Атака вымогателя BadRabbit: подробности и способ защиты
В минувший вторник, 24 октября 2017 года, в России была зафиксирована масштабная атака шифровальщика BadRabbit, от которого пострадали средства массовой информации (СМИ), различные компании и рядовые пользователи. После предварительного анализа зловреда специалисты по вопросам информационной безопасности поделились первыми выводами.
Как ранее сообщала «Лаборатория Касперского», атака направлена прежде всего на корпоративные сети. За расшифровку файлов злоумышленники требуют 0,05 биткойна, что по современному курсу составляет около $280, или примерно 16 тыс. рублей.
По данным вирусной лаборатории ESET, атакам BadRabbit (Diskcoder.D) подверглись СМИ, транспортные компании и государственные учреждения. «Система телеметрии ESET в настоящее время фиксирует сотни атак Diskcoder.D. Большинство срабатываний антивирусных продуктов ESET приходится на Россию и Украину, затронуты также Турция, Болгария и некоторые другие страны», — говорится в сообщении.
«Лаборатория Касперского» уже высказывала предположения, что атака BadRabbit может быть связана с киберкампанией ExPetr (она же Petya или NotPetya). Теперь эту информацию подтверждают специалисты Group-IB. В частности, установлено, что BadRabbit является модифицированной версией NotPetya с исправленными ошибками в алгоритме шифрования. Код BadRabbit включает в себя части, полностью повторяющие NotPetya.
Экспертами Group-IB установлено, что вредоносная программа распространялась с помощью веб-трафика со взломанных интернет-ресурсов. На таких сайтах в HTML-код был загружен jаvascript-инжект, который демонстрировал посетителям поддельное окно, предлагающее установить обновление плеера Adobe Flash. В случае согласия происходила загрузка и запуск вредоносного файла.
BadRabbit имеет модуль распространения с использованием протокола SMB. Установлено также, что в атаке используется программа Mimikatz, которая перехватывает на заражённой машине логины и пароли.
Для защиты от BadRabbit эксперты рекомендуют создать файл C:\windows\infpub.dat и задать для него атрибут «только для чтения». После этого даже в случае заражения файлы не будут зашифрованы. Разумеется, нельзя пренебрегаться антивирусными средствами и обновлением операционной системы, а также инструментов безопасности.
Некоторые дополнительные подробности о киберкампании BadRabbit можно найти здесь: www.group-ib.ru
_
1 372
