Нов вариант на рансумуер Ryuk с подобни на червей възможности, които му позволяват да се разпространява на други устройства в локалните мрежи на жертвите беше открит от Френската национална агенция за киберсигурност при разследване на инцидент в началото на годината.
„Чрез използването на планирани задачи, зловредният софтуер се разпространява – машина към машина – в рамките на домейна на Windows“, се казва в доклад, публикуван днес, от ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information).
„Веднъж стартиран, той ще се разпространи на всяка достижима машина, на която е възможен достъпа до Windows RPC.“
За да се разпространи в локалната мрежа, новият вариант на Ryuk изброява всички IP адреси в локалния кеш ARP и изпраща пакети, които приличат на Wake-on-LAN (WOL) пакети към всяко от откритите устройства. След това монтира всички ресурси за споделяне, намерени за всяко устройство, за да може да криптира съдържанието. Способността на Ryuk да монтира и криптира устройствата на отдалечени компютри беше наблюдавана преди това от изпълнителния директор на Advanced Intelligence Виталий Кремез миналата година. Това, което прави тази нова проба Ryuk различна, е способността й да се копира на други устройства с Windows в локалните мрежи на жертвите. Освен това той може да се изпълнява дистанционно, като използва планирани задачи, създадени на всеки последващо компрометиран мрежов хост с помощта на законния инструмент schtasks.exe Windows.
Въпреки че не използва механизъм за изключване, който би му попречил да прекриптира устройства, ANSSI казва, че новият вариант все още може да бъде блокиран от заразяване на други хостове в мрежата чрез промяна на паролата на привилегирования акаунт на домейн, който използва за разпространение до други хостове. „Един от начините за справяне с проблема може да бъде промяната на паролата или деактивирането на потребителския акаунт (според използвания акаунт) и след това да се пристъпи към двойна промяна на паролата за домейн KRBTGT“, казва ANSSI. „Това би предизвикало много смущения в домейна – и най-вероятно ще изисква много рестартирания, но също така би могло незабавно да ограничи разпространението. Други подходи за ограничаване на разпространението също могат да бъдат разгледани, особено чрез насочване към средата за изпълнение на зловредния софтуер.“
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
