Troldesh стал самым популярным вирусом – шифровальщиком. Больше половины всех почтовых рассылок вредоносных программ в первой половине 2019 года пришлась на вирусы-шифровальщики, при этом самым популярным инструментом у киберпреступников оказался шифровальщик Troldesh. Об этом сообщил центр реагирования на инциденты кибербезопасности CERT Group-IB. Чтобы обойти антивирусные системы, хакеры отправляют вредоносные ссылки в нерабочее время с отложенной активацией, более 80% всех вредоносных файлов для маскировки доставлялись в архивах zip и rar.
Оглавление
Troldesh – исследование CERT-GIB
Исследование CERT-GIB основано на данных, полученных системой Threat Detection System (TDS) Polygon, в рамках предотвращения и обнаружения угроз, распространяющихся в интернете в первом полугодии 2019 г. в 60 странах мира. Согласно выводам отчета, основным способом доставки вредоносных программ — шифровальщиков, банковских троянов, бэкдоров — по-прежнему остается электронная почта. Во второй половине 2018 г. доля загрузок вредоносных программ с помощью веб-браузера сократилась до самого минимума и составляла не более 5%, а в первой половине 2019 г. только каждая 19 загрузка не была связана с почтовой рассылкой.
В первой половине 2019 г. наблюдается десятикратный рост использования запароленных объектов — документов или архивов. В 2017 г. на запароленные архивы приходилось лишь 0,08% от общего количества вредоносных объектов. В 2018 г. их количество выросло до 3,6%. В первой половине 2019 г. наблюдается аномальный рост до 27,8%.
Другой тенденцией стала маскировка вредоносного программного обеспечения (ВПО) в письме. Для того, чтобы обойти корпоративные средства защиты, злоумышленники все чаще прибегают к архивации вредоносных вложений. На протяжении первых шести месяцев 2019 г. в архивах доставлялось более 80% всех вредоносных объектов, в основном, для этого использовались форматы zip (32%) и rar (25%). Сам пароль для расшифровки содержимого злоумышленники указывали в письме с вредоносным вложением, в теме письма или в названии архива, либо, в ходе дальнейшей переписки с жертвой.
Злоумышленники все чаще используют ссылки в письмах, ведущие на загрузку вредоносных объектов, вместо уже традиционных вложений: 29% приходится на ссылки, 71% на вложения. Тогда как за весь 2018 г. на ссылки приходилось вдвое меньше ВПО.
Другим способом обхода антивирусных средств является таргетированная атака с доставкой письма в нерабочее время: во время проверки средствами защиты ссылка в письме недоступна, что квалифицируется как легитимная почта и письмо успешно доходит до получателя. Злоумышленники активируют вредоносную ссылку в рабочее время, значительно повышая вероятность успешного инфицирования компьютера.
«Современные киберпреступники обладают инструментами, позволяющими убедиться, что рассылаемый вредоносный экземпляр не детектируется популярными антивирусными средствами, — отметил Александр Калинин, руководитель центра реагирования на инциденты кибербезопасности CERT-GIB. — Отметим, что схемы с вложенными или запароленными архивами, отложенной активацией и т.д. оказываются оперативно обнаруженными только в случае использования продвинутых систем раннего предотвращения кибератак, а вместе со сложным поведенческим анализом позволяют успешно детектировать ранее неизвестные экземпляры ВПО. Получив информацию из нашего исследования, SOC (Security Operation Center) и CERT могут проверить, закрывают ли они перечисленные угрозы или нет: поскольку если они не проверили ссылку, которую получил пользователь, они могут пропустить угрозу, от которой в конечном итоге пострадают их клиенты».
Для того чтобы получатель открыл письмо или распаковал архив, киберпреступники используют методы социальной инженерии. В подавляющем большинстве случаев атакующие используют бухгалтерскую тематику для привлечения особого внимания к своим вредоносным рассылкам. Если раньше отправители в русскоязычном сегменте использовали в качестве названия вредоносных фалов слова «платеж», «приглашение», «скан», «акт», то в этом году чаще всего используют «документы», «заказ», «ордер» или «пароль». В атаках на международные организации наиболее часто встречающимися заголовками стали Payment, Scan, Voice Message, New Order, Invoice и т.д. Как видно из выборки, в основном популярностью пользуются ключевые слова из финансовой сферы, подогревая интерес у получателя запустить вредоносное вложение. Если рассматривать типовую массовую рассылку, то выбранная тематика позволяет атакующим с большей вероятностью заразить компьютер сотрудника финансового департамента, который в свою очередь, представляет большую ценность для злоумышленника в сравнении с устройствами других сотрудников. В группе риска – специалисты бухгалтерии, финансисты, коммерческие отделы и секретари.
Если в 2018 г. угроза потерять деньги была связана с атаками банковских троянов и бекдоров, то в первой половине 2019 г. существенно ухудшилась ситуация с шифровальщиками: они вновь уверенно вернулись на первое место (54%).
В топ-3 самых массовых атак вошли следующие вредоносные программы: Troldesh (53%), RTM (17%), Pony (6%).
Troldesh что это
Troldesh – самый распространенный шифровальщик, с которым сталкивается Group-IB за последние несколько лет. Основная задача Troldesh — зашифровать данные на компьютере и требовать выкуп за их расшифровку. Troldesh продается и сдается в аренду, в связи с чем вирус постоянно приобретает новую функциональность. Последние кампании с Troldesh показали, что теперь он не только шифрует файлы, но еще майнит криптовалюту и генерирует трафик на веб-сайты для увеличения посещаемости и доходов от онлайн-рекламы.
Центр управления Troldesh располагается в сети Tor и постоянно меняет адрес домена, что осложняет его блокировку.
Troldesh продаётся и сдаётся в аренду на специализированных площадках в даркнете, в связи с чем вирус постоянно приобретает новую функциональность и меняет способы распространения. Последние кампании с Troldesh показали, что теперь он не только шифрует файлы, но ещё майнит криптовалюту и генерирует трафик на веб-сайты для увеличения посещаемости и доходов от онлайн-рекламы.
На форумах, где общаются пострадавшие, говорят, что способа спасти зашифрованные файлы нет, то есть программа написана довольно грамотно с криптографической точки зрения.
«Лаборатория Касперского» бесплатно распространяет дешифратор Shade Decryptor, но он помогает только против первой и второй версий шифровальщика.
Профилактика против заражения стандартная:
- загружать программы лишь из проверенных источников;
- не открывать подозрительные почтовые вложения;
- не переходить по сомнительным ссылкам;
- делать резервные копии важных файлов, которые хранить отдельно.
Банковский троян RTM
На втором месте — банковский троян RTM, написанный одноименной хакерской группировкой. Появившись в 2016 г. RTM привлек особое внимание тем, что получение списка управляющих серверов происходило при обращении к странице профиля на площадке Livejournal. После анализа было установлено, что RTM нацелен на хищение денежных средств через ДБО российских банков. Используя различные схемы распространения, RTM на какое-то время пропал из виду и в середине 2018 г. снова заявил о себе, распространяясь через сеть поддельных бухгалтерских сайтов. Далее на протяжении всего отчетного периода использовался в различных атаках на финансовые учреждения и предприятия. С начала 2019 г. количество вредоносных рассылок с RTM держится на стабильно высоком уровне.
Pony Formgrabber
Закрывает тройку вредоносная программа Pony Formgrabber, задача которой —хищения пользовательских паролей из более чем 100 приложений, в числе которых e-mail-клиенты, мессенджеры, веб-браузеры, FTP- и VPN-клиенты. Некоторые версии предоставляют возможности для скрытой загрузки и установки дополнительных вредоносных программ на инфицированном компьютере.
Напомним, что центр круглосуточного реагирования на инциденты информационной безопасности CERT-GIB —частный CERT в России, открытый в 2011 г. CERT-GIB остается одним из крупнейших в Восточной Европе. На базе CERT-GIB развернут Security Operation Center (SOC), специалисты которого отрабатывают события кибербезопасности в российских и международных компаниях, использующих различные системы защиты, в том числе, систему обнаружения целевых атак Threat Detection System (TDS), систему мониторинга, анализа и прогнозирования киберугроз Threat Intelligence и других.
CERT-GIB обеспечивает круглосуточную поддержку реагирования на инциденты информационной безопасности, при необходимости высылая на место инцидента мобильную бригаду для контроля необходимых процедур и сбора цифровых доказательств. CERT-GIB обладает полномочиями, необходимыми для оперативной блокировки сайтов, распространяющих вредоносное ПО, а также фишинговых и мошеннических ресурсов в доменах .RU, .РФ и еще более чем в 2,5 тыс. доменных зон. Чтобы обезопасить себя от атак – установите один из антивирусов, о которых мы уже рассказывали.
Кроме того, CERT-GIB является аккредитованным членом международного профессионального объединения Trusted Introducer и входит в крупнейшее сообщество команд реагирования FIRST, что позволяет обмениваться информацией с CERT-командами в более чем 100 странах и блокировать опасные сайты по всему миру.
