Nga bị 'CryWiper' mới tấn công — Phần mềm tống tiền giả mạo

Phân tích & Thông minh Bảo mật API Bảo mật ứng dụng Bảo mật đám mây Luật mạng An ninh mạng Bảo mật dữ liệu DevOps Chuyển đổi kỹ thuật số Lịch biên tập Điểm cuối Nổi bật Quản trị, rủi ro & tuân thủ Nhận dạng & truy cập Phản hồi sự cố Phần mềm độc hại Đọc nhiều nhất trong tuần này An ninh mạng Tin tức Bài đăng phổ biến Nhận thức về bảo mật Security Boulevard (Bản gốc) Social Engineering Spotlight

Trang chủ » Đại lộ An ninh (Bản gốc) » Tin tức » Nga bị 'CryWiper' mới tấn công —

Nga bị tấn công bởi 'CryWiper' mới - Ransomware giả mạo

bởi Richi Jennings vào ngày 5 tháng 12 năm 2022

Phần mềm độc hại wiper mới đang phá hủy dữ liệu trên PC của chính phủ Nga. Được đặt tên là CryWiper, Trojan đê tiện chỉ nhắm mục tiêu vào một số cơ quan nhất định

Để tăng thêm sự xúc phạm cho thương tích, CryWiper giả vờ là ransomware. Nó hướng dẫn các nạn nhân gửi nửa bitcoin cho tin tặc, nhưng dữ liệu đã bị ghi đè—không được mã hóa

tài trợ có sẵn

Ai chịu trách nhiệm?

Người theo dõi blog khiêm tốn của bạn đã tuyển chọn những mẩu blog này để bạn giải trí. chưa kể. Mọi hình nền Windows

Vlad nức nở

Bạn đã làm gì?

“CryWiper phá hủy nội dung của tập tin”
Các văn phòng và tòa án của thị trưởng Nga đã bị tấn công bởi một ransomware mới—CryWiper. [Nó] mã hóa dữ liệu trên máy tính, sau đó xuất hiện thông báo trên màn hình yêu cầu trả khoản tiền chuộc 8.600 USD. … Chương trình không khôi phục tệp — chúng bị xóa mà không có khả năng khôi phục. Phân tích mã cho thấy đây không phải là lỗi của nhà phát triển, mà là ý định ban đầu của anh ấy
…
CryWiper phá hủy nội dung của các tệp thuộc mọi định dạng, ngoại trừ những tệp chịu trách nhiệm về hoạt động của chính hệ thống. … Các chuyên gia gọi loại vi-rút này là “wipers”…các chương trình xóa dữ liệu khi thiết bị bị nhiễm vi-rút

Và Dan Goodin cho biết thêm—“Phần mềm độc hại chưa từng thấy đang đánh cắp dữ liệu ở Nga”

“Một số điểm tương đồng với IsaacWiper”
Phần mềm độc hại Wiper ngày càng trở nên phổ biến. … Trong năm qua, một loạt cần gạt nước mới xuất hiện. Chúng bao gồm DoubleZero, IsaacWiper, HermeticWiper, CaddyWiper, WhisperGate, AcidRain, Industroyer2 và RuRansom
…
CryWiper có một số điểm tương đồng với IsaacWiper, nhắm mục tiêu vào các tổ chức ở Ukraine. Cả hai cần gạt nước đều sử dụng cùng một thuật toán để tạo số giả ngẫu nhiên. … Thuật toán hiếm khi được sử dụng, vì vậy tính phổ biến vẫn còn. [Nó cũng] chia sẻ một điểm chung riêng biệt với các họ phần mềm tống tiền được gọi là Trojan-Ransom. Win32. Xorist và Trojan-Ransom. MSIL. Đại lý

Thêm chi tiết, xin vui lòng. Bill Toulas bắt buộc—“Trình xóa dữ liệu CryWiper mới”

"Sự phá hủy"
CryWiper là một tệp thực thi Windows 64 bit có tên là 'browserupdate. exe’ được viết bằng C++, được định cấu hình để lạm dụng nhiều lệnh gọi hàm WinAPI. Sau khi thực hiện, nó tạo các tác vụ theo lịch trình để chạy cứ sau 5 phút. … Nó liên hệ với một máy chủ chỉ huy và điều khiển [máy chủ này] phản hồi bằng lệnh “chạy” hoặc “không chạy”, xác định xem cần gạt nước sẽ kích hoạt hay không hoạt động
…
CryWiper sẽ dừng các quy trình quan trọng liên quan đến MySQL, máy chủ cơ sở dữ liệu MS SQL, máy chủ email MS Exchange và dịch vụ web MS Active Directory để giải phóng dữ liệu bị khóa để tiêu hủy. … CryWiper cũng sửa đổi Windows Registry để ngăn các kết nối RDP, có khả năng cản trở… phản hồi sự cố

Miệng ngựa?

“Trojan-Ransom. Win64. CryWiper”
Hầu hết các cuộc tấn công mạng đều có động cơ tài chính, nhưng trong những năm gần đây, số lượng các cuộc tấn công với mục tiêu không phải để làm giàu mà là để gây hại đã gia tăng. [Nó] là một trò lừa bịp. Dữ liệu đã bị hủy và không thể trả lại
…
IoC
14808919a8c40ccada6fb056b7fd7373, cập nhật trình duyệt. exe, CryWiper, IsaacWiper, Nó không phải là phần mềm độc hại—đó là một hoạt động phần mềm đặc biệt, IYJHNkmy3XNZ, kaspersky, MSIL, Putin, Russia, SB Blogwatch, Ukraine, Vladimir Putin, wipe phần mềm độc hại, Xorist

Các tác nhân đe dọa đang nhắm mục tiêu vào các tòa án và văn phòng của Thị trưởng Nga bằng một phần mềm độc hại mới có tên CryWiper xuất hiện dưới dạng ransomware. Trên thực tế, đó là một trình gạt nước có thể phá hủy vĩnh viễn tất cả dữ liệu trên hệ thống bị nhiễm

Điều này làm chúng ta nhớ đến báo cáo của Microsoft vào tháng 1 năm 2022, trong đó một “phần mềm độc hại phá hoại” đang giả mạo việc lây nhiễm mã độc tống tiền để nhắm mục tiêu vào các tổ chức công nghệ, cơ quan chính phủ và tổ chức phi lợi nhuận của Ukraine

Phân tích chiến dịch

Công ty an ninh mạng Kaspersky và các nhà nghiên cứu của dịch vụ tin tức Izvestia đã tiết lộ những chi tiết đáng kinh ngạc về cách một làn sóng tấn công mới đã xuất hiện liên quan đến một trojan hoàn toàn mới. Nó giới thiệu các tính năng giống như phần mềm tống tiền như sửa đổi tệp, thêm. Phần mở rộng CRY cho các tệp và lưu README. txt và ghi chú đòi tiền chuộc

Ghi chú chứa địa chỉ ví bitcoin, ID lây nhiễm và ID email của người tạo phần mềm độc hại. Tuy nhiên, đây là những biện pháp lừa bịp được những kẻ tấn công sử dụng vì CryWiper không phải là ransomware mà là một công cụ xóa, đó là lý do tại sao các nhà nghiên cứu gọi nó là CryWiper

Theo các nhà nghiên cứu, các tệp mà nó sửa đổi không thể khôi phục về trạng thái ban đầu/trước đó của chúng. Vì vậy, thật vô nghĩa khi cân nhắc việc trả tiền chuộc

xác định mục tiêu

Trong báo cáo của mình, các nhà nghiên cứu của Kaspersky lưu ý rằng CryWiper khởi động 'các cuộc tấn công xác định' vào các mục tiêu có trụ sở tại Liên bang Nga, trong khi Izvestia lưu ý rằng các mục tiêu là các tòa án và văn phòng của thị trưởng ở Nga

Được biết, trình gạt nước này làm hỏng bất kỳ dữ liệu nào không cần thiết cho hoạt động của hệ điều hành. Chẳng hạn như nó không sửa đổi các tệp có phần mở rộng. dll,. exe,. msi, hoặc. hệ thống. Kaspersky đã phát hiện ra các cuộc tấn công trong vài tháng qua

Hơn nữa, nó tránh ảnh hưởng đến các thư mục hệ thống khác nhau được lưu trữ trong C. thư mục \Windows. Đó là bởi vì các mục tiêu chính của nó là tài liệu người dùng, tài liệu lưu trữ và cơ sở dữ liệu

Tại sao CryWiper để lại ghi chú đòi tiền chuộc?

Izvestia xác định rằng sau khi lây nhiễm thành công một hệ thống, CryWiper đã để lại một ghi chú yêu cầu 0. 5 bitcoin và địa chỉ ví để chuyển tiền. Các nhà nghiên cứu của Kaspersky giải thích rằng mặc dù nó moi tiền từ các mục tiêu để giải mã dữ liệu, nhưng nó không mã hóa dữ liệu mà phá hủy hoàn toàn dữ liệu. Họ quan sát thêm rằng đây không phải là một sai lầm mà là ý định ban đầu của nhà phát triển

Làm thế nào nó hoạt động?

CryWiper giống với IsaacWiper, sử dụng cùng một thuật toán để tạo ra các số giả ngẫu nhiên để làm hỏng trực tiếp các tệp được nhắm mục tiêu và ghi đè lên dữ liệu. Trong trường hợp này, trình gạt ghi trực tiếp nội dung tệp thay thế tệp gốc bằng tệp rác

Sau đó, Nó tạo một tác vụ trong Trình lập lịch tác vụ để khởi động lại trình gạt nước sau mỗi 5 phút. CryWiper cũng có thể gửi tên của thiết bị được nhắm mục tiêu đến máy chủ C2 và đợi lệnh từ máy chủ để bắt đầu cuộc tấn công

Hơn nữa, CryWiper tạm dừng các quy trình của cơ sở dữ liệu MS SQL và máy chủ MySQL, dịch vụ web MS Active Directory và máy chủ thư MS Exchange. Nó xóa các bản sao bóng của tài liệu trên C. lái xe chỉ để ngăn chặn sự phục hồi của họ. Nó cũng vô hiệu hóa kết nối của hệ thống bị nhiễm thông qua giao thức truy cập từ xa RDP, có thể làm phức tạp công việc của các nhóm ứng phó sự cố.

Bảo vệ khỏi ransomware và Wipers

Để bảo vệ bản thân hoặc doanh nghiệp của bạn khỏi phần mềm tống tiền và phần mềm xóa dữ liệu, bước đầu tiên để bảo vệ bạn khỏi phần mềm xóa dữ liệu là sao lưu các tệp của bạn thường xuyên. Điều này sẽ cho phép bạn khôi phục mọi dữ liệu bị mất hoặc bị hỏng nếu dữ liệu đó bị xâm phạm

Kaspersky khuyên bạn nên kiểm soát cẩn thận các kết nối truy cập từ xa tới cơ sở hạ tầng của bạn, bao gồm cả các mạng công cộng. Bạn cũng nên sử dụng phần mềm chống vi-rút có tính năng bảo vệ phần mềm độc hại tích cực, phần mềm này sẽ giúp phát hiện và xóa mọi chương trình độc hại trước khi chúng có thể gây ra thiệt hại

Ngoài ra, bạn nên thiết lập mật khẩu mạnh cho tất cả các tài khoản được liên kết với dữ liệu nhạy cảm và thường xuyên kiểm tra hoạt động đáng ngờ trên chúng

Phần mềm tống tiền phổ biến nhất trong lịch sử là gì?

Ransomware có thể bị đánh bại?

Bạn có biết điều gì thực sự xảy ra trong một cuộc tấn công ransomware không?

Tôi đã bị nhiễm mã độc tống tiền như thế nào?