Багатоплатформне програмне забезпечення-вимагач: загрози та як захистити себе

Інформатек Діджитал » Ресурси » Багатоплатформне програмне забезпечення-вимагач: поточний стан, родини та захист

Багатоплатформна програма-вимагач використовує такі мови програмування, як Rust та Go, для атаки Windows, Linux та ESXi з однієї й тієї ж кодової бази.
Такі сімейства, як 01flip, Luna, Akira, VolkLocker або PromptLock, демонструють еволюцію в напрямку RaaS, штучного інтелекту та атак на критичну інфраструктуру.
Поєднання EDR/XDR, управління поверхнею атаки, навчання та інструментів розшифрування є ключовим для зменшення впливу.

кросплатформне програмне забезпечення-вимагач

Міжплатформне програмне забезпечення-вимагач стало одним із найсерйозніших головних болів для бізнесу, державних органів та всіх типів організацій. Ми вже говоримо не лише про віруси, що вражають комп'ютери Windows, а й про сімейства вірусів, здатних шифрувати дані на серверах Linux, гіпервізорах ESXi, віртуальних машинах і, все частіше, навіть використовувати штучний інтелект для автоматизації своїх атак.

В останні роки ми спостерігаємо хвилі появи нових сімейств програм-вимагачів, написаних на Rust, Go або C++ , вибухову тенденцію моделей «програма-вимагач як послуга» (RaaS) та цілеспрямовані кампанії проти критичної інфраструктури та корпоративних мереж. Водночас команди реагування на інциденти та лабораторії кібербезпеки розкривають внутрішні механізми цих атак, знаходять недоліки в проектуванні, публікують інструменти розшифрування та документують дедалі складніші тактики, методи та процедури (TTP).

Що таке кросплатформне програмне забезпечення-вимагач і чому його кількість різко зросла?

Коли ми говоримо про кросплатформне програмне забезпечення-вимагач, ми маємо на увазі шкідливе програмне забезпечення, здатне працювати на кількох операційних системах , зазвичай Windows та Linux, а часто також на середовищах віртуалізації, таких як VMware ESXi. Ключ до цього стрибка полягає у використанні сучасних мов програмування, таких як Rust, Go або, меншою мірою, C/C++ зі збірками, що відповідають архітектурі.

Мета зрозуміла: максимізувати вплив в межах однієї корпоративної мережі . Якщо зловмисники отримають доступ до середовища, вони хочуть мати можливість шифрувати комп'ютери користувачів, сервери, контролери домену, пристрої NAS (див. захист NAS ), віртуальні машини та будь-які активи, що зберігають цінну інформацію. Це значно збільшує можливості переговорів щодо викупу.

Такі мови програмування, як Rust та Go, є платформонезалежними та дозволяють відносно легко компілювати бінарні файли для різних систем та архітектур (x86, x86_64, ARM тощо). Цим користуються такі групи, як BlackCat, Hive, Luna, Akira, PromptLock та інші нові сімейства програмістів, які не задовольняються орієнтацією лише на один тип систем.

Крім того, багато кіберзлочинних груп перейняли модель «програма-вимагач як послуга» (RaaS) , за якою розробники шкідливого програмного забезпечення здають свою платформу в оренду афілійованим особам. Ці афілійовані особи відповідають за компрометацію мереж та розгортання програми-вимагача в обмін на спільну виплату викупу. Такий підхід сприяє створенню модульного коду, який легко переноситься та може безперебійно функціонувати в різних середовищах.

01flip: кросплатформна програма-вимагач Rust, орієнтована на Windows та Linux

Одним із нещодавніх прикладів цієї тенденції є 01flip, програма-вимагач, повністю написана на Rust , яку спостерігали під час атаки систем Windows та Linux у мережах Азіатсько-Тихоокеанського регіону, що робить системне адміністрування Linux критично важливим для захисту. Дослідники пов'язали її з активністю, що відстежується як CL-CRI-1036, пов'язаною з фінансово мотивованою кіберзлочинністю.

Перші ознаки з'явилися на початку червня 2025 року, коли підозрілий виконуваний файл Windows, що демонстрував типову для програми-вимагача поведінку, було проаналізовано в ізольованому середовищі. Бінарний файл не був ні упакованим, ні сильно обфускованим, що сприяло підтвердженню того, що це справжній код Rust. Назва 01flip походить від розширення, яке воно додає до зашифрованих файлів (.01flip), та контактної адреси в записці з вимогою викупу (01Flip@protonme).

Згодом, завдяки аналізу зразків на платформах обміну шкідливим програмним забезпеченням, було виявлено версію 01flip для Linux, яка залишалася непоміченою протягом щонайменше трьох місяців . Використання Rust та крос-компіляції дозволило зловмисникам зберегти внутрішню логіку обох варіантів практично ідентичною, змінюючи лише залежності, специфічні для платформи.

Такі інструменти, як rustbininfo, показали, що версія Rust, хеш комітів та більшість бібліотек (крейтів) були однаковими у бінарних файлах Windows та Linux. Це вказує на те, що група повторно використовує один і той самий вихідний код та компілюється для різних систем з мінімальними змінами, що є однією з головних переваг такого кросплатформного підходу.

Щодо фактичного впливу, наразі спостерігається невелика кількість жертв , хоча деякі з них керують критично важливою соціальною інфраструктурою в Південно-Східній Азії. Є дані про витоки даних на форумах даркнету, пов'язані з CL-CRI-1036, але загальна кількість постраждалих організацій залишається невідомою.

Ланцюг атаки 01flip: початковий доступ, латеральне переміщення та розгортання

Судово-медичний аналіз мереж, скомпрометованих 01flip, виявляє досить ручний та цілеспрямований підхід . В одному задокументованому випадку зловмисники почали зондувати периметр на початку квітня 2025 року, намагаючись використати старіші вразливості, такі як CVE-2019-11580, у програмах, що працюють під доступом до Інтернету.

Хоча точний вектор успішного проникнення не вдалося визначити, існують вагомі докази того, що зловмисники розгорнули на комп'ютері жертви з Linux Sliver, відомий емулятор атаці з відкритим кодом та фреймворк C2, написаний на Go та кросплатформний. Маяк Sliver, що працює з профілем TCP Pivot, було виявлено через місяць після першої спроби експлуатації.

Маючи цей консолідований доступ, наприкінці травня 2025 року група, яка стоїть за CL-CRI-1036, перемістила свої атаки на інші машини Linux , завантажуючи нові імплантати Sliver, щоб розширити свою присутність у мережі. Розгортання програми-вимагача 01flip відбулося пізніше, коли зловмисники ознайомилися з середовищем і мали достатні адміністративні можливості.

На завершальному етапі інциденту було виявлено кілька екземплярів 01flip, які майже одночасно працювали на машинах Windows та Linux в одній організації. Хоча точний метод внутрішнього поширення незрозумілий, можна припустити, що вони використовували функціональність Sliver та додаткові модулі для:

Виконайте інтерактивне розпізнавання систем та послуг.
Завантажити облікові дані та підвищити привілеї в межах домену.
Виконуйте бічні рухи до інших ключових сегментів та серверів.

У своїх повідомленнях зловмисники вимагали плати до 1 біткойна (BTC) за розшифровку та використовували зашифровані канали (захищену електронну пошту та приватні повідомлення) для переговорів з жертвами. Принаймні, в цій кампанії не було виявлено жодного публічного порталу подвійного вимагання, подібного до тих, що використовуються великими групами RaaS, хоча одразу після зараження на форумі даркнету було знайдено нібито повідомлення про продаж даних.

Внутрішня робота 01flip: шифрування, уникнення та стирання слідів

Логіка 01flip є відносно простою, хоча вона включає кілька цікавих інженерних деталей . Після запуску на скомпрометованій системі програма-вимагач виконує такі основні дії:

Перелічіть усі доступні для людей з обмеженими можливостями (у Windows, від A: до Z:; у Linux, змонтовані файлові системи), щоб знайти максимальну кількість каталогів, у які можна записувати.
Створіть записку з вимогою викупу під назвою RECOVER-YOUR-FILE.TXT у кожній папці, до якої він має права на запис. Вона містить контактну інформацію та блок зашифрованої інформації, що використовується під час узгодження.
Перейменуйте цільові файли слідуючи шаблону . .<0 або 1>.01flip, щоб ідентифікувати кожну жертву та розрізнити певні параметри шифрування.
Зашифруйте вміст файлів за допомогою AES-128-CBC використовуючи симетричний сеансовий ключ, згенерований для кожної системи.
Зашифруйте цей ключ сеансу за допомогою вбудованого відкритого ключа RSA-2048 у двійковому файлі та включає його до записки з вимогою викупу, щоб лише особа, яка володіє закритим ключем RSA, могла згенерувати дешифратор.
Він самоліквідується в кінці виконання ускладнити судово-медичну експертизу.

Сексуальне штурмування електронною поштою: повний посібник

З точки зору ухилення, 01flip характеризується використанням власних API та низькорівневих викликів, коли це можливо . У Windows він використовує функції ядра замість високорівневих API, які зазвичай ретельніше контролюються рішеннями безпеки. У Linux він аналогічно використовує прямі системні виклики. Ця стратегія не є надійною, але допомагає замаскувати активність в рамках легітимного шуму операційної системи.

Ще один рівень обфускації спирається на шифрування конфіденційних рядків у двійковому файлі . Записка з вимогою викупу, ім'я файлу записки, список розширень, що підлягають обробці, та сам відкритий ключ RSA зберігаються в зашифрованому вигляді. Під час виконання вони розшифровуються шляхом застосування простої операції віднімання (SUB) до пар байтів. Залежно від розміру кожного рядка, він поміщається в розділ .text або .data виконуваного файлу.

Парадоксально, але 01flip також включає невелику техніку захисту від пісочниці: вона перевіряє, чи ім'я виконуваного файлу містить рядок "01flip" . Якщо виявляє його, то просто видаляє себе, не ініціюючи шифрування. Це дещо ускладнює автоматизований аналіз, коли лабораторні системи перейменовують зразки, але це все ще досить простий трюк.

Модуль стирання слідів є більш складним. Після завершення фази шифрування програма-вимагач намагається перезаписати власний бінарний файл випадковими даними, а потім видалити його з диска, як у Windows, так і в Linux. На практиці вона використовує команди, специфічні для платформи:

У Windows: об'єднати ping для введення паузи, fsutil для обнулення кількох мегабайт файлу, а потім примусове видалення (Від /f /q).
У Linux: використання dd з /dev/urandom, щоб заповнити кілька мегабайт самого виконуваного файлу випадковими даними а потім запускає беззвучний режим.

Політика виключень шифрування та можливе посилання на LockBit

Як і інші сімейства програм-вимагачів, 01flip містить список розширень файлів, які він ніколи не шифрує . Мета цього списку виключень — запобігти виведенню операційної системи з ладу та забезпечити продовження функціонування критично важливих для зловмисника служб (таких як адміністративні інструменти або системні бінарні файли), щоб середовище залишалося стабільним, а жертва могла спілкуватися та сплачувати викуп.

Серед виключених розширень ми знаходимо велику кількість виконуваних файлів та системних типів : exe, dll, sys, bat, cmd, com, msi, msu, ocx, so, o, bin, rom, winmd, драйвери (drv), шрифти та гарнітури (ttf, woff, otf, fnt, fon), візуальні ресурси (ico, icns, cur, ani), тимчасові файли та файли кешу (tmp, sfcache), посилання (lnk), файли блокування (lock) або інсталяційні пакети (deb, dmg, apk, app, cab, iso) та багато інших.

Виключення розширення lockbit особливо варте уваги , оскільки воно зазвичай не використовується легально . Той факт, що 01flip ігнорує будь-які файли, що закінчуються на .lockbit, змусив аналітиків запідозрити можливе перекриття або зв'язок з групою, що стоїть за сумнозвісним програмним забезпеченням-вимагачем LockBit, яке деякі постачальники відстежують під назвою Flighty Scorpius.

Однак, окрім цього цікавого збігу в коді, не було знайдено жодних TTP, інфраструктури чи торгових моделей, які б чітко вказували на прямий зв'язок між CL-CRI-1036 та LockBit. Це може бути навмисний натяк, спосіб уникнути конфліктів між транзакціями або просто копія фрагментів коду, взятих із публічних зразків.

У будь-якому випадку, список виключень є важливою частиною дизайну програми-вимагача , оскільки він дозволяє системі продовжувати завантаження та запобігає пошкодженню елементів, необхідних жертві для доступу до повідомлення з вимогою викупу, взаємодії з середовищем та здійснення платежу, якщо вона цього забажає.

Середовища ESXi, Rust, Go та зростання популярності кросплатформних програм-вимагачів

Лабораторії безпеки різних компаній спостерігають стабільне зростання кількості сімейств програм-вимагачів, які націлені на гіпервізори ESXi, окрім систем Windows та Linux. Оскільки значна частина корпоративної інфраструктури віртуалізована, компрометація сервера ESXi дозволяє зловмисникам шифрувати десятки або навіть сотні віртуальних машин одночасно.

Наприклад, група Luna використовує програму-вимагач, написану на Rust , зі здатністю одночасно атакувати Windows, Linux та ESXi. Аналіз Касперського виявив рекламу Luna на форумах даркнету, в якій зазначається, що вони працюють лише з російськомовними партнерами, що, разом із деякими орфографічними помилками в записці з вимогою викупу, вбудованій у бінарний файл, свідчить про російське походження програми.

Ще один помітний випадок – Black Basta, сімейство програм-вимагачів, написаних на C++, які з моменту своєї появи у 2022 році скомпрометували понад 40 організацій, переважно у Сполучених Штатах, Європі та Азії. Як Black Basta, так і Luna мають окремі варіанти для ESXi, що підсилює цю тенденцію орієнтації на рівень віртуалізації як єдину точку відмови.

Тим часом, такі групи, як BlackCat та Hive, також прийняли Rust та Go . Hive, зокрема, поєднує обидві мови у своїй екосистемі інструментів і став класичним прикладом кросплатформного програмного забезпечення-вимагача, орієнтованого на модель RaaS, з партнерськими панелями керування, управлінням жертвами та високоякісними стратегіями подвійного вимагання.

Основний посил, який передають дослідники, зрозумілий: вибір мов програмування, таких як Rust та Go, зменшує зусилля, необхідні для перенесення програм-вимагачів між платформами , полегшує певний обхід традиційних статичних сигнатур та ускладнює зворотний аналіз для лабораторій через особливу структуру бінарних файлів та оптимізацію компіляції.

VolkLocker (CyberVolk 2.x): RaaS, автоматизація за допомогою Telegram та критичний збій

Ще одним недавнім прикладом кросплатформного програмного забезпечення-вимагача є VolkLocker, пов'язаний з відродженням проросійської хактивістської групи CyberVolk . Ця нова операція, відома як CyberVolk 2.x, використовує підхід «програма-вимагач як послуга», відкриваючи двері для афілійованих осіб з обмеженими технічними знаннями, але бажанням монетизувати доступ до скомпрометованих мереж.

VolkLocker розроблений для впливу на критичну інфраструктуру в середовищах Windows, Linux та ESXi , інтегруючи автоматизовані можливості виконання команд, підвищення привілеїв і навіть активації деструктивних функцій за допомогою таймерів. Однією з його унікальних особливостей є використання Telegram як каналу командування та управління , що спирається на ботів та API обміну повідомленнями для отримання наказів, надсилання результатів команд і координації операцій між різними скомпрометованими системами.

На технічному рівні він включає механізми обходу контролю облікових записів користувачів Windows (UAC) для підвищення привілеїв , а також модулі, запрограмовані на видалення або пошкодження даних, якщо виконуються певні часові умови або якщо жертва намагається втрутитися в процес шифрування. Все це відповідає досить професійному підходу RaaS.

Що бачить ваш інтернет-провайдер, коли ви підключаєтеся до Інтернету, і як захистити себе

Однак аналіз безпеки виявив дуже серйозний недолік у конструкції: головні ключі шифрування статично закодовані в бінарних файлах і зберігаються у відкритому тексті. Це означає, що після вилучення та дослідження бінарного файлу можна відновити ключі без сплати викупу, що дозволяє розробляти інструменти розшифрування для жертв.

Цей тип вразливості нагадує ранні версії інших програм-вимагачів, де криптографія була реалізована неправильно , що дозволяло дослідникам випускати безкоштовні дешифратори. Однак групи зазвичай вчаться на цих недоліках і пізніше випускають виправлені версії, тому вкрай важливо скористатися вікном можливостей, поки воно існує.

PromptLock: перша програма-вимагач на базі штучного інтелекту

У сфері інновацій ESET описала PromptLock як те, що можна вважати першим програмним забезпеченням-вимагачем на базі штучного інтелекту . Наскільки відомо, це лише концептуальний проект або розробка, яка ще не спостерігалася в реальних атаках, але вона ілюструє, куди можуть розвиватися ці загрози.

PromptLock написаний на Go та має варіанти для Windows та Linux , що знову ж таки використовує кросплатформенність цієї мови. Найбільш вражаюче те, що він інтегрує модель OpenAI gpt-oss-20b локально через API Ollama, використовуючи штучний інтелект для генерації шкідливих Lua-скриптів на льоту.

Ці Lua-скрипти створюються на основі підказок, закодованих у самому шкідливому програмному забезпеченні , і використовуються для виконання кількох завдань: перерахування файлової системи, ідентифікації файлів, що цікавлять, вилучення певних даних і, нарешті, виконання шифрування. Штучний інтелект діє як механізм, який адаптує логіку атаки до контексту, відкриваючи шлях до набагато динамічнішої поведінки.

Висновки PromptLock підкреслюють, що загальнодоступні та легкодоступні інструменти штучного інтелекту можуть бути перепрофільовані для зловмисних цілей , автоматизуючи критичні фази атаки програм-вимагачів (розвідка, аналіз файлів, вибір цілі тощо) зі швидкістю та масштабом, які раніше вимагали значних ручних зусиль.

Для команд захисту це означає, що обсяг, складність та адаптивність атак можуть зрости , особливо якщо майбутні сімейства програм-вимагачів поєднуватимуть штучний інтелект, кросплатформні можливості та бізнес-моделі RaaS. ESET очікує, що програми-вимагачі продовжуватимуть зростати разом зі штучним інтелектом, і рекомендує звертати пильну увагу на майбутні тенденції, які будуть викладені в спеціальних звітах та офіційних документах, присвячених наступальному використанню ШІ.

Більше кросплатформних загроз: FakeSG, Akira та викрадач AMOS для macOS

Команда Kaspersky GReAT також задокументувала інші кампанії та сімейства кіберзлочинів, які вписуються в цей багатоплатформний ландшафт злочинного програмного забезпечення , де програми-вимагачі ділять центр уваги з викрадачами облікових даних та передовими системами розповсюдження.

Однією з поширених загроз є FakeSG – кампанія, в рамках якої легітимні веб-сайти скомпрометовані для відображення фальшивих сповіщень про оновлення браузера. Натискання на ці сповіщення завантажує шкідливий файл, який виконує приховані скрипти, встановлює доступ до командування та контролю (C2) і дозволяє зловмисникам отримати контроль над системою або розгортати інші типи шкідливих програм, включаючи програми-вимагачі.

У сфері виключно шифрування Akira зарекомендувала себе як варіант програми-вимагача, що атакує як Windows, так і Linux . За короткий час вона вразила понад шістдесят організацій у різних секторах (роздрібна торгівля, освіта, споживчі товари тощо). Вона має спільні характеристики з відомою програмою-вимагачем Conti, такі як практично ідентичний список виключених папок та особлива панель C2 з класичним, але надійним інтерфейсом, стійким до спроб аналізу.

Паралельно спостерігається помітне зростання екосистеми викрадачів програмного забезпечення, спрямованих на macOS , яка традиційно менш атакується, ніж Windows. Викрадач програмного забезпечення AMOS (Atomic macOS Stealer) вперше з'явився у квітні 2023 року та пропонувався приблизно за 1.000 доларів на місяць через канали Telegram.

З часом AMOS еволюціонував від написання на Go до переписування на C , включаючи дедалі агресивніші методи розповсюдження, такі як кампанії зі шкідливою рекламою на сайтах, що імітують офіційні сторінки програмного забезпечення. Після встановлення він викрадає облікові дані користувачів, конфіденційні дані та інші секрети, ідентифікуючи кожне зараження унікальним UUID. Цей тип викрадача демонструє, що кросплатформний підхід більше не є винятковим для програм-вимагачів, а поширюється на решту арсеналу кіберзлочинців.

Історія, еволюція та моделі вимагання програм-вимагачів

Щоб зрозуміти поточну ситуацію, важливо пам’ятати, що програми-вимагачі не є новим явищем . Першим широко задокументованим випадком був троян AIDS або PC Cyborg у 1989 році, який шифрував імена файлів на диску C: ПК та вимагав сплати 189 доларів на поштову скриньку в Панамі в обмін на нібито інструмент для розшифрування.

Ці початкові прості атаки з метою вимагання перетворилися на моделі подвійного, потрійного та навіть чотириразового вимагання . У кампаніях, таких як Maze (2019), злочинці не лише шифрували дані, але й погрожували опублікувати їх, якщо платіж не буде отримано. Avaddon у 2021 році додав можливість запуску розподілених атак типу «відмова в обслуговуванні» (DDoS) проти жертв, які чинили опір. Чотириразове вимагання включає тиск на клієнтів та партнерів цільової організації, що посилює репутаційну шкоду.

Програми-вимагачі перетворилися на добре структурований ринок у кримінальній екосистемі . Такі моделі, як RaaS, дозволяють суб'єктам з низьким технічним рівнем досвіду запускати кампанії, використовуючи повноцінні платформи, що включають шкідливе програмне забезпечення, панелі керування, платіжну інфраструктуру та підтримку партнерів. Hive є яскравим прикладом такого багатоплатформного, сервісно-орієнтованого підходу.

Деякі групи навіть запровадили внутрішні програми винагороди за виявлені помилки , виплачуючи тим, хто виявляє та повідомляє про недоліки в їхньому коді, винагороду за покращення безпеки їхньої діяльності, як це видно на прикладі LockBit. Ця іронія влучно підсумовує рівень професіоналізму: атакуючи безпеку компаній та користувачів, вони прагнуть захистити власний «продукт».

Зростання кількості програм-вимагачів частково пояснюється легкістю їх поширення та різноманітністю доступних векторів зараження : фішинг, використання вразливостей, шкідливі завантаження, макроси в документах, атаки на розкриті RDP тощо. Крім того, наявність торгових майданчиків даркнету та допоміжних послуг (оренда ботнетів, продаж доступу, відмивання криптовалюти) завершує високорозвинений злочинний ланцюжок створення вартості.

Поширені методи зараження, методи уникнення та методи шифрування

Протягом багатьох років різні родини програм-вимагачів удосконалили та поєднали кілька методів входу . Багато кампаній досі обертаються навколо фішингових електронних листів, як це робили свого часу TeslaCrypt, CERBER, Nemucod, LECHIFFRE, MirCop та Stampado, використовуючи оманливі вкладення або посилання для виконання початкового корисного навантаження.

Що таке папки WOW64 та SysWOW64 і для чого вони використовуються у Windows?

Інші групи покладалися на експлойт-кіти, які компрометують легітимні веб-сайти , такі як CryptXXX, SNSLocker, XORIST або DXXD, тому простого відвідування вразливої сторінки достатньо, щоб спробувати використати ланцюг експлойтів у браузері або застарілих плагінах.

Завантаження та оновлення шкідливого програмного забезпечення також є поширеним явищем , як це спостерігалося у випадку BadBlock, 777, DemoTool, Crysis та TeleCrypt, де, здавалося б, легітимні інсталятори приховували програму-вимагач. Тим часом, такі сімейства програм-вимагачів, як AutoLocky та XORBAT, використовували макроси в офісних документах, обманом змушуючи користувачів активувати активний контент, який запускав шкідливий код.

Деякі з найвідоміших випадків, такі як WannaCry, Petya, Chimera, Jigsaw, Globe/Purge або Teamxrat/Xpan, характеризувалися використанням мережевих вразливостей та автономним поширенням всередині організацій, впливаючи на сервери, робочі станції та спільні ресурси практично без втручання людини.

Перед шифруванням багато з цих шкідливих програм вимикають служби та процеси, пов'язані з безпекою , видаляють тіньові копії та точки відновлення, а також змінюють системні налаштування, щоб забезпечити збереження даних та перешкодити відновленню. Після атаки вони зазвичай видаляють сліди та журнали, щоб перешкодити проведенню судово-медичного аналізу.

Щодо шифрування, такі родини вірусів, як WannaCry та Petya, використовували надійні алгоритми, такі як AES та RSA , реалізовані таким чином, що теоретично неможливо повернути процес назад без відповідного ключа. Інші, такі як XORIST, XORBAT та Stampado, обрали власні алгоритми або адаптації, які в деяких випадках виявилися вразливими до криптографічного аналізу.

Інструменти дезінфекції та розшифровки: кейс Trend Micro

У відповідь на сплеск атак екосистема кібербезпеки почала випускати інструменти розшифрування для дедалі більшої кількості сімейств програм-вимагачів , що дозволяє жертвам відновлювати свої дані безкоштовно. Яскравим прикладом є Trend Micro Ransomware File Decryptor, який підтримує такі варіанти, як CryptXXX, TeslaCrypt, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT, CERBER, Stampado, Nemucod, Chimera, LECHIFFRE, MirCop, Jigsaw, Globe/Purge, DXXD, Teamxrat/Xpan, Crysis, TeleCrypt, DemoTool, WannaCry та Petya.

Щоб скористатися ним, завантажте інструмент, розпакуйте його вміст і запустіть файл RansomwareFileDecryptor.exe . Після прийняття ліцензійної угоди інтерфейс дозволяє вибрати сімейство програм-вимагачів, вказати розташування зашифрованих файлів і розпочати процес розшифрування або звернутися до посібників з відновлення файлів із жорсткого диска.

У деяких варіантах (наприклад, CyptXXX V1, XORIST, XORBAT, NEMUCOD або TeleCrypt) інструменту потрібні два файли: один зашифрований, а інший незашифрований, щоб визначити ключ або метод відновлення. Рекомендується, щоб ці файли були якомога більшими для полегшення аналізу.

Процес не без обмежень. CryptXXX V3 дозволяє лише часткове розшифрування та може вимагати додаткових утиліт для певних типів файлів. BadBlock може шифрувати критичні компоненти системи, ускладнюючи час завантаження. CERBER вимагає виконання розшифрування на самій зараженій машині, а його тривалість залежить від потужності процесора. Globe/Purge використовує метод перебору та може тривати дуже довго, крім того, має проблеми з томами FAT32.

У випадку з WannaCry, розшифрування залежить від знаходження закритого ключа в пам'яті активного процесу , тому воно працює лише тоді, коли програма-вимагач все ще запущена, і особливо ефективне в системах Windows XP. Petya, з іншого боку, вимагає певних кроків для відновлення операційної системи після відновлення ключа шифрування зі зміненої MBR.

Навіть з урахуванням цих обмежень, існування інструментів для дешифрування значно знижує економічні стимули для зловмисників . Щоразу, коли випускається ефективний дешифратор, відсоток жертв, готових платити, зменшується, що створює тиск на злочинну бізнес-модель. Однак групи зазвичай реагують швидко, виправляючи вразливості та випускаючи нові, більш стійкі варіанти.