerber, теперь использует технику известную как malware factory («фабрика малвари»). Чтобы избежать обнаружения антивирусным ПО на клиентской стороне, Cerber каждые 15 секунд создает новую версию себя.

В ходе изучения последних версий Cerber, специалисты Invincea хотели воссоздать всю цепочку заражения, однако во время анализа обнаружилось кое-что необычное. Аналитики заметили, что теперь пейлоад Cerber распространяется с разными хешами.

В ходе воссоздания всей цепочки заражения, исследователи сначала получили два разных хеша. Затем они повторили попытку и получили третий хеш, а потом и четвертый. Стало ясно, что никакой ошибки нет, и хеши изменяются намерено на управляющем сервере хакеров. Дальнейшее изучение показало, что C&C-сервер генерирует бинарники с новым хешем раз в 15 секунд, сообщает xakep.ru.

cerber-ransomware-795x9001.png


Такое поведение является одним из ярчайших признаков использования техники malware factory, — в пейлоады малвари автоматически вносятся незначительные изменения, исключительно с целью генерации файлов с разным хешем. Исследователи не сумели установить, генерируются пейлоады локально, прямо на сервере, или же генерация происходит где-то еще, а на сервер пейлоады просто подгружает соответственный скрипт.

Так как антивирусные решения в наши дни часто «опознают» угрозы именно при помощи хешей, проверяя их по базе сигнатур, данная техника позволяет Cerber избегать радаров некоторых защитных программ.

Кроме того, аналитики Invincea теперь полагают, что Cerber был создан вовсе не в феврале-марте 2016 года, какпредполагалось ранее. Исследователи более тщательно изучили пейлоады вредоноса и обнаружили сходство с подозрительным файлом, которые впервые был замечен в составе эксплоит кита Neutrino еще в сентябре 2015 года.

источник
 
Последнее редактирование модератором:
Назад
Сверху Снизу