Ostrzeżenie przed Bad Rabbitem
Nowy ransomware nazwany Bad Rabbit został po raz pierwszy wykryty we
wtorek, 24 października w Rosji i na Ukrainie. Niewielką liczbę infekcji odnotowano także w
pozostałej części wschodniej Europy, Niemczech i Turcji. Atak rozprzestrzenia się na inne regiony, o
czym świadczą raporty z USA i Korei Południowej. A to znaczy, że nikt nie może czuć się bezpieczny, bo ransomware Bad
Rabbit rozprzestrzenia się w sposób, który nie ogranicza jego zasięgu do
konkretnego kraju lub docelowej grupy użytkowników, w którą jest
wymierzony.
Potwierdzono m.in., że Bad Rabbit
zainfekował kilka agencji prasowych w Rosji, w tym Interfax, zmuszając ją do pracy w trybie offline.
Ponadto ataku doświadczył sektor transportu publicznego. Bad Rabbit zaatakował np. Międzynarodowy
Port Lotniczy w Odessie oraz metro w Kijowie. Obecnie nie ma jednoznacznej odpowiedzi na pytanie,
kto jest odpowiedzialny za atak.
Wstępnym wektorem ataku jest użytkownik, który instaluje
złośliwe kopie programu Flash Player, otrzymane przez zainfekowane strony internetowe lub metodą
watering hole attack, w której celem cyberprzestępcy jest określona grupa użytkowników. Aby do niej
dotrzeć, infekuje urządzenie jednego z nich, uzyskując dostęp do sieci w jego miejscu
zatrudnienia.
Użytkownicy instalują Bad Rabbit poprzez otwarcie złośliwego pliku .exe, który
uruchamia aplikację ransomware. Następnie złośliwe oprogramowanie próbuje wykraść poświadczenia
użytkownika w systemie operacyjnym Windows (nazwa użytkownika i hasła) i zaszyfrować pliki
użytkowników. W przeciwieństwie do innych znanych ransomware, złośliwe oprogramowanie nie zmienia
nazw plików, które szyfruje.
Testy w laboratorium FortiGuard Labs firmy Fortinet wykazały, że
Bad Rabbit próbuje wylistować różne adresy IP w tej samej podsieci. Jednym z możliwych powodów
takiego zachowania jest to, że ransomware może szukać wewnętrznego adresu IP, który jest prawidłowym
serwerem internetowym. Ponadto Bad Rabbit próbował także poruszać się w poprzek sieci, aby znaleźć i
zainfekować inne wrażliwe urządzenia.
– Bad Rabbit może być wariantem znanego ransomware
Petya, a raz uruchomiony zaczyna szyfrować pliki na komputerze i udostępnione w sieci, zanim jeszcze
wyświetli notatkę dotyczącą okupu – mówi Robert Dąbrowski, szef zespołu inżynierów
Fortinet.
W celu odblokowania zaszyfrowanych plików ransomware wymaga wpłaty w wysokości 0,05
Bitcoina lub około 275 USD. Atak ten przyciąga wiele uwagi przede wszystkim z powodu pewnych
podobieństw do poprzednich głośnych przypadków ataków ransomware: WannaCry i Petya. Podobnie jak one
używa protokołu SMB (Server Message Block), ale w przeciwieństwie do nich Bad Rabbit nie
wykorzystuje podatności Eternal Blue lub DoublePulsar.Źródło: Fortinet
dodano: 2017-10-27 15:47:31
|