Търсене
Close this search box.

Microsoft разкрива тактиките, използвани от 4 семейства за рансъмуер

Microsoft хвърли светлина върху четири различни семейства рансъмуер – KeRanger, FileCoder, MacRansom и EvilQuest – за които е известно, че влияят на системите на Apple macOS.

„Въпреки че тези семейства зловреден софтуер са стари, те са пример за обхвата на възможностите и злонамереното поведение, които са възможни в платформата“, заяви екипът Security Threat Intelligence на технологичния гигант в доклад от четвъртък.

Първоначалният вектор за тези семейства рансъмуер включва това, което производителят на Windows нарича „методи, подпомагани от потребителя“, при които жертвата изтегля и инсталира троянски приложения.

Алтернативно, той може да пристигне и като втори етап като полезен товар, който е пуснат от вече съществуващ зловреден софтуер на заразения хост или като част от атака по веригата за доставки.

Независимо от използвания начин на действие, атаките протичат по сходен начин, като извършителите разчитат на легитимни функции на операционната система и използват уязвимости, за да проникнат в системите и да криптират интересуващите ги файлове.

Това включва използването на помощната програма Unix find, както и библиотечни функции като opendir, readdir и closedir за изброяване на файлове. Друг метод, засегнат от Microsoft, но не възприет от щамовете на ransomware, включва интерфейса NSFileManager Objective-C.

Наблюдава се също така, че KeRanger, MacRansom и EvilQuest използват комбинация от хардуерни и софтуерни проверки, за да определят дали зловредният софтуер се изпълнява във виртуална среда в опит да се противопоставят на опитите за анализ и отстраняване на грешки.

 

KeRanger използва техника, известна като забавено изпълнение, за да избегне откриване. Той постига това, като при стартирането си „спи“ в продължение на три дни, преди да стартира своите зловредни функции.

Устойчивостта, която е от съществено значение, за да се гарантира, че злонамереният софтуер се изпълнява дори след рестартиране на системата, се установява с помощта на агенти за стартиране и опашки на ядрото, посочват от Microsoft.

Докато FileCoder използва помощната програма ZIP за криптиране на файлове, KeRanger използва AES криптиране в режим на верижно шифриране на блокове (CBC), за да постигне целите си. От друга страна, и MacRansom, и EvilQuest използват алгоритъм за симетрично криптиране.

EvilQuest, който беше разкрит за първи път през юли 2020г., допълнително надхвърля типичния ransomware, като включва и други трояноподобни функции, като например записване на клавиши, компрометиране на Mach-O файлове чрез инжектиране на произволен код и деактивиране на софтуер за сигурност.

Той също така включва възможности за изпълнение на всеки файл директно от паметта, като на практика не оставя следи от полезния товар на диска.

„Рансъмуерът продължава да бъде една от най-разпространените и въздействащи заплахи, засягащи организациите, като нападателите непрекъснато развиват своите техники и разширяват трафика си, за да обхванат по-широка мрежа от потенциални цели“, заявиха от Microsoft.

Източник: The Hacker News

Подобни публикации

18 май 2024

Бивш лидер на OpenAI: Безопасността е "на заден...

Ян Лейке, който ръководеше екипа на OpenAI „Super Alignment&#...
18 май 2024

Киберсигурността в надпревара за разобличаване ...

Кевин Мандия, главен изпълнителен директор на Mandiant в Google Clo...
17 май 2024

Измамите с фалшиви фактури все още са сериозна ...

Измамите с фалшиви фактури не са нова тенденция, показват проучвани...
17 май 2024

Петима обвинени за киберсхеми в полза на оръжей...

Днес Министерството на правосъдието на САЩ повдигна обвинения на пе...
17 май 2024

Шпионската група "Маската" се появява отново сл...

Група за съвременни постоянни заплахи (APT), която не е била в дейс...
16 май 2024

400 000 Linux сървъра са засегнати от ботнета E...

Разширяването на ботнета Ebury Linux продължава без прекъсване през...
Бъдете социални
Още по темата
16/05/2024

Ascension Healthcare претър...

Атаката прекъсна достъпа до електронните здравни...
15/05/2024

Microsoft отстранява грешки...

Днес Microsoft отстрани известен проблем, който...
15/05/2024

Singing River: Данните на 8...

Здравната система Singing River Health System...
Последно добавени
18/05/2024

Бивш лидер на OpenAI: Безоп...

Ян Лейке, който ръководеше екипа на...
18/05/2024

Киберсигурността в надпрева...

Кевин Мандия, главен изпълнителен директор на...
17/05/2024

Измамите с фалшиви фактури ...

Измамите с фалшиви фактури не са...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!