Приветствую Вас, дорогие посетители и гости данного блога! Сегодня в мире появился очередной вирус-шифровальщик по имени: «Bad Rabbit » — «Злобный кролик «. Это уже третий нашумевший шифровальщик за 2017 год. Предыдущие были и (он же NotPetya).
Пока что предположительно от этого шифровальщика пострадали несколько российских медиа - среди них Интерфакс и Фонтанка. Также о хакерской атаке - возможно, связанной с тем же Bad Rabbit, - сообщает аэропорт Одессы.
За расшифровку файлов злоумышленники требуют 0,05 биткойна, что по современному курсу примерно эквивалентно 283 долларам или 15 700 рублям.
Результаты исследования «Лаборатории Касперского» говорят о том, что в атаке не используются эксплойты. Bad Rabbit распространяется через зараженные веб-сайты: пользователи скачивают фальшивый установщик Adobe Flash, вручную запускают его и тем самым заражают свои компьютеры.
Как сообщает «Лаборатория Касперского» — эксперты расследуют эту атаку и ищут способы борьбы с ним, а так же ищут возможность дешифровки файлов, пострадавших от шифровальщика.
Большая часть пострадавших от атаки находятся в России. Так же известно, что похожие атаки происходят в Украине, Турции и Германии, но в гораздо меньшем количестве. Шифровальщик Bad Rabbit распространяется через ряд заражённых сайтов российских СМИ.
«Лаборатория Каперского» считает, что все признаки указывают на то, что это целенаправленная атака на корпоративные сети. Используются методы, похожие на те, что мы наблюдали в атаке ExPetr, однако связь с ExPetr мы подтвердить не можем.
Уже известно, что продукты «Лаборатории Касперского» детектируют один из компонентов зловреда с помощью облачного сервиса Kaspersky Security Network как UDS:DangerousObject.Multi.Generic, а также с помощью System Watcher как PDM:Trojan.Win32.Generic.
Чтобы не стать жертвой новой эпидемии «Плохого кролика», «Лаборатория Касперского » рекомендуем сделать следующее:
Если у вас установлен Антивирус Касперского, то:
Для тех, у кого нет данного продукта:
Еще очень важный совет от меня:
Всегда делайте backup (бекап — резервная копия ) важных Вам файлов. На съемном носителе, в облачных сервисах! Это сбережет ваши нервы, деньги и время!
Желаю вам не подхватит эту заразу к себе на ПК. Чистого и безопасного Вам интернета!
Вирус-шифровальщик Bad Rabbit, атаке которого накануне подверглись российские СМИ, пытался атаковать и российские банки из топ-20, рассказали Forbes в Group-IB, которая занимается расследованием и предотвращением киберпреступлений. Уточнить подробности об атаках на кредитные организации представитель компании отказался, пояснив, что Group-IB не раскрывает информацию о клиентах, использующих ее систему обнаружения вторжений.
По данным специалистов по кибербезопасности, попытки заражения вирусом инфраструктур российских банков происходили 24 октября с 13:00 до 15:00 мск. В Group-IB считают, что кибератаки продемонстрировали более качественную защиту банков по сравнению с компаниями небанковского сектора. Ранее в компании сообщили , что новый вирус-шифровальщик, вероятно, связанный с июньской эпидемией шифровальщика NotPetya (на это указывают совпадения в коде), атаковал российские СМИ. Речь шла об информационных системах агентства «Интерфакс», а также серверах петербургского новостного портала «Фонтанка». Кроме того, вирус ударил по системам Киевского метрополитена, министерства инфраструктуры Украины, Международного аэропорта «Одесса». NotPetya летом поразил энергетические, телекоммуникационные и финансовые компании преимущественно на Украине. За расшифровку файлов, зараженных вирусом BadRabbit, злоумышленники требуют 0,05 биткойна, что по текущему курсу примерно эквивалентно $283 или 15 700 рублям.
В «Лаборатории Касперского» уточнили, что в этот раз большинство жертв хакеры выбрали в России. Однако похожие атаки в компании зафиксировали на Украине, Турции и Германии, но «в значительно меньшем количестве». «Все признаки указывают на то, что это целенаправленная атака на корпоративные сети. Используются методы, похожие на те, что мы наблюдали в атаке ExPetr, однако связь с ExPetr мы подтвердить не можем», - сообщил представитель компании. Собеседник Forbes добавил, что все продукты «Лаборатории Касперского» «детектируют эти вредоносные файлы как UDS:DangerousObject.Multi.Generic».
В целях защиты от этой атаки в «Лаборатории Касперского» рекомендовали использовать антивирус с включенным KSN и модулем «Мониторинг системы». «Если не установлено защитное решение «Лаборатории Касперского», мы рекомендуем запретить исполнение файлов с названиями c:\windows\infpub.dat и C:\Windows\cscc.dat с помощью инструментов системного администрирования», - посоветовал руководитель отдела антивирусных исследований «Лаборатории Касперского» Вячеслав Закоржевский.
В Group-IB отмечают, чтобы вирус не смог зашифровать файлы, «необходимо создать файл C:\windows\infpub.dat и поставить ему права «только для чтения». После этого даже в случае заражения файлы не будут зашифрованы, говорится в сообщении компании. В то же время нужно оперативно изолировать компьютеры, которые были замечены в пересылке подобных вредоносных файлов, чтобы избежать масштабного заражения других компьютеров, подключенных к сети. После этого пользователям необходимо убедиться в актуальности и целостности резервных копий ключевых сетевых узлов.
Когда первичные действия выполнены, пользователю советуют обновить операционные системы и системы безопасности, параллельно заблокировав IP-адреса и доменные имена, с которых происходило распространение вредоносных файлов. Group-IB рекомендует сменить все пароли на более сложные и поставить блокировку всплывающих окон, а также запретить хранение паролей в LSA Dump в открытом виде.
В 2017 году уже было зафиксировано две крупнейших эпидемии шифровальщиков - WannaCry (атаковал 200 000 компьютеров в 150 странах мира) и ExPetr. Последний - Petya и одновременно NotPetya, отмечают в «Лаборатории Касперского». Теперь, по мнению компании, «начинается третья». Имя нового вируса-шифровальщика Bad Rabbit «написано на странице в даркнете, на которую его создатели отправляют за выяснением деталей», уточняют в компании. В Group-IB полагают, что Bad Rabbit является модифицированной версией NotPetya с исправленными ошибками в алгоритме шифрования. В частности, код Bad Rabbit включает в себя блоки, полностью повторяющие NotPetya.
В ESET Russia соглашаются, что использовавшееся в атаке вредоносное ПО «Win32/Diskcoder.D» – модифицированная версия «Win32/Diskcoder.C», более известного как Petya/NotPetya. Как уточнил Виталий Земских, руководитель поддержки продаж ESET Russia, в беседе с Forbes, статистика атак по странам «в значительной степени соответствует географическому распределению сайтов, содержащих вредоносный JavaScript». Таким образом, большая часть заражений пришлась на Россию (65%), следом идут Украина (12,2%), Болгария (10,2%), Турция (6,4%) и Япония (3,8%).
Заражение вирусом Bad Rabbit происходило после захода на взломанные сайты. На скомпрометированные ресурсы в HTML-код хакеры загрузили JavaScript-инжект, который показывал посетителям поддельное окно, предлагающее установить обновление Adobe Flash плеера. Если пользователь соглашался на обновление, то на компьютер устанавливался вредоносный файл с именем «install_flash_player.exe». «Заразив рабочую станцию в организации, шифратор может распространяться внутри корпоративной сети через протокол SMB. В отличие от своего предшественника Petya/NotPetya, Bad Rabbit не использует эксплойт EthernalBlue – вместо этого он сканирует сеть на предмет открытых сетевых ресурсов», - говорит Земских. Следом на зараженной машине запускается инструмент Mimikatz для сбора учетных данных. Кроме того, предусмотрен жестко закодированный список логинов и паролей.
Информации о том, кто организовал хакерские атаки пока нет. В то же время, по мнению Group-IB, похожие по характеру массовые атаки WannaCry и NotPetya могли быть связаны с хакерскими группировками, финансируемыми государствами. Специалисты делают такой вывод на основании того, что финансовая выгода от подобных атак в сравнении со сложностью их проведения «ничтожна». «Скорее всего это были не попытки заработать, а проверить уровень защиты сетей критической инфраструктуры предприятий, госведомств и частных компаний», - заключают эксперты. Представитель Group-IB подтвердил Forbes, что последний вирус - Bad Rabbit – может оказаться проверкой защиты инфраструктур госведомств и бизнеса. «Да, это не исключено. Учитывая, что атаки велись точечно - по объектам критической инфраструктуры - аэропорт, метрополитен, госучреждения», - поясняет собеседник Forbes.
Отвечая на вопрос о виновных в последней атаке, в ESET Russia подчеркивают, что используя только инструменты антивирусной компании, провести качественное расследование и установить причастных невозможно, это задача специалистов другого профиля. «Мы как антивирусная компания выявляем методы и цели атак, вредоносные инструменты атакующих, уязвимости и эксплойты. Поиск виновных, их мотивов, государственной принадлежности и прочее – не наша сфера ответственности», - заявил представитель компании, пообещав сделать выводы о назначении Bad Rabbit по итогам расследования. «К сожалению, в ближайшей перспективе мы увидим немало подобных инцидентов – вектор и сценарий данной атаки показали высокую эффективность», - делают прогнозы в ESET Russia. Собеседник Forbes напоминает, что на 2017 год компания прогнозировала рост числа целевых атак на корпоративный сектор, прежде всего, на финансовые организации (более чем на 50%, по предварительным оценкам). «В настоящее время эти прогнозы сбываются, мы наблюдаем рост числа атак в сочетании с увеличением ущерба пострадавших компаний», - признает он.
Третья масштабная кибератака за год. На этот раз вирус с новым названием Bad Rabbit и старыми повадками — шифрование данных и вымогание денег за разблокировку. И в зоне поражения по прежнему Россия, Украина и некоторые другие страны СНГ.
Плохой Кролик действует по привычной схеме: присылает фишинговое письмо со вложенным вирусом или ссылкой. В частности, злоумышленники могут представляться техподдержкой Microsoft и попросить срочно открыть вложенный файл или пройти по ссылке. Есть и другой путь распространения — поддельное окно обновления Adobe Flash Player. В обоих случаях Bad Rabbit действует также, как и нашумевший не так давно , он шифрует данные жертвы и требует выкуп в размере 0,05 биткойна, что примерно $280 по курсу на 25 октября 2017 года. Жертвами новой эпидемии стали «Интерфакс», питерское издание «Фонтанка», киевский Метрополитен, одесский аэропорт и Министерство культуры Украины. Есть данные, что новый вирус пытался атаковать и несколько известных российских банков, но эта затея провалилась. Эксперты связывают Bad Rabbit с предыдущими крупными атаками, зафиксированными в этом году. Доказательством тому служит схожее ПО шифрования Diskcoder.D, а это тот самый шифровальщик Petya, только слегка видоизмененный.
Специалисты рекомендуют владельцам Windows компьютеров создать файл «infpub.dat» и поместить его в папку Windows на диске «C». В итоге путь должен выглядеть следующим образом: C:\windows\infpub.dat. Сделать это можно при помощи обычного блокнота, но с правами Администратора. Для этого находим ссылку на программу «Блокнот», кликаем правой кнопкой мышки и выбираем «Запуск от имени Администратора».
Дальше нужно просто сохранить этот файл по адресу C:\windows\, то есть в папку Windows на диске «C». Название файла: infpub.dat, при этом «dat» это расширение файла. Не забудьте заменить стандартное расширение блокнота «txt» на «dat». После того, как вы сохраните файл, откройте папку Windows, найдите созданный файл infpub.dat, нажмите на него правой кнопкой мыши и выберите пункт «Свойства», где в самом низу нужно поставить галочку «Только чтение». Таким образом даже если вы поймаете вирус Плохого Кролика, он не сможет зашифровать ваши данные.
Не забывайте, что оградить себя от любого вируса можно просто соблюдая определенные правила. Прозвучит банально, но никогда не открывайте письма и уже тем более их вложения, если адрес кажется вам подозрительным. Фишинговые письма, то есть маскирующиеся под другие сервисы, наиболее частый способ заражения. Внимательно следите за тем, что вы открываете. Если в письме вложенный файл называется «Важный документ.docx_______.exe» то открывать этот файл точно не следует. Кроме этого нужно иметь резервные копии важных файлов. Например семейный архив с фотографиями или рабочие документы можно продублировать на внешний диск или на облачное хранилище. Не забывайте, как важно использовать лицензионную версию Windows и регулярно устанавливать обновления. Патчи безопасности выпускаются Microsoft регулярно и те, кто их устанавливает не имеют проблем с подобными вирусами.
Вчера, 24 октября 2017 года, крупные российские СМИ, а также ряд украинских госучреждений неизвестных злоумышленников. В числе пострадавших оказались «Интерфакс», «Фонтанка» и как минимум еще одно неназванное интернет-издание. Вслед за СМИ о проблемах также сообщили Международный аэропорт «Одесса», Киевский метрополитен и украинское Министерство инфраструктуры. Согласно заявлению аналитиков Group-IB, преступники также пытались атаковать банковские инфраструктуры, но эти попытки оказались неудачными. Специалисты ESET в свою очередь утверждают, что атаки затронули пользователей из Болгарии, Турции и Японии.
Как оказалось, перебои в работе компаний и госучреждений были вызваны не массовыми DDoS-атаками, но шифровальщиком, который носит имя Bad Rabbit (некоторые эксперты предпочитают писать BadRabbit без пробела).
Вчера о малвари и механизмах ее работы было известно немного: сообщалось, что шифровальщик требует выкуп в размере 0,05 биткоина, а также эксперты Group-IB рассказывали, что атака готовилась несколько дней. Так, на сайте злоумышленников было обнаружено два JS-скрипта, и, судя по информации с сервера, один из них обновлялся 19 октября 2017 года.
Теперь, хотя не прошло и суток с момента начала атак, анализ шифровальщика уже осуществили специалисты едва ли не всех ведущих ИБ-компаний мира. Итак, что представляет собой Bad Rabbit, и следует ли ожидать новой «вымогательской эпидемии», подобной WannaCry или NotPetya?
Каким образом Bad Rabbit сумел вызвать перебои в работе крупных СМИ, если дело было в фальшивых обновлениях для Flash? По данным ESET , Emsisoft и Fox-IT , после заражения вредонос задействовал утилиту Mimikatz для извлечения паролей из LSASS, а также имел список наиболее распространенных логинов и паролей. Все это вредонос задействовал, чтобы посредством SMB и WebDAV распространиться на другие серверы и рабочие станции, находящиеся в одной сети с зараженным устройством. При этом эксперты перечисленных выше компаний и сотрудники Cisco Talos полагают, что в данном случае обошлось без украденного у спецслужб инструмента , использующего бреши в SMB. Напомню, что вирусы WannaCry и NotPetya распространялись при помощи именно этого эксплоита.
Впрочем, специалистам все же удалось обнаружить некоторое сходство между Bad Rabbit и Petya (NotPetya). Так, вымогатель не просто зашифровывает пользовательские файлы, используя опенсорсный DiskCryptor , но модифицирует MBR (Master Boot Record), после чего перезагружает компьютер и выводит на экран сообщение с требованием выкупа.
Хотя сообщение с требованиями злоумышленников практически идентично посланию от операторов NotPetya, мнения экспертов относительно связи между Bad Rabbit и NotPetya немного расходятся. Так, аналитики компании Intezer подсчитали, что исходный код вредоносов
Вирус-шифровальщик, известный как Bad Rabbit, атаковал десятки тысяч компьютеров на Украине, в Турции и Германии. Но больше всего атак пришлось на Россию. Что это за вирус и как защитить свой компьютер, рассказываем в нашей рубрике "Вопрос-ответ".
Кто пострадал в России от Bad Rabbit?
Вирус-шифровальщик Bad Rabbit начал распространяться 24 октября. В числе пострадавших от его действия значатся информагентство "Интерфакс", издание "Фонтанка.ру".
Также от действий хакеров пострадали метрополитен Киева и аэропорт Одессы. После стало известно о попытке взлома системы нескольких российских банков из топ-20.
По всем признакам это целенаправленная атака на корпоративные сети, поскольку используются методы, похожие на те, что наблюдались при атаке вируса ExPetr.
Новый вирус всем предъявляет одно требование: выкуп 0,05 биткоина. В пересчете на рубли это около 16 тысяч рублей. При этом он сообщает, что время на исполнение этого требования ограничено. На все про все дается чуть больше 40 часов. Далее плата за выкуп повысится.
Что это за вирус и как он работает?
Удалось уже выяснить, кто стоит за его распространением?
Выяснить, кто стоит за этой атакой, пока не удалось. Расследование только привело программистов к доменному имени.
Специалисты антивирусных компаний отмечают сходство нового вируса с вирусом Petya.
Но, в отличие от прошлых вирусов этого года, в этот раз хакеры решили пойти простым путем, сообщает 1tv.ru .
"По-видимому, преступники ожидали, что в большинстве компаний пользователи обновят свои компьютеры после двух этих атак, и решили испробовать достаточно дешевое средство - социальную инженерию, чтобы первое время относительно незаметно заражать пользователей", – сообщил руководитель отдела антивирусных исследований "Лаборатории Касперского" Вячеслав Закоржевский.
Как защитить свой компьютер от вируса?
Обязательно сделайте резервную копию вашей системы. Если вы используете для защиты Касперский, ESET, Dr.Web либо другие популярные аналоги, следует оперативно обновить базы данных. Также для Касперского необходимо включить "Мониторинг активности" (System Watcher), а в ESET применить сигнатуры с обновлением 16295, информирует talkdevice .
Если у вас нет антивирусников, заблокируйте исполнение файлов C:\Windows\infpub.dat и C:\Windows\cscc.dat. Делается это через редактор групповых политик либо программу AppLocker для Windows.
Запретите выполнение службы - Windows Management Instrumentation (WMI). Через правую кнопку войдите в свойства службы и выберите в "Тип запуска" режим "Отключена".
