Microsoft разкрива тактиките, използвани от 4 семейства за рансъмуер

Microsoft хвърли светлина върху четири различни семейства рансъмуер – KeRanger, FileCoder, MacRansom и EvilQuest – за които е известно, че влияят на системите на Apple macOS.

„Въпреки че тези семейства зловреден софтуер са стари, те са пример за обхвата на възможностите и злонамереното поведение, които са възможни в платформата“, заяви екипът Security Threat Intelligence на технологичния гигант в доклад от четвъртък.

Първоначалният вектор за тези семейства рансъмуер включва това, което производителят на Windows нарича „методи, подпомагани от потребителя“, при които жертвата изтегля и инсталира троянски приложения.

Алтернативно, той може да пристигне и като втори етап като полезен товар, който е пуснат от вече съществуващ зловреден софтуер на заразения хост или като част от атака по веригата за доставки.

Независимо от използвания начин на действие, атаките протичат по сходен начин, като извършителите разчитат на легитимни функции на операционната система и използват уязвимости, за да проникнат в системите и да криптират интересуващите ги файлове.

Това включва използването на помощната програма Unix find, както и библиотечни функции като opendir, readdir и closedir за изброяване на файлове. Друг метод, засегнат от Microsoft, но не възприет от щамовете на ransomware, включва интерфейса NSFileManager Objective-C.

Наблюдава се също така, че KeRanger, MacRansom и EvilQuest използват комбинация от хардуерни и софтуерни проверки, за да определят дали зловредният софтуер се изпълнява във виртуална среда в опит да се противопоставят на опитите за анализ и отстраняване на грешки.

 

KeRanger използва техника, известна като забавено изпълнение, за да избегне откриване. Той постига това, като при стартирането си „спи“ в продължение на три дни, преди да стартира своите зловредни функции.

Устойчивостта, която е от съществено значение, за да се гарантира, че злонамереният софтуер се изпълнява дори след рестартиране на системата, се установява с помощта на агенти за стартиране и опашки на ядрото, посочват от Microsoft.

Докато FileCoder използва помощната програма ZIP за криптиране на файлове, KeRanger използва AES криптиране в режим на верижно шифриране на блокове (CBC), за да постигне целите си. От друга страна, и MacRansom, и EvilQuest използват алгоритъм за симетрично криптиране.

EvilQuest, който беше разкрит за първи път през юли 2020г., допълнително надхвърля типичния ransomware, като включва и други трояноподобни функции, като например записване на клавиши, компрометиране на Mach-O файлове чрез инжектиране на произволен код и деактивиране на софтуер за сигурност.

Той също така включва възможности за изпълнение на всеки файл директно от паметта, като на практика не оставя следи от полезния товар на диска.

„Рансъмуерът продължава да бъде една от най-разпространените и въздействащи заплахи, засягащи организациите, като нападателите непрекъснато развиват своите техники и разширяват трафика си, за да обхванат по-широка мрежа от потенциални цели“, заявиха от Microsoft.

Източник: The Hacker News

Подобни публикации

5 декември 2023

СМС измамите - как да се предпазим

Получавали ли сте някога нежелано текстово съобщение, което обещава...
4 декември 2023

Ирански хакери превземат контролери на водни съ...

Критичната инфраструктура в няколко американски щата може да е била...
4 декември 2023

Рансъмуерът е безмилостен: какво можете да напр...

Не само, че броят на рансъмуерите се увеличава, но този вид зловред...
3 декември 2023

Свалянето на Qakbot: Смекчаване на последиците ...

Министерството на правосъдието на САЩ и ФБР наскоро си сътрудничиха...
2 декември 2023

Владимир Дунаев е осъден за създаването на злов...

Министерството на правосъдието на САЩ обяви, че руски гражданин е п...
2 декември 2023

Клиентите на онлайн туристическата агенция Book...

Една от най-големите онлайн туристически агенции в света – Booking....
2 декември 2023

Националната ядрена лаборатория на Айдахо е бил...

Националната лаборатория на Айдахо (INL), една от 17-те национални ...
1 декември 2023

Енергийни смущения, свързани с киберсигурността

Експерти по сигурността предупреждават, че операторите на петролни ...
30 ноември 2023

Microsoft започва тестване на новата функция за...

Microsoft започна да тества нова функция на Windows 11 Energy Saver...
Бъдете социални
Още по темата
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
02/12/2023

Владимир Дунаев е осъден за...

Министерството на правосъдието на САЩ обяви,...
30/11/2023

Microsoft започва тестване ...

Microsoft започна да тества нова функция...
Последно добавени
05/12/2023

СМС измамите - как да се пр...

Получавали ли сте някога нежелано текстово...
04/12/2023

Ирански хакери превземат ко...

Критичната инфраструктура в няколко американски щата...
04/12/2023

Рансъмуерът е безмилостен: ...

Не само, че броят на рансъмуерите...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!