Тревога по поводу программ-вымогателей: атака Ragnar Locker развертывает виртуальную машину для обхода защиты

Британская кибербезопасностная компания Sophos раскрыла детали атаки программы-вымогателя Ragnar Locker, которая развертывает виртуальную машину для обхода безопасности.

Кибербезопасностная компания Sophos раскрыла детали атаки Ragnar Locker, нацеленной на компании с требованием огромных сумм выкупа. Атака использует виртуальную машину для заражения целевых компьютеров. Это позволяет обойти защиту локальных антивирусных программ.

Программа-вымогатель Ragnar Locker

Программы-вымогатели чаще всего нацелены на предприятия, а не на отдельных пользователей, и требуют крупные суммы денег за расшифровку их файлов. В отчете компании Sophos приведен пример Energias de Portugal, у которой украли 10 терабайт данных и потребовали 1 850 BTC (14,5 млн долларов США по текущей цене торгов). Им пригрозили, что если выкуп не будет уплачен, то злоумышленники опубликуют данные в открытом доступе.

Атакующий скрывает небольшой исполняемый файл программы-вымогателя внутри виртуального образа и маскирует его под установщик. Согласно отчету Sophos, «вредоносная нагрузка представляла собой установщик размером 122 МБ с виртуальным образом размером 282 МБ», все это для сокрытия исполняемого файла программы-вымогателя размером 49 КБ.

Злоумышленники нацеливаются на подключения к протоколу удаленного рабочего стола Windows (RDP), чтобы закрепиться в целевых сетях. Получив доступ на уровне администратора, они перемещаются по сети к клиентам и серверам, используя встроенные инструменты Windows, такие как PowerShell и объекты групповой политики Windows (GPO).

Атаки программ-вымогателей, требующих криптовалюту за расшифровку файлов, в последние годы растут. Совсем недавно в Cryptopolitan сообщалось, что поп-звезда Мадонна стала жертвой крипто-вымогательства со стороны REvil. Злоумышленники планировали провести аукцион конфиденциальной информации о Мадонне 25 мая с начальной ставкой в один миллион долларов США.