В дикой природе появляется множество новых вариантов программ-вымогателей

Команды корпоративной безопасности могут добавить еще три варианта программ-вымогателей в постоянно растущий список угроз программ-вымогателей, которые им необходимо отслеживать.

Три варианта — Vohuk, ScareCrow и AESRT — как и большинство программ-вымогателей, нацелены на системы Windows и, похоже, относительно быстро распространяются на системы, принадлежащие пользователям из разных стран. Исследователи безопасности из FortiGuard Labs компании Fortinet, которые отслеживают угрозы на этой неделе, описали образцы программ-вымогателей как набирающие обороты в базе данных программ-вымогателей компании.

Анализ Fortinet из трех угроз показали, что они являются стандартными программами-вымогателями, которые, тем не менее, очень эффективны при шифровании данных в скомпрометированных системах. В предупреждении Fortinet не указано, как операторы новых образцов программ-вымогателей распространяют свое вредоносное ПО, но отмечается, что фишинговая электронная почта обычно является наиболее распространенным вектором заражения программами-вымогателями.

Растущее количество вариантов

«Если рост числа программ-вымогателей в 2022 году указывает на то, что ждет нас в будущем, команды безопасности во всем мире должны ожидать, что этот вектор атаки станет еще более популярным в 2023 году», — говорит Фред Гутьеррес, старший инженер по безопасности в FortiGuard Labs компании Fortinet.

По его словам, только за первую половину 2022 года количество новых вариантов программ-вымогателей, выявленных FortiGuard Labs, увеличилось почти на 100% по сравнению с предыдущим шестимесячным периодом. Команда FortiGuard Labs задокументировала 10,666 2022 новых вариантов программ-вымогателей в первой половине 5,400 года по сравнению с 2021 во второй половине XNUMX года.

«Этот рост числа новых вариантов программ-вымогателей в первую очередь связан с тем, что все больше злоумышленников используют программу-вымогатель как услугу (RaaS) в Даркнете», — говорит он.

Он добавляет: «Кроме того, возможно, наиболее тревожным аспектом является то, что мы наблюдаем увеличение масштабов более разрушительных атак программ-вымогателей практически во всех типах секторов, которые, как мы ожидаем, продолжатся до 2023 года».

Стандартные, но эффективные штаммы программ-вымогателей

Вариант программы-вымогателя Vohuk, проанализированный исследователями Fortinet, находится в третьей итерации, что указывает на то, что его авторы активно его развивают. 

По словам Fortinet, вредоносное ПО сбрасывает записку с требованием выкупа «README.txt» на скомпрометированные системы, которая просит жертв связаться с злоумышленником по электронной почте с уникальным идентификатором. В записке жертве сообщается, что злоумышленник не имеет политических мотивов, а заинтересован только в финансовой выгоде — предположительно, чтобы заверить жертв, что они вернут свои данные, если заплатят требуемый выкуп.

Между тем, «ScareCrow — еще одна типичная программа-вымогатель, которая шифрует файлы на машинах жертв», — говорится в сообщении Fortinet. «Его записка с требованием выкупа, также озаглавленная «readme.txt», содержит три канала Telegram, которые жертвы могут использовать для общения со злоумышленником». 

Хотя записка о выкупе не содержит каких-либо конкретных финансовых требований, можно с уверенностью предположить, что жертвам придется заплатить выкуп, чтобы восстановить файлы, которые были зашифрованы, сообщает Fortinet.

Исследование поставщика средств безопасности также показало некоторое совпадение между ScareCrow и печально известным Вариант программы-вымогателя Conti, один из самых популярных инструментов для вымогательства. Оба, например, используют один и тот же алгоритм для шифрования файлов, и, как и Conti, ScareCrow удаляет теневые копии с помощью утилиты командной строки WMI (wmic), чтобы сделать данные невосстановимыми в зараженных системах. 

Согласно материалам, предоставленным VirusTotal, ScareCrow заразил системы в США, Германии, Италии, Индии, на Филиппинах и в России.

И, наконец, AESRT, третье новое семейство программ-вымогателей, недавно обнаруженное Fortinet, обладает функциональностью, аналогичной двум другим угрозам. Основное отличие заключается в том, что вредоносное ПО вместо записки с требованием выкупа выдает всплывающее окно с адресом электронной почты злоумышленника и полем, в котором отображается ключ для расшифровки зашифрованных файлов после того, как жертва заплатит требуемый выкуп.

Снизит ли Crypto-Collapse угрозу программ-вымогателей?

Новые варианты дополняют длинный и постоянно растущий список угроз программ-вымогателей, с которыми организациям теперь приходится сталкиваться ежедневно, поскольку операторы программ-вымогателей продолжают безжалостно атаковать корпоративные организации. 

Данные об атаках программ-вымогателей, проанализированные LookingGlass ранее в этом году, показали, что некоторые 1,133 подтвержденных атаки программ-вымогателей только за первую половину 2022 г. — более половины (52%) из которых затронули компании США. LookingGlass обнаружил, что наиболее активной группой вымогателей была группа, стоящая за вариантом LockBit, за которой следовали группы, создавшие программы-вымогатели Conti, Black Basta и Alphy.

Однако уровень активности не является устойчивым. Некоторые поставщики систем безопасности сообщили о небольшом замедлении активности программ-вымогателей в определенные периоды года.

Например, в отчете за полугодие SecureWorks сообщила, что ее действия по реагированию на инциденты в мае и июне показали, что скорость, с которой происходили новые успешные атаки программ-вымогателей, немного снизилась.

SecureWorks определила, что эта тенденция, вероятно, связана, по крайней мере частично, с нарушением работы Conti RaaS в этом году и другими факторами, такими как разрушительное влияние войны на Украине о бандах вымогателей.

Другой отчет Ресурсного центра по краже личных данных (ITRC), сообщили о 20-процентном снижении атак программ-вымогателей что привело к нарушению во втором квартале 2022 года по сравнению с первым кварталом года. ITRC, как и SecureWorks, определили, что снижение связано с войной в Украине и, что важно, с крахом криптовалют, которые операторы программ-вымогателей предпочитают использовать для платежей.

Брайан Уэр, генеральный директор LookingGlass, считает, что крах криптовалюты может помешать операторам программ-вымогателей в 2023 году. 

«Недавний скандал с FTX привел к падению криптовалют, и это влияет на монетизацию программ-вымогателей и, по сути, делает ее непредсказуемой», — говорит он. «Это не сулит ничего хорошего операторам программ-вымогателей, поскольку в долгосрочной перспективе им придется рассматривать другие формы монетизации».

Уэр говорит тенденции вокруг криптовалют некоторые группы программ-вымогателей рассматривают возможность использования своих собственных криптовалют: «Мы не уверены, что это осуществится, но в целом группы программ-вымогателей беспокоятся о том, как они будут монетизировать и поддерживать определенный уровень анонимности в будущем».