Сегодня 27 января 2023
18+
MWC 2018 2018 Computex IFA 2018
Теги → вымогатели
Быстрый переход

Хакеры ФБР взломали хакеров-вымогателей, помешав получить выкупы на $130 млн

В четверг Федеральное бюро расследований сообщило, что ему удалось тайно взломать серверы и прекратить деятельность банды кибервымогателей под названием Hive, помешав преступникам собрать более 130 миллионов долларов в виде выкупов от более чем 300 жертв.

 Источник изображения: everypixel.com

Источник изображения: everypixel.com

На пресс-конференции генеральный прокурор США Меррик Гарланд (Merrick Garland), директор ФБР Кристофер Рэй (Christopher Wray) и заместитель генерального прокурора США Лиза Монако (Lisa Monaco) заявили, что правительственные хакеры проникли в сеть Hive и установили наблюдение за бандой, тайно похитив цифровые ключи, которые группа использовала для разблокировки организаций-жертв. «Используя законные средства, мы взломали хакеров, — заявила Монако журналистам. — Мы изменили ситуацию с Hive».

Веб-ресурс группы киберпрестуников Hive более не доступен, а прежнее содержимое их сайта заменено объявлением: «Федеральное бюро расследований конфисковало этот сайт в рамках скоординированных действий правоохранительных органов, предпринятых против Hive Ransomware». Серверы Hive также были одновременно атакованы Федеральной уголовной полицией Германии и Национальным отделом по борьбе с преступлениями в сфере высоких технологий Нидерландов.

«Интенсивное сотрудничество между странами и континентами, построенное на взаимном доверии, является ключом к эффективной борьбе с серьёзными киберпреступлениями», — заявил комиссар полиции Германии Удо Фогель (Udo Vogel) в заявлении полиции и прокуроров земли Баден-Вюртемберг, которые помогали в расследовании.

Уничтожение Hive отличается от некоторых других громких дел, связанных с программами-вымогателями, о которых Министерство юстиции США объявило в последние годы, таких как кибератака в 2021 году против Colonial Pipeline Co. Тогда Министерству юстиции удалось изъять около 2,3 миллиона долларов, полученных в виде выкупа в криптовалюте уже после того, как компания заплатила хакерам.

В этот раз изъятий не было, так как следователи вмешались до того, как преступники потребовали выкуп. Тайное расследование и проникновение на сервера преступной группы, начавшееся в июле 2022 года, до последнего момента оставалось незамеченным бандой. Но контактная информация Hive пока недоступна. Также отсутствуют данные о географическом базировании преступной группы.

Hive — одна из множества киберпреступных групп, которые вымогают деньги у международных компаний, шифруя их данные и требуя взамен крупных платежей в криптовалюте. И одна из самых активных. В предупреждении, распространённом в ноябре, ФБР сообщило, что жертвами киберпреступников Hive стали более 1500 компаний по всему миру, заплатившие около 100 миллионов долларов в виде выкупа.

Хотя в среду не было объявлено об арестах, расследование продолжается, а один из чиновников департамента посоветовал журналистам «следить за новостями». Операция ФБР помогла широкому кругу жертв, в том числе школьному округу Техаса. «Бюро предоставило школьному округу ключи дешифрования, что спасло его от выплаты выкупа в размере 5 миллионов долларов», — сказал он. А больнице Луизианы удалось сберечь 3 миллиона долларов.

Эксперт по кибербезопасности Бретт Кэллоу (Brett Callow) из канадской компании Emsisoft утверждает, что Hive несёт ответственность за как минимум 11 инцидентов с участием государственных организаций, школ и медицинских учреждений США в прошлом году. «Hive — одна из самых активных групп, если не самая активная», — говорится в его электронном письме.

Hive предоставляла третьим лицам программы-вымогатели в качестве услуги (Ransomware-As-A-Service — RaaS), получая часть средств, полученных вымогателями в виде выкупа. А поскольку об арестах не сообщалось, хакеры Hive, скорее всего, скоро «либо откроют магазин под другим брендом, либо будут завербованы в другие группы RaaS», — предположил Джим Симпсон (Jim Simpson), директор по исследованию угроз британской фирмы Searchlight Cyber. При этом он отметил, что «игра стоила свеч в любом случае, так как операция нанесла значительный ущерб деятельности Hive».

Британская Королевская почта заявила, что кибератака на её компьютерные сети не привела к утечке данных

Британская Королевская почта, подвергшаяся на прошлой неделе кибер-атаке, из-за чего была временно прекращена отправка посылок и писем за пределы страны, утверждает, что личные данные её клиентов при взломе не были скомпрометированы.

 Источник изображения: Pixabay

Источник изображения: Pixabay

Гендиректор Royal Mail Саймон Томпсон (Simon Thompson) заявил во вторник на заседании Палаты общин британского парламента, что, согласно проведённому расследованию, утечки данных не произошло, хотя Управление Комиссара по информации Великобритании, которое регулирует вопросы конфиденциальности данных, было проинформировано о происшедшем инциденте.

«Если эта ситуация изменится, то мы, конечно, немедленно сообщим об этом клиентам и властям», — сказал Томпсон членам парламента. Он добавил, что компанию предупредили о том, что обсуждение даже незначительных или дополнительных деталей, касающихся инцидента, может нанести вред расследованию.

По словам Томпсона в ближайшее время следует ждать новостей по этому поводу, что предполагает появление возможности возобновления международных почтовых отправлений.

Как утверждает Bloomberg со ссылкой на информированные источники, за кибератакой на Королевскую почту стоит хакерская группировка LockBit, которая, используя вирус-вымогатель, блокирует работу компьютерных сетей, и требует за их разблокировку выкуп.

Вирус-вымогатель парализовал работу Королевской почты Великобритании — в атаке обвинили российских хакеров

В результате атаки вируса-вымогателя семейства Lockbit Королевская почта Великобритании временно лишилась возможности обрабатывать международные отправления — в подвешенном состоянии оказались более полумиллиона посылок и писем. По версии следствия, в инциденте виновны российские хакеры, передаёт Telegraph.

 Источник изображения: Mikhail Fesenko / unsplash.com

Источник изображения: Mikhail Fesenko / unsplash.com

Вирус-вымогатель с сигнатурой Lockbit зашифровал файлы на компьютерах в инфраструктуре Королевской почты и вывел на их экраны сообщение с требованием выкупа за расшифровку файлов. При атаке был использован подвид вредоноса Lockbit Black — он заразил машины, используемые почтовым оператором для печати таможенных этикеток на отправляемой за границу корреспонденции, сообщили знакомые с ходом расследования источники. Злоумышленники также пригрозили опубликовать похищенные с компьютеров данные на сайте в даркнете.

Сообщение с требованием уплаты выкупа не только демонстрируется на мониторах заражённых машин, но и выводится на печать — это было замечено как минимум в одном распределительном центре, расположенном в североирландском городе Малласк близ столицы региона Белфаста. Расследование инцидента проводит Национальное агентство по борьбе с преступностью Великобритании (NCA), а в борьбе с его последствиями Королевской почте помогает Национальный центр кибербезопасности.

Хакеры предложили Twitter эксклюзивную сделку — они продают данные 400 млн пользователей соцсети за $200 тысяч

На хакерском форуме Breach пользователь с ником Ryushi опубликовал заявление, предложив владельцу и главе Twitter Илону Маску (Elon Musk) эксклюзивную сделку. Хакер сообщил, что располагает данными более 400 млн аккаунтов соцсети — они были получены благодаря уязвимости, обнаруженной в 2021 году и сегодня уже закрытой. В противном случае ресурсу угрожает утечка данных с последующими огромными штрафами со стороны европейских регуляторов.

 Источник изображения: Twitter

Источник изображения: Twitter

Согласно общему регламенту о защите данных (GDPR), принятому в ЕС, Twitter грозит многомиллионный штраф за утечку, о чём и упоминает хакер, обращаясь к руководству социальной сети на форуме: «Ваш лучший вариант избежать уплаты $276 млн долларов штрафа в соответствии с GDPR — эксклюзивно купить данные». Дополнительно шантажист оставил ссылку на страницу, где рассказывается, как именно такие сведения могут быть использованы другими злоумышленниками — для фишинговых атак, криптомошенничества и атак BEC-типа, предполагающих подмену легитимных пользователей их «клонами».

В посте размещён образец с данными о 37 знаменитостях, включая звёзд, чиновников, политиков, журналистов и бизнесменов, а также сведения тысячи профилей обычных пользователей, включая электронные адреса, имена, количество подписчиков, даты создания аккаунтов и телефонные номера. Хотя почти все из этих данных являются общедоступными, адреса электронной почты и телефонные номера обычно не афишируются.

Как удалось выяснить сотрудникам портала BleepingComputer у самого Ryushi (возможно, речь идёт не об одном человеке, а группе лиц), пока предлагается Twitter приобрести базу за $200 тыс. с последующим её удалением шантажистом. Если предложение не будет принято, её начнут продавать «в розницу» разным людям, по $60 тыс. за копию. На вопрос о том, связывался ли злоумышленник с Twitter, журналистам ответили, что попытки наладить контакты были, но в социальной сети на предложение не ответили.

Злоумышленник подтвердил, что получил номера телефонов и адреса электронной почты благодаря уязвимости API, обнаруженной в 2021 году и устранённой в январе 2022-го. Ранее считалось, что произошла утечка данных только 5,4 млн аккаунтов. В BleepingComputer сообщают, что проверка образцов показала достоверность данных как минимум из двух профилей. По данным экспертов по кибербезопасности Hudson Rock, они провели собственную проверку и установили, что опубликованные в общем доступе образцы настоящие. Тем не менее, в компании подчёркивают, что пока нет возможности проверить, имеются ли в базе данные всех 400 млн пользователей.

Сведения об утечке появились в неблагоприятные для социальной сети времена: ирландский регулятор как раз начал расследование недавней публикации сведений о 5,4 млн пользователей, украденных в 2021 году. Известно, что ещё один злоумышленник заявлял о краже сведений 17 млн профилей, которые пока не выставлены на продажу. Всего в Twitter зарегистрированы более 1 млрд аккаунтов.

Хакеры на месяц парализовали правительственные системы целого государства — Вануату

Кибератаки на правительственные информационные системы стали вполне заурядным явлением для всего мира, но недавно выяснилось, что такая активность злоумышленников может парализовать работу IT-инфраструктуры целой страны. Месяц от действий преступников страдало тихоокеанское островное государство Вануату.

 Источник изображения: Sigmund/unsplash.com

Источник изображения: Sigmund/unsplash.com

С начала ноября правительственные IT-структуры Вануату в полном составе «ушли в офлайн» из-за кибератаки. Деталей пока известно немного, и в настоящий момент восстановлено только около 70 % государственных информационных служб. Проблемы с компьютерными системами были замечены в первый день после начала работы нового избранного правительства страны 6 ноября. В результате были отключены все правительственные компьютерные службы.

Представители власти не могли получить доступ к почтовым аккаунтам, граждане не могли продлить сроки действия водительских удостоверений или заплатить налоги, недоступной стала медицинская и любая другая информация экстренных служб. Во многих случаях чиновникам пришлось вернуться к бумагам и ручкам. Правительство признаёт, что выявило «брешь» в системах в начале ноября, но предпочитает не делиться дополнительной информацией. Согласно некоторым источникам, инцидент стал следствием атаки вымогателей. Тем не менее сами власти эту информацию никак не комментируют.

Одной из причин, по которой эксперты говорят о вымогателях, является прецедент в США, произошедший примерно за месяц до происшествия в Вануату. 8 сентября в округе Саффолк штата Нью-Йорк произошла атака кибервымогателей, в результате чего пришлось отключить все информационные системы местных властей, от полиции до социальных служб. Дополнительно хакеры украли персональные данные граждан. Подозревается кибергруппа BlackCat, ранее осуществлявшая атаки в Италии и Флориде (США).

Пока неизвестно, насколько хорошо были защищены системы Вануату, но известно, что в США власти использовали устаревшие компьютерные системы, которые было слишком дорого обновлять.

Такие регионы как Вануату являются идеальными целями для кибератак, поскольку у них отсутствуют ресурсы для обеспечения защиты информационных систем на должном уровне — в сравнении с возможностями крупных правительственных организаций. Поскольку подобных «целей» в мире ещё немало, стоит ожидать новых атак в обозримом будущем.

Хакеры-вымогатели стали требовать меньше денег с жертв в России

В России значительно упали размеры выкупов, требуемых программами-шифровальщиками. Как сообщает «Коммерсантъ» со ссылкой на источники в отрасли, подобный «дисконт» связан с ужесточением требований регуляторов к принципам реагирования бизнеса на подобные случаи и относительно невысокой стоимостью услуг специалистов, расследующих подобные инциденты. Тем не менее бизнес киберпреступников остаётся прибыльным за счёт падения себестоимости атак.

 Источник изображения: Pete Linforth / pixabay.com

Источник изображения: Pete Linforth / pixabay.com

По сведениям издания, ссылающегося на сведения специалистов по кибербезопасности, использующие вирусы-шифровальщики злоумышленники берут гораздо меньшие выкупы, чем раньше. Как сообщает представитель «РТК-Солар», выкуп году к году снизился в 20 раз. Оценки разных экспертов значительно отличаются, иногда в разы и десятки раз, но все они подтверждают общую тенденцию — запрашивать/платить стали гораздо меньше, чем раньше. При этом если одни говорят о десятках тысяч долларов, то другие — о сотнях тысяч.

Как сообщил директор центра противодействия кибератакам Solar JSOC при «РТК-Солар» Владимир Дрюков, цены на ПО для вирусного шифрования данных пользователей упали в 10-12 раз. Дело в том, что не так давно были опубликованы исходные коды ряда программ-шифровальщиков, поэтому они стали общедоступны, и создать вирус могут даже злоумышленники с базовой подготовкой.

Известно, что весной число атак шифровальщиков на российский бизнес выросло втрое. По данным Positive Technologies, половина атак на финансовый сектор осуществлялась с использованием вирусов-шифровальщиков. При этом в атаках часто принимали участие «энтузиасты», ставившие целью не только и не столько заработать, сколько опубликовать украденные персональные данные и другую информацию по политическим мотивам. Раньше к публикации прибегали в основном в случае отказа платить выкуп.

По данным источника «Коммерсанта», стоимость выкупа теперь приходится снижать потому, что слишком большие суммы скорее заставят обратиться к компании, которая берёт меньше денег и расследует инцидент. Более того, при расследовании специалистами по кибербезопасности эксперты способны установить «дыру», благодаря которой злоумышленники проникли в сеть, что позволит закрыть её навсегда. Также с 1 сентября текущего года вступили в силу поправки в закон «О персональных данных», согласно которому, допустившие утечку компании должны в течение 24 часов уведомить Роскомнадзор и в течение 72 часов установить причины инцидента и найти виновных.

Тем не менее, по сведениям Group-IB, в стране по-прежнему действуют некоторые злоумышленники с очень высокими требованиями к жертвам. По данным экспертов компании, если группа OldGremlin ещё в 2021 году требовала у жертв за восстановление доступа к информации 250 млн рублей, то в 2022 году — уже 1 млрд рублей. При этом атаки такими группами обычно осуществляются на крупные организации: банки, логистические фирмы, промышленные и страховые бизнесы.

Русскоязычные хакеры-вымогатели OldGremlin потребовали рекордный выкуп — 1 млрд рублей

Группа русскоязычных хакеров-вымогателей OldGremlin установила в этом году своего рода рекорд по сумме затребованного выкупа по России — с одной российской компании они потребовали 1 млрд рублей. Об этом сообщил ресурс Forbes Russia со ссылкой на отчёт компании Group-IB, специализирующейся на вопросах кибербезопасности. Название пострадавшей организации не раскрывается.

 Источник изображения: Pixabay

Источник изображения: Pixabay

Злоумышленники из OldGremlin второй год подряд бьют рекорд по сумме затребованного выкупа — в прошлом году они потребовали у жертвы за восстановление доступа к данным 250 млн рублей.

«По нашим данным, на счету OldGremlin почти два десятка атак с многомиллионными выкупами, причём в качестве жертв атакующие выбирают всё более крупные корпорации», — сообщил ресурсу Forbes руководитель отдела динамического анализа Group-IB Threat Intelligence Иван Писарев. Он добавил, что до сих пор группировка атаковала компании в России, но в дальнейшем может переключиться на международные цели, как это делали многие русскоязычные преступные организации.

С 2020 года, когда Group-IB впервые зафиксировала активность OldGremlin, группировка провела 16 кампаний по рассылке вредоносных писем, жертвами которых стали банки, логистические, промышленные и страховые компании, ретейлеры, девелоперы, разработчики ПО и один из российских оружейных заводов.

Как сообщает Group-IB, в 2020 году хакеры отправляли рассылки (всего их было 10) от имени микрофинансовых организаций, металлургического холдинга, белорусского завода «МТЗ» и медиахолдинга РБК. В 2021 году была зафиксирована одна кампания с рассылкой от имени Ассоциации интернет-торговли. В 2022 году рассылок было пять, и они отпралялись от имени сервисов «Консультант Плюс», «1С-Битрикс», платёжной системы и других организаций.

В качестве инструмента для взлома хакеры используют фишинговые письма с актуальной повесткой и темой (пандемия, удалённая работа, антироссийские санкции), позволяющие вызвать интерес у пользователей, чтобы те перешли по ссылкам и загрузили вредоносные файлы.

В Group-IB отметили рост интереса хакеров-вымогателей к российскому бизнесу. По данным компании, в прошлом году количество их атак на отечественные компании выросло более чем на 200 %.

Российский ретейл атаковали вирусы-шифровальщики: сумма выкупа достигает 100 млн рублей

Количество атак программ-вымогателей на российские ретейл-компании в первом полугодии нынешнего года резко выросло: целями киберпреступников являются прежде всего крупные сети супермаркетов и маркетплейсы, готовые заплатить злоумышленникам выкуп за скорейшее восстановление работы.

 Источник изображений: pixabay.com

Источник изображений: pixabay.com

Как сообщает газета «Коммерсантъ», ссылаясь на исследование компании «Информзащита», в течение первых шести месяцев нынешнего года число атак вирусов-шифровальщиков на российский ретейл подскочило на 45 % по сравнению с аналогичным периодом прошлого года.

А в компании Group-IB и вовсе говорят о четырёхкратном росте атак в соответствующем сегменте. Специалисты Positive Technologies также указывают на негативную тенденцию.

«Злоумышленники эксплуатируют уязвимости на периметре и веб-ресурсах компаний, а также незащищённые сервисы, которые организации по халатности или недосмотру публиковали вовне», — говорят эксперты.

Вместе с ростом интенсивности кибератак увеличивается и сумма выкупа за восстановление доступа к зашифрованным данным. Если в 2021 году злоумышленники, как правило, требовали не более 30 млн рублей, то сейчас они могут запрашивать до 100 млн рублей.

Хакерская группировка вымогает деньги у властей маленького канадского городка

IT-инфраструктура небольшого канадского городка Сейнт-Мэрис (провинция Онтарио) с населением 7500 человек подверглась атаке хакерской группировки LockBit. Заблокированы крупнейшие узлы городских систем — продолжают работать только базовые службы, такие как очистка воды и транспорт.

 Источник изображения: discoverstmarys.ca

Источник изображения: discoverstmarys.ca

22 июля на сайте группировки LockBit в даркнете появились сведения о взломе официального сайта города, и в качестве подтверждения была опубликована часть скопированных и зашифрованных файлов. Мэр Сейнт-Мэриса Эл Стратди (Al Strathdee) сообщил по телефону журналистам The Verge, что для преодоления проблемы власти города обратились к группе экспертов, которые выявили причину и подготовили план дальнейших действий.

Он подтвердил, что после того, как часть городских систем оказалась заблокированной, мэрия получила от LockBit требование о выкупе, однако деньги пока выплачены не были. Канадское правительство не одобряет выплат выкупов кибервымогателям, но в Сейнт-Мэрисе делегировали принятие окончательного решения рабочей группе по инциденту.

На сайте LockBit опубликованы скриншоты с папками, соответствующими направлениям деятельности городских властей: финансы, здравоохранение и безопасность, очистка сточных вод, данные о собственности и общественные работы. Обычно группировка даёт жертвам время на размышление и при невыплате выкупа публикует похищенную информацию в интернете. Нанятые городом специалисты пытаются восстановить повреждённые данные из резервных копий.

Только в июне 2022 года хакеры LockBit взяли на себя ответственность за 50 инцидентов, связанных с вирусами-вымогателями, пишет Recorded Future. А канадский Сейнт-Мэрис оказался вторым городом, ставшим заложником киберпреступников чуть более чем за неделю: 14 июля аналогичной атаке подвергся городок Фредерик (население 15 000 человек) в американском штате Колорадо — негодяи потребовали $200 000.

За два года хакеры Conti взломали 800 компаний — это настоящая «криминальная IT-компания» с отделом кадров и отпусками

Group-IB Threat Intelligence подготовила отчёт об одной из самых «агрессивных и успешных» группировок хакеров-вымогателей Conti. Как пишет ресурс Forbes со ссылкой на копию отчёта, у «криминальной IT-компании» Conti, есть отдел кадров, подразделения исследований и разработок (R&D), разведки по открытым источникам (OSINT), а также регулярные зарплаты, система бонусов и отпуска. График работы: 14 часов, в среднем с 12:00 до 21:00 по московскому времени, семь дней в неделю.

С момента появления Conti — первые упоминания о ней зафиксированы в феврале 2020 года — от действий злоумышленников пострадало 859 структур, включая корпорации, госструктуры и даже одно государство — Коста-Рика, в котором из-за апрельской атаки было введено чрезвычайное положение. Только за четыре месяца 2022 года список жертв пополнился ещё 156 компаниями.

Самая результативная атака группы хакеров-шифровальщиков — ARMattack — продолжалась c 17 ноября по 20 декабря 2021 года, когда было скомпрометировано более 40 организаций по всему миру, 37 % из США, 3 % из Германии и 2 % из Швейцарии, также по 1 % из Нидерландов, Испании, Франции, Чехии, Швеции и Дании. А на самую быструю атаку у Conti ушло всего три дня.

Хакеры используют технику двойного давления: помимо блокировки данных жертвы они выкладывают на собственном DLS-сайте (Dedicated Leak Site) информацию организаций и учреждений, которые отказались платить выкуп.

Наибольшее количество атак русскоговорящей группы хакеров приходится на США (58,4 %), Канаду (7 %), Великобританию (6,6 %), Германию (5,8 %), Францию (3,9 %) и Италию (3,1 %). Россию они не атакуют. На криптокошельках Conti, по данным Group-IB, находится в общей сложности более 65 000 биткоинов (примерно $1,34 млрд по текущему курсу). Тем не менее, как сообщается, сейчас у Conti серьезные финансовые проблемы из-за того, что её «шеф» залёг на дно, но участники планируют перезапустить проект через 2–3 месяца.

Обнаружен вирус-вымогатель GoodWill, который требует от жертв добрых дел, а не денег

Эксперты по кибербезопасности CloudSEK рассказали о хакерской группировке GoodWill, которая распространяет вирус-вымогатель, но для расшифровки данных требует у жертвы не денежного выкупа, а добрых дел. К примеру, пожертвовать бездомным одеяла, накормить голодающих детей фастфудом или оплатить лечение неимущему, зафиксировать всё это на фото и видео, чтобы потом разместить их в соцсетях.

 Источник изображения: Pete Linforth / pixabay.com

Источник изображения: Pete Linforth / pixabay.com

По версии экспертов, операторы вымогателя работают из Индии — на это указывают их электронные письма и приписанные к Мумбаи IP-адреса, к которым обращается вирус. Кроме того, в одной из строк кода обнаружена запись на «хинглише» — смеси хинди и английского языка. Вредонос написан на фреймворке .NET, сжат упаковщиком исполняемых файлов UPX, а данные на заражённых Windows-машинах шифруются на основе алгоритма AES.

После заражения ПК жертвы вирус GoodWill шифрует на нем файлы различных форматов и предлагает для их расшифровки совершить три добрых дела: подарить одежду или одеяла «нуждающимся на дороге», отвести пятерых бедных детей в заведение фастфуда, а также посетить ближайшую больницу и оплатить лечение человеку, которые не в состоянии сделать этого самостоятельно.

Первые две акции необходимо задокументировать в соцсетях, используя предлагаемую хакерами рамку для фото, а по последней сделать с объектом помощи селфи и вместе с аудиозаписью разговора с этим человеком отправить его операторам вируса-вымогателя. Выполнив три этих добрых дела, необходимо написать и разместить в соцсети статью на тему «Как ты стал добрым человеком, оказавшись жертвой вируса-вымогателя GoodWill». После этого хакеры якобы высылают инструмент для расшифровки данных.

Эксперты обнаружили связь GoodWill с образцом экспериментального вредоноса HiddenTear, который разработал и в целях защиты безопасности разместил на GitHub некий турецкий программист. Как сообщили CloudSEK, 91 из 1246 строк кода GoodWill совпадает с образцом HiddenTear.

Число атак вирусов-вымогателей на российские компании утроилось

В специализирующихся на вопросах кибербезопасности компаниях подсчитали, что с начала весны в три раза выросло количество атак вирусов-вымогателей на ресурсы российских предприятий. Это связывают с украинскими событиями: после его начала в хакерском сообществе произошёл раскол, когда разные группировки стали поддерживать разные стороны конфликта, пишет «Коммерсантъ».

 Источник изображения: Gerd Altmann / pixabay.com

Источник изображения: Gerd Altmann / pixabay.com

В «Лаборатории Касперского» отметили, что в 2022 году операторы вирусов-вымогателей сменили тактику, переключившись с массовых рассылок на атаки с чётко обозначенной целью, а также стали использовать более сложное ПО, способное работать на нескольких операционных системах. В частности, хакерская группировка Conti разработала шифровальщик, способный работать в системах Linux — это «перспективное» направление, отметили в компании Positive Technologies, поскольку популярность этих платформ растёт.

Не менее важным оказалась геополитическая сторона вопроса: группировки хакеров начали принимать одну из сторон в украинским конфликте и проводить свои атаки в поддержку России или Украины. Олег Скулкин из компании Group-IB рассказал, что после заявления группировки Conti о поддержке российской стороны один из её украинских партнёров выложил в открытый доступ личные данные участников группировки и исходный код созданного ими вируса-шифровальщика, который впоследствии стал использоваться против российских компаний. В целом с начала весны, говорят в Group-IB, количество атак вирусов-вымогателей на ресурсы российских компаний утроилось.

Отмечается также, что несколько изменился вектор кибератак: традиционно вирусы-шифровальщики использовались с целью вымогательства за восстановление доступа к данным. Теперь же хакеры всё чаще преследуют иные цели: похищение и публикацию закрытых данных, как это было в ходе инцидента с RuTube, а также нарушение работоспособности ресурсов только ради общественного резонанса.

В 2021 году операторы вирусов-вымогателей установили несколько «рекордов»

Подразделение анализа угроз Unit 42 специализирующейся на вопросах информационной безопасности компании Palo Alto Networks опубликовало доклад, согласно которому сегмент вирусов-вымогателей по итогам прошлого года значительно вырос.

 Источник изображения: Tumisu / pixabay.com

Источник изображения: Tumisu / pixabay.com

По информации Unit 42, атакам вирусов-вымогателей подверглось рекордное число компаний, увеличилось и количество организаций, согласившихся заплатить киберпреступникам выкуп за расшифровку данных. Поставить новые рекорды злоумышленникам помогла новая практика публикации в даркнете «сайтов с утечками» — даже часть выложенных в открытый доступ данных оказывает на жертв вымогательства дополнительное давление, вынуждая их заплатить.

Основываясь на кейсах прошлого года, аналитики Unit 42 подсчитали, что средний размер запрашиваемого киберпреступниками выкупа вырос на 144 % и достиг $2,2 млн, а средний размер фактического платежа вырос на 78 % и составил $540 тыс. Наиболее пострадавшими от вирусов-вымогателей отраслями стали юриспруденция, строительство, оптовая и розничная торговля, здравоохранение, а также производственная сфера.

Самой активной за минувший год стала хакерская группировка Conti — на её долю пришлось в среднем более одного из пяти инцидентов, с которыми работали консультанты Unit 42. Второе место заняла нейтрализованная ФСБ группировка Revil с 7,1 % инцидентов, а третье поделили между собой Hello Kitty и Phobos, чьи «бренды» всплывали в 4,8 % случаев.

Группировка Conti разместила на своём сайте с утечками данные по 511 организациям, и это тоже рекордный показатель. Кроме того, за минувший год появились 35 новых группировок, которые специализируются на вирусах-вымогателях. Часть доходов от незаконной деятельности злоумышленники направляли на разработку новых, более простых в использовании инструментов кибератак, и всё чаще использовались уязвимости нулевого дня.

Резко возросла в вымогательских схемах роль сайтов с утечками, оказывающих на жертв дополнительное психологическое давление — на них были опубликованы данные по 2566 организациям. 60 % жертв находились в Америке, 31 % — в Европе, на Ближнем Востоке и в Африке, а ещё 9 % — в Азиатско-Тихоокеанском регионе.

Lockbit оказался самым быстрым вирусом-шифровальщиком — почти 25 тысяч файлов в минуту

Аналитики специализирующейся на обработке данных компании Splunk провели исследование скорости работы наиболее распространённых программ-вымогателей. Рекордсменом оказался алгоритм Lockbit, шифрующий чуть менее 25 000 файлов за минуту.

 Источник изображения: Pete Linforth / pixabay.com

Источник изображения: Pete Linforth / pixabay.com

В качестве подопытных были взяты образцы нескольких семейств программ-вымогателей, включая Lockbit, Conti и Revil. Эффективность вредоносов заметно варьировалась, однако медианный показатель по шифрованию около 100 000 файлов общим объёмом 53,93 Гбайт составил 42 минуты и 52 секунды. Алгоритм Lockbit оказался самым быстрым — на 86 % быстрее медианного показателя; наиболее эффективный образец программы менее чем за минуту зашифровал почти 25 000 файлов. Авторы проекта уверены, что результаты исследования представляют не только статистический интерес — данные можно будет использовать для оптимизации защиты от шифровальщиков. Компания пообещала опубликовать доклад в специальном разделе своего сайта.

В рамках исследования специалисты выбрали 10 наиболее распространённых семейств вымогателей, и в каждом из них взяли 10 экземпляров бинарных файлов. В качестве испытательной площадки были выбраны частные пространства на Amazon Web Services, где все образцы вредоносов запускались на четырёх хостах: двух под управлением Windows 10 и двух под Windows Server 2019. Вся телеметрия по производительности транслировалась на центральный инстанс для последующего анализа.

Семейства вымогателей выбирались из базы VirusTotal на основе их распространённости за последние два года. «Финалистами» стали LockBit, Babuk, Avaddon, Ryuk, REvil, BlackMatter, Darkside, Conti, Maze и Mespinoza. Медианное время работы вымогателей семейства LockBit оказалось наименьшим среди всех — оно составило 5 минут и 5 секунд. Примечательно, что это время практически не зависело от конфигурации виртуальной машины. Результат оказался закономерным, поскольку вредоносы семейства LockBit шифруют только 4 кбайт каждого файла, нарушая целостность данных, а затем переходят к следующему, тогда как остальные представители этого «зоопарка» шифруют файлы целиком, и это предсказуемо занимает больше времени. Самым медленным оказалось семейство Mespinoza с медианным результатом чуть менее 2 часов.

Взломавшие NVIDIA хакеры продают информацию об обходе ограничителя майнинга в видеокартах GeForce RTX 30-й серии

Хакерская группа LAPSUS$ заявляет, что в течение недели обладала доступом к внутренним серверам компании NVIDIA и похитила оттуда 1 Тбайт конфиденциальной информации. По заявлениям злоумышленников, несмотря на все усилия производителя графических процессоров, им удалось получить доступ к данным о графических драйверах NVIDIA, иному программному обеспечению, а также к документации различных продуктов производителя.

 Источник изображений: VideoCardz

Источник изображений: VideoCardz

Более того, хакеры заявляют, что получили доступ к информации, позволяющей обходить ограничитель майнинга (LHR V2) в видеокартах GeForce RTX 30-й серии на базе графических процессоров GA102 и GA104. И эти данные выставлены на продажу.

Злоумышленники отмечают, что NVIDIA не хочет наладить с ними контакт. Это в конечном итоге может привести к тому, что хакеры выложат остальную имеющуюся у них конфиденциальную информацию в открытый доступ. Более того, некоторую часть этой информации, похоже, киберпреступники уже выложили в Сеть.

NVIDIA до сих пор не поделилась подробностями инцидента, но подтвердила, что занимается расследованием произошедшего. Согласно более ранним сообщениям хакеров, специалисты по кибербезопасности компании сами проникли в компьютеры злоумышленников и попытались зашифровать похищенные данные. Однако все усилия оказались напрасными — хакеры произвели резервное копирование похищенной информации.

window-new
Soft
Hard
Тренды 🔥