Microsoft разкрива тактиките, използвани от 4 семейства за рансъмуер

Microsoft хвърли светлина върху четири различни семейства рансъмуер – KeRanger, FileCoder, MacRansom и EvilQuest – за които е известно, че влияят на системите на Apple macOS.

„Въпреки че тези семейства зловреден софтуер са стари, те са пример за обхвата на възможностите и злонамереното поведение, които са възможни в платформата“, заяви екипът Security Threat Intelligence на технологичния гигант в доклад от четвъртък.

Първоначалният вектор за тези семейства рансъмуер включва това, което производителят на Windows нарича „методи, подпомагани от потребителя“, при които жертвата изтегля и инсталира троянски приложения.

Алтернативно, той може да пристигне и като втори етап като полезен товар, който е пуснат от вече съществуващ зловреден софтуер на заразения хост или като част от атака по веригата за доставки.

Независимо от използвания начин на действие, атаките протичат по сходен начин, като извършителите разчитат на легитимни функции на операционната система и използват уязвимости, за да проникнат в системите и да криптират интересуващите ги файлове.

Това включва използването на помощната програма Unix find, както и библиотечни функции като opendir, readdir и closedir за изброяване на файлове. Друг метод, засегнат от Microsoft, но не възприет от щамовете на ransomware, включва интерфейса NSFileManager Objective-C.

Наблюдава се също така, че KeRanger, MacRansom и EvilQuest използват комбинация от хардуерни и софтуерни проверки, за да определят дали зловредният софтуер се изпълнява във виртуална среда в опит да се противопоставят на опитите за анализ и отстраняване на грешки.

 

KeRanger използва техника, известна като забавено изпълнение, за да избегне откриване. Той постига това, като при стартирането си „спи“ в продължение на три дни, преди да стартира своите зловредни функции.

Устойчивостта, която е от съществено значение, за да се гарантира, че злонамереният софтуер се изпълнява дори след рестартиране на системата, се установява с помощта на агенти за стартиране и опашки на ядрото, посочват от Microsoft.

Докато FileCoder използва помощната програма ZIP за криптиране на файлове, KeRanger използва AES криптиране в режим на верижно шифриране на блокове (CBC), за да постигне целите си. От друга страна, и MacRansom, и EvilQuest използват алгоритъм за симетрично криптиране.

EvilQuest, който беше разкрит за първи път през юли 2020г., допълнително надхвърля типичния ransomware, като включва и други трояноподобни функции, като например записване на клавиши, компрометиране на Mach-O файлове чрез инжектиране на произволен код и деактивиране на софтуер за сигурност.

Той също така включва възможности за изпълнение на всеки файл директно от паметта, като на практика не оставя следи от полезния товар на диска.

„Рансъмуерът продължава да бъде една от най-разпространените и въздействащи заплахи, засягащи организациите, като нападателите непрекъснато развиват своите техники и разширяват трафика си, за да обхванат по-широка мрежа от потенциални цели“, заявиха от Microsoft.

Източник: The Hacker News

Подобни публикации

30 май 2023

Бели хакери спечелиха 105 000 долара от Sonos One

Няколко недостатъка в сигурността, открити в безжичните високоговор...

Идва ли Windows 12?

Голямата актуализация на Windows 11 за края на тази година, известн...
30 май 2023

Нов хакерски форум пусна данните на 478 000 чле...

База данни за известния хакерски форум RaidForums е изтекла в интер...
30 май 2023

CosmicEnergy е способен да спре електрическата ...

Руски софтуер, който може да изключва (или включва) промишлени маши...
29 май 2023

AceCryptor: Мощно оръжие на киберпрестъпниците

От 2016 г. насам за опаковане на множество щамове на зловреден софт...

Какво трябва да знаем за сигурността на 5G мреж...

5G променя правилата на играта за мобилната свързаност, включително...
28 май 2023

Computex 2023: всичко, което трябва да знаете з...

Computex 2023 се провежда от 29 май до 2 юни Изложението Computex 2...

С летния сезон фишинг и BEC кампаниите на тема ...

Фишинг кампаниите, насочени към пътуващи, се превърнаха от прости и...
27 май 2023

DarkFrost унищожава гейминг индустрията

Наблюдава се нов ботнет, наречен Dark Frost, който извършва разпред...
Бъдете социални
Още по темата
30/05/2023

Идва ли Windows 12?

Голямата актуализация на Windows 11 за...
30/05/2023

CosmicEnergy е способен да ...

Руски софтуер, който може да изключва...
27/05/2023

DarkFrost унищожава гейминг...

Наблюдава се нов ботнет, наречен Dark...
Последно добавени
30/05/2023

Бели хакери спечелиха 105 0...

Няколко недостатъка в сигурността, открити в...
30/05/2023

Идва ли Windows 12?

Голямата актуализация на Windows 11 за...
30/05/2023

Нов хакерски форум пусна да...

База данни за известния хакерски форум...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!