Программы-вымогатели, нацеленные на серверы Windows и Linux

Киберпреступники постоянно разрабатывают новые методы, позволяющие нападать на потенциальных жертв и не быть пойманными. Это особенно актуально для злоумышленников-вымогателей, которые проникают в сеть организации и шифруют там конфиденциальные файлы, фактически беря их в заложники. 'магнатНовый вирус-вымогатель под названием ', Ява Он нацелен на серверы Windows и Linux с помощью отчета, опубликованного BlackBerry Research and Intelligence Team и KPMG UK Cyber ​​Response Services, проливает свет на то, как организуются эти атаки.

Tycoon, известный с декабря прошлого года, представляет собой мультиплатформенную программу-вымогатель Java, и ее цель Окна И Линукс файлы на своих серверах. Чтобы избежать разоблачения, Tycoon использует JIMAGE, малоизвестный формат изображений Java. JIMAGE используется виртуальной машиной Java (JVM) во время ее работы. Ява Время выполнения Среда Он хранит (JRE) изображения. В частности, программа-вымогатель Tycoon поставляется в виде ZIP-файла, содержащего зараженную сборку JRE. Хотя программы-вымогатели и раньше использовали Java, на этот раз они используют формат JIMAGE для создания персонализированного и вредоносного файла. JRE с компиляцией первый раз встречается.

Целевыми компаниями и образовательными учреждениями являются:

Похоже, что программа-вымогатель нацелена на малые и средние компании, образовательные учреждения и компании-разработчики программного обеспечения. Первое заражение произошло из-за подключенного к Интернету устройства. РДП Это происходит через сервер (протокол удаленного рабочего стола). Эта система используется для управления другими устройствами через собственную безопасную зону. Атаковав контроллер домена и файловые серверы, хакеры заставили системных администраторов взломать их компьютеры. снаружи уход. 

После этого, запустив процесс «хакер-сервер» и отключив локальную антивирусную защиту, злоумышленники проникают в скомпрометированную систему. назад дверь завершает работу и покидает сеть. Затем злоумышленник подключается к RDP-серверу и использует его для горизонтального перемещения по сети. Вручную инициируя RDP-соединение на каждом сервере, хакер запускает процесс, отключая защиту безопасности и создавая файл для запуска программы-вымогателя. куча файл запустить его.

Файлы, конфиденциальность которых была нарушена, Галуа/прилавок В режиме (GCM) он поставляется с 16-байтовым тегом аутентификации GCM для обеспечения целостности данных. ЭС-256 Утверждается, что он зашифрован алгоритмом. Не шифруя определенные части больших файлов, злоумышленники ускоряют процесс, но все же умудряются сделать файлы непригодными для использования. Файлы асимметричные ЮАР алгоритм Он зашифрован с помощью . Таким образом, для взлома этих паролей необходим закрытый ключ RSA злоумышленника, для поиска которого требуются огромные вычислительные мощности.

Хотя Tycoon существует на рынке уже около 6 месяцев, количество людей, пострадавших от этих атак, составляет раздраженный Заявлено, что. В данном случае атаки были направлены либо на конкретные организации, либо на другой тип Это часть более масштабной атаки с использованием программы-вымогателя.