Очередная масштабная атака с использованием вираса-шифровальщика криптолокера «BadRabbit»

24 октября 2017 года многочисленными источниками зафиксирована масштабная кампания по заражению компьютеров под управлением ОС Microsoft Windows шифровальщиком «BadRabbit». Ряд информационных источников связывает текущую вирусную атаку с июньской эпидемией ВПО, получившего в последствии название NotPetya (см. бюллетень [GOV-CERT#20170627-01]). Как и в случае с NotPetya, ВПО шифрует не только пользовательские файлы, но и сам диск. Вектор заражения - скомпрометированные легитимные веб-сайты.

Цели:

Круг потенциальных целей атаки не ограничен; при этом в целях широкого распространения ВПО был скомпрометирован ряд информационных ресурсов СМИ.

Вектор внедрения:

1 этап. Watering hole - размещение ВПО на скомпрометированные легитимные веб-сайты под видом обновления для Adobe Flash Player. Перечень известных скомпрометированных ресурсов представлен ниже.

2 этап. Drive-by-download - перенаправление посетителей скомпрометированных веб-сайтов на ресурс, распространяющий файлы шифровальщика.

3 этап - заражение. При посещении скомпрометированного веб-сайта предварительно загруженный JavaScript демонстрирует пользователю окно, предлагающее установить поддельное обновление Adobe Flash Player. В случае запуска пользователем такого обновления происходит скачивание и запуск вредоносного файла (дроппера).

После заражения ВПО повышает привилегии на локальной машине и инициирует процесс вторичного распространения по протоколу SMB используя подобранные/извлечённые из LSASS
при помощи утилиты Mimikatz пароли, а также шифрует единым ключом пользовательские файлы с использованием алгоритма AES-128-CBC. Распространение по локальной сети происходит с использованием адреса заражённого хоста с маской сети /24.
В последствии ВПО шифрует диск с использованием ПО DiskCryptor и перезагружает компьютер, после чего пользователю предлагается внести выкуп за расшифровку диска и файлов.

Противодействие:

1. Kill switch: создать файл C:\windows\infpub.dat и назначить ему права «только для чтения». Мера не позволит дропперу разместить в системе ключевой модуль шифровальщика.

2. Настройками групповой политики запретить хранение паролей в LSA Dump в открытом виде, а также использовать сложные пароли (ВПО использует перебор паролей по словарю).

3. Блокировать всплывающие окна в браузере.

4. Обновить антивирусные базы используемых средств антивирусной защиты.

5. Отключить удаленный доступ к WMI.

Телефон:
8(84-243)2-12-12

E-mail:

Использование материалов сайта без ссылки на источник запрещено

Структура сайта