Сегодня 09 июня 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Теги → shrinklocker

«Лаборатория Касперского» рассказала, как защититься от вируса-вымогателя ShrinkLocker

Недавно «Лаборатория Касперского» обнаружила новый тип вируса-вымогателя ShrinkLocker, которая использует функцию безопасности BitLocker в Windows. Вредоносный скрипт блокирует доступ к данным владельца устройства и требует за разблокировку выкуп. Специалисты «Касперского» дали рекомендации, как избежать блокировки своих данных.

 Источник изображения: Copilot

Источник изображения: Copilot

BitLocker является средством шифрования дисков, которое впервые появилось в Windows Vista в 2007 году. Функция используется для шифрования целых томов, чтобы предотвратить несанкционированный доступ к данным в случае физического доступа к диску. Начиная с Windows 10, BitLocker по умолчанию работает с 128-битным и 256-битным алгоритмом шифрования XTS-AES, который обеспечивает дополнительную защиту от атак, основанных на манипулировании зашифрованными данными.

Случаи использования ShrinkLocker для шифрования систем были зафиксированы в Мексике, Индонезии и Иордании. Смысл атаки заключается в уменьшении размера каждого логического диска на 100 Мбайт с последующим созданием новых разделов такого же размера из высвободившегося пространства — отсюда и название ShrinkLocker.

По словам специалистов, злоумышленники постоянно совершенствуют свои методы, чтобы избежать обнаружения. В данном случае они воспользовались легитимной функцией шифрования для блокировки доступа к файлам пользователей. К слову, это не первый случай использования BitLocker вредоносными программами. Как пишет издание Arstechnica, в 2022 году сообщалось об иранских вымогателях, которые также применяли этот инструмент для шифрования. В том же году российская компания «Мираторг» подверглась атаке локера, зашифровавшего все файлы при помощи BitLocker.

После запуска на устройстве ShrinkLocker выполняет скрипт на VisualBasic, который с помощью WMI собирает информацию об операционной системе и аппаратной платформе. Если обнаруживаются устаревшие Windows XP, 2000, 2003 или Vista — скрипт автоматически завершается. Далее выполняются операции по изменению размеров дисков с учетом версии Windows. При этом сетевые диски игнорируются, чтобы не спровоцировать реакцию систем защиты.

Заключительным этапом атаки является отключение встроенных в BitLocker средств восстановления ключа шифрования и установка числового пароля. Это делается для того, чтобы заблокировать доступ законного владельца к зашифрованным данным. Далее генерируется уникальный 64-значный пароль при помощи случайного алгоритма на основе цифр, букв и специальных символов. После перезагрузки пользователь видит требование ввести этот пароль для расшифровки дисков.

Восстановление данных без ключа шифрования крайне затруднительно, так как алгоритм генерации пароля уникален для каждой атакованной системы. Специфических средств защиты от ShrinkLocker пока не разработано. «Лаборатория Касперского» советует следующее:

  • Включить регистрацию и мониторинг сетевого трафика, настроить ведение журнала запросов GET и POST, так как в случае заражения, запросы к домену злоумышленника могут содержать пароли или ключи.
  • Отслеживать события, связанные с выполнением VBS и PowerShell, затем сохранять зарегистрированные сценарии и команды во внешнем репозитории.
  • Использовать надежные пароли и двухфакторную аутентификацию там, где это возможно.
  • Регулярно делать резервные копии важных данных.

Кроме того, антивирусное программное обеспечение может помочь в обнаружении и блокировке подобных атак на ранних стадиях.

«Лаборатория Касперского» обнаружила вирус-вымогатель ShrinkLocker — он использует BitLocker

Функция Windows BitLocker снова стала оружием в руках киберпреступников. Специалисты из «Лаборатории Касперского» обнаружили новый вирус-вымогатель под названием ShrinkLocker, который задействует для шифрования данных на атакуемых устройствах BitLocker. Злоумышленники использовали этот вымогатель для атак на IT-инфраструктуру компаний и государственных учреждений в Мексике, Индонезии и Иордании.

 Источник изображения: securelist.com

Источник изображения: securelist.com

Злоумышленники используют вредоносный скрипт на VBScript, языке сценариев, который используется для автоматизации задач на устройствах с Windows. Скрипт проверяет версию используемой ОС и запускает BitLocker, причём сделать это он может на ПК с разными версиями программной платформы, начиная от Vista или Windows Server 2008. Если скрипт обнаруживает более старую версию ОС, то он попросту удаляется с устройства.

Затем вредонос уменьшает все разделы хранилища на 100 Мбайт и задействует высвобожденное пространство для создания нового загрузочного раздела. Из-за этого вымогатель и получил название ShrinkLocker. Далее происходит шифрование хранящихся на устройстве данных с помощью BitLocker и создание нового 64-символьного ключа шифрования, который вместе с другой информацией о ПК жертвы отправляется злоумышленникам. После завершения шифрования компьютер перезагружается и ОС грузится из вновь созданного раздела, а доступ к хранящейся информации для жертвы полностью блокируется. Название нового загрузочного раздела меняется на адрес электронной почты хакера, вероятно, чтобы жертвы могли договориться о выкупе и восстановлении работоспособности устройств.

В сообщении отмечается, что автор ShrinkLocker должен обладать обширными познаниями о работе внутренних функций и утилит Windows. Экспертам «Лаборатории Касперского» не удалось установить, откуда проводятся атаки с использованием нового вредоноса или куда пересылаются данные жертв. Скрипт ShrinkLocker удалось обнаружить всего на одном ПК, где не был установлен BitLocker. Эксперты считают, что характер атак указывает на то, что цель злоумышленников скорее в том, чтобы нарушить работоспособность и уничтожить данные, а не получить выкуп.

Для защиты от атак такого типа рекомендуется чаще делать резервные копии. Кроме того, следует ограничить права пользователей на редактирование, чтобы из их учётных записей было нельзя изменять настройки BitLocker или реестра. В дополнение к этому рекомендуется использовать продвинутые решения для ИБ-защиты, способные отслеживать подозрительную активность и защищать IT-инфраструктуру.


window-new
Soft
Hard
Тренды 🔥
Разработчики Pokemon анонсировали самурайский боевик Beast of Reincarnation — смесь Nier: Automata, Sekiro: Shadows Die Twice и «Принцессы Мононоке» 13 мин.
«С возвращением в армию, солдат»: Microsoft показала первый трейлер Gears of War: Reloaded и анонсировала закрытую «бету» 2 ч.
Aspyr наконец подтвердила Neverwinter Nights 2: Enhanced Edition — дата выхода, полный перевод на русский и предзаказ в российском Steam 2 ч.
Авторы Psychonauts анонсировали красочное приключение Keeper про молчаливую дружбу ожившего маяка и морской птицы 2 ч.
Xiaomi пойдёт по стопам Apple — следующая версия ОС компании получит имя HyperOS 26 3 ч.
В Android-версии WhatsApp появилась функция выбора качества загружаемых фото и видео 3 ч.
Xiaomi SU7 Ultra стал первым китайским спорткаром, прописавшимся в гоночном симуляторе Gran Turismo 7 6 ч.
«Напоминает Dishonored и Bioshock»: презентация ролевой игры Clockwork Revolution про путешествия во времени прошла успешно 12 ч.
Ремейк Persona 4 вышел из тени — первый тизер и геймплей Persona 4 Revival 12 ч.
Activision представила Call of Duty: Black Ops 7 — «самую умопомрачительную» игру в истории серии 13 ч.
Nvidia выручит до $350 млрд на дата-центрах для ИИ только в этом году, несмотря на проблемы в Китае 43 мин.
«Аквариус» анонсировала отечественные серверы AQserv на базе Intel Xeon 6 2 ч.
HighPoint представила первую в мире RAID-карту с поддержкой четырёх M.2 SSD стандарта PCIe 5.0 3 ч.
BYD заявила о своих амбициях на европейском рынке компактных электромобилей 4 ч.
На Солнце зафиксирован один из сильнейших выбросов плазмы за последние годы 4 ч.
Новая статья: Обзор видеокарты NVIDIA GeForce RTX 5060: счастливое исключение 11 ч.
Marvell получила рекордную выручку и рассчитывает на дальнейшее успешное сотрудничество с гиперскейлерами 11 ч.
Microsoft и Asus показали портативные консоли Xbox Ally на новой Windows с интерфейсом Xbox 13 ч.
Meta хочет инвестировать свыше $10 млрд в стартап по разметке данных для ИИ Scale AI 18 ч.
NASA и Пентагон приступили к поиску альтернатив ракетам и кораблям SpaceX 21 ч.