Сегодня 26 сентября 2017
18+
Теги → шифровальщик
Быстрый переход

Новый зловред имитирует работу шифровальщика

Компания ESET предупреждает о росте активности новой вредоносной программы, которая «притворяется» зловредом с функциями вымогателя.

Программа носит имя MSIL/Hoax.Fake.Filecoder. Проникнув на компьютер жертвы, она отображает окно с требованием выкупа за восстановление доступа к якобы закодированным файлам. На деле же функции шифрования зловред не поддерживает.

Любопытно, что выводимое сообщение закрывает рабочий стол, блокируя доступ пользователя к файлам, папкам и приложениям. В этом уведомлении говорится, что все важные документы, фотографии и видеоматериалы, базы данных и другие ценные файлы заблокированы. Пользователю предлагается внести выкуп в размере 0,5 биткоина в течение трёх дней. Через три дня сумма выкупа удваивается, через семь — расшифровать файлы будет невозможно.

В целом, MSIL/Hoax.Fake.Filecoder весьма убедительно копирует поведение «классических» шифраторов. Это может ввести жертву в заблуждение.

ESET отмечает, что вредоносная программа распространяется по стандартной для большинства шифраторов схеме — в электронной почте с вредоносным вложением или ссылкой. В качестве документа-приманки, запускающего загрузку вредоносной программы, выступают «исковые заявления», «кредитные договоры», «неоплаченные счета» и пр.

Анализ показывает, что осуществлять шифрование файлов программа не способна в принципе — в её коде попросту отсутствуют соответствующие алгоритмы. Операторы лжешифратора рассчитывают исключительно на методы социальной инженерии, а также общественный резонанс от недавних атак шифраторов. 

Киберпреступная схема «вымогатель как услуга» набирает популярность

Исследование, проведённое компанией Positive Technologies, показало, что во втором квартале текущего года продолжили набирать популярность сервисы «вымогатели как услуга» по сдаче троянов в аренду. США и Россия стали наиболее частыми жертвами атак, хотя больше четверти (28 %) киберкампаний были масштабными и затронули одновременно десятки стран.

Схема работы зловредов-вымогателей сводится к следующему. Проникнув на устройство жертвы, вредоносная программа шифрует файлы распространённых форматов. Далее на экран выводится сообщение с требованием выкупа за восстановление доступа к данным. Обычно жертве предлагается заплатить некую сумму в криптовалюте.

По статистике Positive Technologies, 67 % атак шифровальщиков во втором квартале текущего года были совершены с целью получения прямой финансовой выгоды. Так, нашумевшая эпидемия вируса-вымогателя WannaCry принесла злоумышленникам около $130 тыс., а ущерб компаний составил более миллиарда долларов.

Киберпреступники всё чаще сдают вредоносное ПО с функциями шифрования в аренду. Так, дистрибьютор Petya или Mischa получает от 25 % до 85 % от суммы платежей жертв, а троян-шифровальщик Karmen продаётся на чёрном рынке за $175.

Аналитики отмечают появление новых нестандартных цепочек проникновения в целевую систему. Например, группировка Cobalt использовала произвольные уязвимые сайты в качестве хостинга для вредоносного ПО. Члены группировки APT10 в ходе целевых атак сначала получали доступ в корпоративные сети провайдеров облачных сервисов, а затем по доверенным каналам проникали в сеть организаций-жертв. 

Компания Maersk потеряла $300 млн из-за ExPetr

В конце июня текущего года датская компания A.P. Moller-Maersk, занимающаяся судоходным и логистическим бизнесом, стала жертвой компьютерного вируса-вымогателя ExPetr. Согласно прогнозу, опубликованному в отчёте за второй квартал, это обойдётся ей в $200–300 млн упущенной выгоды. Уточнённую сумму убытков конгломерат, скорее всего, сообщит уже в итогах третьей четверти, ведь негативные последствия кибератаки он продолжал испытывать на себе на протяжении первых двух недель июля.

Наибольшие масштабы заражения шифровальщиком ExPetr наблюдались в подразделениях Maersk Line (морские грузоперевозки), APM Terminals (контейнерные терминалы) и Damco (логистика). Работа нескольких портов была парализована в течение нескольких дней, что для компании такого уровня не могло не обойтись сотнями миллионов долларов ущерба. Отметим, что представительства Maersk находятся более чем в 135 странах мира, а общее число их сотрудников достигает 90 000 человек. Кроме того, Maersk считается крупнейшим в мире оператором морских контейнерных перевозок.

Leon Compton / Twitter

Leon Compton / Twitter 

Напомним, что ExPetr начал свое распространение 27 июня 2017 года с Украины через скомпрометированное обновление программы документооборота M.E.Doc, а затем проник в Россию и другие страны. Как и его предшественник WannaCry, зловред требовал выкуп в размере $300 в Bitcoin-эквиваленте за якобы расшифровку файлов. Однако, как позже выяснили эксперты «Лаборатории Касперского», на самом деле такая функция в него заложена не была. Кроме того, email-адрес, посредством которого жертвы должны были связываться с хакерами для разблокировки своих компьютеров, был закрыт сервис-провайдером Posteo.

Проект No More Ransom сэкономил жертвам вымогателей миллионы евро

Год назад Европол, полиция Нидерландов, «Лаборатория Касперского» и Intel Security запустили проект No More Ransom для борьбы с программами-шифровальщиками и вымогателями. Теперь участники инициативы отрапортовали о результатах работы этого ресурса.

В рамках проекта был запущен специальный веб-сайт, на котором пользователи могут найти информацию о шифровальщиках и исходящих от них угрозах, а также получить бесплатные инструменты для восстановления своих данных.

Сообщается, что за прошедший год инициативу поддержали более ста партнёров, среди которых как частные компании, так и правоохранительные органы разных стран. Это, в частности, банковский конгломерат Barclays, бельгийский CERT (CERT.BE), и Глобальный форум по киберэкспертизе (Global Forum on Cyber Expertise, GFCE).

Сейчас на сайте No More Ransom можно найти 54 утилиты для расшифровки файлов, разработанные «Лабораторией Касперского» и другими участниками проекта. Эти инструменты успешно борются со 104 семействами вымогателей. За год ресурс посетили 1,3 миллиона уникальных пользователей.

В общей сложности за минувший год благодаря проекту No More Ransom было расшифровано более 28 тысяч заражённых вредоносным ПО устройств. Сумма сэкономленных на выкупе денег составила 8 миллионов евро.

Отмечается также, что общее количество пользователей, столкнувшихся с шифровальщиками, растёт: за последний год оно увеличилось на 11 % и превысило уже 2,5 миллиона человек. В такой ситуации развитие проекта No More Ransom помогает эффективнее бороться с кибервымогателями. 

Количество жертв программ-шифровальщиков быстро растёт

«Лаборатория Касперского» подсчитала, что количество пострадавших от программ-вымогателей за год увеличилось практически в два раза.

Схема работы зловредов-вымогателей сводится к следующему. Проникнув на устройство жертвы, вредоносная программа шифрует файлы распространённых форматов. Далее на экран выводится сообщение о проведённом кодировании, которое сопровождается предложением заплатить выкуп за восстановление доступа к данным. Как правило, злоумышленники требуют вознаграждение в криптовалюте.

Итак, по данным «Лаборатории Касперского»,  количество пострадавших от троянов, шифрующих файлы, выросло практически вдвое — с 718 536 в 2015–2016 годах до 1 152 299 в 2016–2017. При этом число пользователей, ставших жертвами всех программ-вымогателей, за тот же период выросло только на 11,4 %: с 2 315 931 до 2 581 026.

Лаборатория Касперского

Лаборатория Касперского

Эксперты отмечают, что всё чаще шифровальщики нацелены на финансовую и промышленную инфраструктуру. Причина такой тенденции очевидна: преступники считают целевые вредоносные атаки на организации гораздо более прибыльными, чем массовые атаки на рядовых пользователей. В таком случае целью киберпреступников становятся не только деньги компании, но и ценная информация, которую можно использовать для шантажа или саботажа.

Злоумышленники также активно осваивают новые территории. Например, Россия ранее входила в десятку государств, отличающихся наиболее интенсивным ростом количества инцидентов с программами-вымогателями, но по итогам отчётного периода уступила место таким странам, как Турция, Вьетнам и Япония. 

Обнаружен сложный бекдор, задействованный в атаках шифраторов Petya и XData

Компания ESET опубликовала новую информацию об атаках опасного шифровальщика Petya (Diskcoder.C), который поразил компьютеры во многих странах по всему миру.

Как удалось выяснить, первыми жертвами зловреда стали украинские пользователи M.E.Doc, корпоративного программного обеспечения для отчётности и документооборота. Злоумышленники получили доступ к серверу обновлений M.E.Doc и с его помощью направили пользователям вредоносные апдейты с автоматической установкой.

Теперь экспертам ESET удалось обнаружить очень сложный бекдор, задействованный в атаках шифратора Petya, а также XData. Оказалось, что этот зловред был скрытно встроен в один из модулей M.E.Doc. Специалисты полагают, что проделать такую работу можно только при наличии доступа к исходному коду программы документооборота.

Более того, выяснилось, что бекдор был интегрирован как минимум в три обновления M.E.Doc — от 14 апреля, 15 мая и 22 июня нынешнего года. Через несколько дней после выхода последнего из названных апдейтов и началась эпидемия Petya.

Бекдор позволяет загружать и выполнять в заражённой системе другое вредоносное ПО — именно так осуществлялось начальное заражение шифраторами Petya и XData. Кроме того, программа собирает настройки прокси-серверов и электронной почты, включая логины и пароли из приложения M.E.Doc, а также коды компаний по ЕДРПОУ (Единому государственному реестру предприятий и организаций Украины), что позволяет идентифицировать жертв. 

ExPetr парализовал работу крупной медицинской компании

Сеть медицинских клиник «Инвитро» приостановила приём биоматериала для анализов в своих офисах на территории России, Белоруссии и Казахстана, о чём известила клиентов через свой сайт. Как сказано в объявлении, скриншот которого приведён ниже, это связано с процессом восстановления инфраструктуры компании после кибератаки.

Воздействию какого вредоносного ПО подверглась «Инвитро», не уточняется, но двумя днями ранее в официальной группе клиники во «ВКонтакте» появилось сообщение о кибератаке, «которой вчера подверглись крупнейшие компании во всем мире». Иными словами, речь идёт о вирусе-вымогателе, который в обиходе называют Petya, а «Лаборатория Касперского» окрестила его ExPetr, подчеркнув, что с оригинальным Petya, обнаруженном ещё в 2016 году, он имеет мало общего.

Последствия эпидемии очередного шифровальщика «Инвитро» ощутила на себе ещё в среду. Тогда сообщалось, что из-за вызванного вирусом сбоя лаборатории испытывают проблемы с доставкой результатов исследований пациентам, но утечка персональных данных допущена не была. Когда клиники сети возобновят нормальную работу, пока не говорится. Надо отметить, что «Инвитро» позиционирует себя как крупнейшую частную медицинскую компанию в России, располагающую 900 офисами, так что перебои в её работе не могли пройти незамеченными.

Согласно статистике «Лаборатории Касперского», наибольшее число заражённых ExPetr компьютеров зафиксировано на территории Украины (60 %), второе место по этому показателю занимает Россия (30 %), в то время как на Польшу приходится 5 % случаев инфицирования. Данные другой антивирусной компании — ESET — подтверждают первенство Украины в степени заражённости компьютеров вирусом, говоря о доле в 75 %, а вот Россию ставят только на седьмую позицию с 0,82 % прецедентов. Среди крупных российских компаний, ставших жертвами ExPetr, оказалась «Роснефть», в Нидерландах пострадала служба экспресс-доставки  TNT Express, а в Индии перебои наблюдались в контейнерном грузовом порту Джавахарлал Неру. Подробнее об эпидемии можно узнать из нашего отдельного материала.

«Лаборатория Касперского»: у жертв ExPetr нет шансов расшифровать файлы

Вирус-шифровальщик, атаковавший 27 июня сначала компьютеры на территории Украины и России, а затем распространившийся в других странах и дошедший даже до не пострадавшей от WannaCry Австралии, изначально причисляли к семейству вымогателей Petya, обнаруженному ещё в 2016 году. Однако позже «Лаборатория Касперского» установила, что вредоносное ПО имеет с уже известными разновидностями лишь несколько общих строк кода, в целом представляя собой новый вирус. Его компания назвала ExPetr, хотя в Интернете он также упоминается как NotPetya.

Фото: Лаборатория Касперского

Фото: Лаборатория Касперского 

Согласно последнему исследованию «Лаборатории Касперского», ExPetr/NotPetya по своей сути не является вымогателем в привычном понимании, так как у пользователей зараженных компьютеров изначально нет шансов вернуть доступ к зашифрованным файлам даже в случае уплаты выкупа в размере $300 в Bitcoin-эквиваленте.

Эксперты обратили внимание на то, что в предыдущих версиях шифровальщиков Petya/Mischa/GoldenEye содержался специальный идентификатор с информацией для дешифрования. Что же касается ExPetr, то показываемый им Installation Key является бессмысленным набором символов, то есть ключ для расшифровки по нему получить нельзя. Напомним также, что email-адрес, на который жертвы должны пересылать сведения о выплате выкупа и другие данные для разблокировки, был закрыт сервис-провайдером Posteo. Таким образом, шансов вернуть свои файлы у пострадавших от активности ExPetr нет, констатировали в «Лаборатории Касперского».

Фото: Group-IB

Фото: Group-IB 

Интенсивность атак вирусов-вымогателей растёт

«Лаборатория Касперского» обнародовала отчёт в сфере кибербезопасности, посвящённый изучению характера угроз вирусов-вымогателей.

Представленные данные охватывают период с апреля 2016 по март 2017 года. Полученные данные сравниваются с результатами за период с апреля 2015 по март 2016 года.

Итак, сообщается, что интенсивность атак вредоносных программ с функциями вымогания денег растёт. Общее количество пользователей, столкнувшихся с вирусами-вымогателями в течение года, увеличилось на 11,4 % — с 2 315 931 до 2 581 026 человек по всему миру.

Количество пользователей, подвергнувшихся атаке шифровальщиков, возросло почти вдвое — от 718 536 в 2015–2016 гг. до 1 152 299 в 2016–2017 гг. При этом, однако, количество пользователей, подвергнувшихся атаке мобильных вирусов-вымогателей, уменьшилось на 4,62 % — со 136 532 в 2015–2016 гг. до 130 232 в 2016–2017 гг.

Эксперты «Лаборатории Касперского» отмечают, что вредоносные атаки становятся всё более нацеленными на финансовую инфраструктуру по всему миру. Причина такой тенденции очевидна: преступники считают целевые вредоносные атаки на организации потенциально более прибыльными, чем массовые атаки на рядовых пользователей.

Специалисты говорят, что вирусы-вымогатели усложняются и становятся более разнообразными. При помощи растущей и всё более эффективной подпольной экосистемы злоумышленники предлагают свои вредоносные решения «под ключ» тем, у кого недостаточно навыков, ресурсов или времени для создания собственного решения.

В результате развития инфраструктуры для взаимодействия между преступниками, появляются простые узконаправленные утилиты для совершения целевых атак и вымогательства денег, что придаёт атакам более рассредоточенный характер. Данная тенденция уже сформировалась и, скорее всего, будет наблюдаться в будущем. 

Клон шифровальщика WannaCry атакует крупные компании

Вредоносная программа, схожая по функциональности с печально известным вымогателем WannaCry, атакует крупные компании в России. Об этом сообщает газета «Ведомости», ссылаясь на информированные источники.

Напомним, что в первой половине мая пользователи и организации по всему миру пострадали от масштабной атаки зловреда WannaCry. Вредоносная программа кодирует файлы распространённых форматов и требует выкуп за восстановление доступа к данным. WannaCry использует гибридный алгоритм шифрования RSA+AES, что делает восстановление зашифрованных файлов практически невозможным.

Как теперь сообщается, в Сети зафиксировано распространение нового зловреда, аналогичного по функциональности программе WannaCry. Вирус является модификацией известного шифровальщика Petya.A — он поражает жёсткий диск и распространяется при помощи ссылок в письмах. Отметим, что Petya — один из наиболее заметных зловредов, распространяемых по модели «вымогатели как услуга» (Ramsomware-as-a-Service, RaaS). Авторы распространяют его через многочисленных посредников, получая часть прибыли.

Как сообщают «Ведомости», от новой вредоносной программы пострадали практически все компьютеры «Башнефти» (включая НПЗ «Башнефть», «Башнефть-добыча» и управлении «Башнефти»). Шифровальщик требует перевести 300 долларов США в биткоинах за расшифровку информации. Впрочем, «Башнефть» смогла продолжить работу благодаря переходу на резервную систему управления производственными процессами.

Отмечается также, что атакам вымогателя подверглись и другие крупные компании в нашей стране. О том, атакуют ли злоумышленники рядовых пользователей Интернета, ничего не сообщается. 

В организации атаки вымогателя WannaCry подозревается Северная Корея

К организации масштабной атаки опасного шифровальщика WannaCry могут быть причастны киберпреступники, связанные с Северной Кореей. К такому выводу пришли эксперты Подразделения национальной компьютерной безопасности в составе Центра правительственной связи Великобритании.

Напомним, что 12 мая пользователи и организации по всему миру пострадали от масштабной атаки вымогателя WannaCry. Вредоносная программа кодирует файлы распространённых форматов и требует выкуп в размере 300–600 долларов США в биткоинах. Зловред использует гибридный алгоритм шифрования RSA+AES, что делает восстановление зашифрованных файлов практически невозможным.

WannaCry атаковал пользователей по всему миру. По количеству заражений лидируют Россия, Украина и Индия. В Великобритании были инфицированы компьютеры в больницах (NHS trusts).

Британские эксперты, как сообщают сетевые источники, пришли к выводу, что атака WannaCry могла быть организована киберпреступной группировкой Lazarus Group. Это сообщество сетевых злоумышленников, предположительно, имеет северокорейское происхождение.

По данным «Лаборатории Касперского», Lazarus Group известна с 2009 года, а с 2011 года она заметно активизировалась. Группа ответственна за такие известные атаки, как Troy, Dark Seoul (Wiper), WildPositron. Мишенями группировки были предприятия, финансовые организации, радио и телевидение. Кроме того, группа Lazarus ответственна за атаку на Sony Pictures в 2014 году. 

Ошибки в WannaCry помогут вернуть зашифрованные файлы

«Лаборатория Касперского» провела глубокий анализ опасного шифровальщика WannaCry и обнаружила в его архитектуре ошибки, которые помогут частично вернуть закодированные файлы.

Напомним, что 12 мая пользователи и организации по всему миру пострадали от масштабной атаки вымогателя. Вредоносная программа кодирует файлы распространённых форматов и требует выкуп в размере 300–600 долларов США в биткоинах. Зловред использует гибридный алгоритм шифрования RSA+AES, что делает восстановление зашифрованных файлов практически невозможным.

Переименованные оригинальные файлы, которые можно восстановить из директории %TEMP%

Переименованные оригинальные файлы, которые можно восстановить из директории %TEMP%

Эксперты «Лаборатория Касперского» выяснили, что в процессе работы зловред читает содержимое оригинального файла, шифрует его и сохраняет в файл с расширением «.WNCRYT». После окончания процесса шифрования WannaCry перемещает файл с расширением «.WNCRYT» в файл «.WNCRY» и удаляет оригинальный файл. При этом логика операций удаления может меняться в зависимости от расположения и свойств оригинальных файлов.

Если файл находится на рабочем столе или в папке «Документы», то перед удалением поверх него будут записаны случайные данные. В этом случае способов восстановить содержимое исходного файла нет.

При кодировании данных в других папках оригинальные файлы перемещаются в директорию %TEMP%\%d.WNCRYT, где %d — это числовое значение. Эти файлы содержат первоначальные данные, поверх которых ничего не пишется, — они просто удаляются с диска. Поэтому существует высокая вероятность, что оригинальные файлы можно будет вернуть при помощи программ восстановления данных. Важно также отметить, что исходные файлы удаляются небезопасно — это повышает шансы на успешное восстановление.

Оригинальные файлы с защитой от записи не зашифровываются

Оригинальные файлы с защитой от записи не зашифровываются

Более того, в WannaCry содержится ошибка обработки файлов с защитой от записи. Если на заражённом компьютере есть такие файлы, то вымогатель их не зашифрует вообще: будут созданы зашифрованные копии каждого такого файла, а сами оригиналы лишь получат атрибут «скрытый». В таком случае их восстановление не составит особого труда. 

Дешифратор WannaCry создан, но не всё так просто

Чтобы уберечься от вируса-вымогателя WannaCry, нужно не так уж много — установить необходимые обновления для Windows (или специальный патч для систем, которые более не поддерживаются) и соблюдать простые правила безопасности в Сети. Однако что делать, если компьютер уже пострадал от вредоносной программы, и файлы на нём оказались зашифрованы, а их резервных копий нет? Платить киберпреступникам эксперты по безопасности категорически не советуют — во-первых, эти действия будут только поощрять злоумышленников; во-вторых, нет никакой гарантии, что таким способом можно действительно вернуть доступ к информации, и перечисленная сумма (а это не менее $300) не окажется потраченной зря. Впрочем, на сегодняшний день уже существуют программы, которые позволяют дешифровать закодированные вирусом данные без уплаты выкупа. Одна из них называется WannaKey, но работает она только под Windows XP. Французский исследователь Бенджамин Делпи (Benjamin Delpy) создал на её базе собственный инструмент, который называется WannaKiwi и подходит не только для Windows XP, но также и для Windows Server 2003 и Windows 7. Кроме того, теоретически приложение должно работать на Windows Vista, 2008 и 2008 R2.

Принцип, по которому действует WannaKiwi, аналогичен алгоритму WannaKey. Он основан на том, что после активации вредоносной программы простые числа ключа шифрования сохраняются в компьютере, и WannaKiwi может их найти и по ним восстановить сам ключ. Однако, чтобы это сработало, необходимо применить WannaKiwi как можно скорее после заражения, и при этом не перезагружать компьютер. Если данные условия не будут соблюдены, то необходимые для «реконструкции» ключа компоненты, скорее всего, окажутся перезаписаны, и утилита Бенджамина Делпи окажется бессильна.

Впрочем, пока борцы за компьютерную безопасность искали «лекарство» от WannaCry, вирусописатели также не сидели сложа руки. На днях исследователи обнаружили новый «штамм» вредоноса, который использует тот же механизм распространения, что и пресловутый WannaCry, наделавший немало шума больше недели тому назад. Ему дали название EternalRocks, и он также основан на эксплойте EternalBlue, созданным Агентством национальной безопасности США, но попавшим в руки хакеров. При этом EternalRocks использует ещё шесть инструментов, в том числе EternalChampion, EternalRomance и DoublePulsar. Как утверждают источники, все они также были разработаны в АНБ, и благодаря ним новый вирус сможет распространяться быстрее и поражать большее количество компьютеров. Правда, пока найденные образцы не представляют какой-либо угрозы, так как не содержат в своём коде деструктивных элементов, таких как, к примеру, шифровальщик файлов. Однако это не значит, что впоследствии злоумышленники не смогут удалённо запустить данные механизмы на заражённых машинах.

Две трети пострадавших от вымогателя WannaCry компьютеров использовали Windows 7

Львиная доля компьютеров, пострадавших от опасного шифровальщика WannaCry, функционировала под управлением операционной системы Windows 7. К такому выводу, как сообщает Reuters, пришли специалисты BitSight.

Напомним, неделю назад, 12 мая, пользователи и организации по всему миру пострадали от масштабной атаки вымогателя WannaCry. Вредоносная программа кодирует файлы распространённых форматов и требует выкуп в размере 600 долларов США в биткоинах. Зловред использует гибридный алгоритм шифрования RSA+AES — из-за этого восстановление зашифрованных файлов практически невозможно.

По данным BitSight, количество жертв WannaCry превышает 300 тыс. На двух третях (67 %) пострадавших компьютеров применялась операционная система Windows 7 без установленных обновлений безопасности. Ещё примерно 15 % инфицированных ПК полагались на новейшую платформу Windows 10. Оставшиеся 18 % компьютеров-жертв использовали другие версии Windows.

Половина всех интернет-адресов, которые подверглись атакам шифровальщика WannaCry, расположены в Китае и России — 20 % и 30 % соответственно. От своих жертв в качестве выкупа злоумышленники получили более 80 тысяч долларов США.

Эксперты предупреждают, что в ближайшее время могут появиться усовершенствованные модификации WannaCry, которые теоретически будут ещё опаснее. Поэтому специалисты настоятельно рекомендуют пользователям, ещё не загрузившим апдейт Microsoft, как можно скорее установить обновление MS17-010, закрывающее лазейку для вредоносной программы. 

Утилита ESET поможет проверить ПК на предмет защиты от шифратора WannaCry

Компания ESET выпустила специальную утилиту, которая поможет проверить рабочие станции на предмет защиты от атак вредоносной программы WannaCry.

Масштабная атака WannaCry была зафиксирована в конце прошлой недели. По последним данным, от этого шифратора пострадали пользователи и организации в 150 странах по всему миру. К сожалению, в настоящее время расшифровка повреждённых зловредом файлов не представляется возможной из-за использования гибридного алгоритма шифрования RSA+AES.

Вымогатель распространяется при помощи эксплойта EternalBlue для сетевой уязвимости в Microsoft Windows. За созданием этого инструмента, предположительно, стоит Агентство национальной безопасности США.

Несмотря на то, что Microsoft уже выпустила обновление MS17-010, закрывающее критическую уязвимость, которую эксплуатирует этот эксплойт, многие компьютеры остаются незащищёнными. Утилита ESET как раз и призвана помочь в предотвращении возможного проникновения WannaCry в систему.

Для проверки компьютера необходимо скачать архив, распаковать его и запустить VerifyEternalBlue.vbs. Простой скрипт извлекает из системы список установленных обновлений и ищет те, которые закрывают уязвимость. Достаточно исполнить скрипт, подождать около минуты и получить статус патча. Установить отсутствующее обновление MS17-010 можно отсюда.

ESET также отмечает, что создатели WannaCry получили от своих жертв уже больше 80 тысяч долларов США. Однако реальный ущерб от действий шифратора на порядки больше.