Все по-голям брой групи за рансъмуер приемат нова тактика, която им помага да криптират по-бързо системите на своите жертви, като същевременно намаляват шансовете да бъдат открити и спрени.
Тази тактика се нарича частично или прекъснато криптиране и се състои в криптиране само на части от съдържанието на целевите файлове, което пак би направило данните невъзстановими без използване на валиден дешифратор+ключ.
Например, чрез пропускане на всеки следващи 16 байта от файл, процесът на криптиране отнема почти половината от времето, необходимо за пълно криптиране, но все пак заключва съдържанието завинаги.
Освен това, тъй като криптирането е по-меко, автоматизираните инструменти за откриване, които разчитат на откриване на признаци на проблем под формата на интензивни файлови IO операции, е по-вероятно да се провалят.
SentinelLabs публикува доклад, разглеждащ тенденция, започната от LockFile в средата на 2021г. и сега възприета от такива като Black Basta, ALPHV (BlackCat), PLAY, Agenda и Qyick.
Тези групи активно популяризират наличието на функции за частично криптиране в тяхното семейство рансъмуер, за да привлекат повече филиали да се присъединят към операцията RaaS.
„Забележително е, че Qyick разполага с частично
криптиране, което готините типове използват, докато четете това. В комбинация с факта, че е написано в Go, скоростта е несравнима“, изтъква реклама на Qyick във форуми за хакване.
Прекъснатото криптиране изглежда има значителни предимства и почти никакви недостатъци, така че анализаторите по сигурността очакват скоро повече банди за рансъмуер да възприемат този подход.
Щамът на LockBit вече е най-бързият по отношение на скоростта на криптиране, така че ако бандата възприеме техниката на частично криптиране,времетраенето на нейните удари ще бъде намалена до няколко минути.
Разбира се, криптирането е сложен въпрос и внедряването на частично криптиране трябва да се извърши правилно, за да се гарантира, че няма да доведе до лесно възстановяване на данни от жертвите.
В момента внедряването на BlackCat е най-усъвършенстваното, докато това на Qyick остава неизвестно, тъй като анализаторите на зловреден софтуер все още не са анализирали проби от новия RaaS.
Снимка и изходна информация: SentinelLabs
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
