Вымогатели LokiLocker и BlackBit атакуют российский бизнес - «Новости» » Интернет технологии
sitename
Недалеко от Земли «Джеймс Уэбб» обнаружил потенциально обитаемую планету-океан - «Новости сети»
Недалеко от Земли «Джеймс Уэбб» обнаружил потенциально обитаемую планету-океан - «Новости сети»
«Это позор»: первое платное дополнение к Cities: Skylines II получило 96 % отрицательных отзывов в Steam - «Новости сети»
«Это позор»: первое платное дополнение к Cities: Skylines II получило 96 % отрицательных отзывов в Steam - «Новости сети»
Тысячи телефонов и маршрутизаторов оказались подключены к прокси-сервисам без ведома владельцев - «Новости сети»
Тысячи телефонов и маршрутизаторов оказались подключены к прокси-сервисам без ведома владельцев - «Новости сети»
Сбой в драйвере GeForce RTX 4080 стоил команде Virtus.pro шанса на победу в турнире с призовым фондом $1,25 млн - «Новости сети»
Сбой в драйвере GeForce RTX 4080 стоил команде Virtus.pro шанса на победу в турнире с призовым фондом $1,25 млн - «Новости сети»
The Callisto Protocol наконец избавили от Denuvo — игру тут же выложили на торренты - «Новости сети»
The Callisto Protocol наконец избавили от Denuvo — игру тут же выложили на торренты - «Новости сети»
На Pwn2Own исследователи заработали 732 000 долларов и в очередной раз взломали Tesla - «Новости»
На Pwn2Own исследователи заработали 732 000 долларов и в очередной раз взломали Tesla - «Новости»
Проблема GoFetch угрожает процессорам Apple серии M, а патчи повлияют на производительность - «Новости»
Проблема GoFetch угрожает процессорам Apple серии M, а патчи повлияют на производительность - «Новости»
Немецкие правоохранители закрыли даркнет-маркетплейс Nemesis - «Новости»
Немецкие правоохранители закрыли даркнет-маркетплейс Nemesis - «Новости»
Рег.ру сообщил, что подвергся хакерской атаке - «Новости»
Рег.ру сообщил, что подвергся хакерской атаке - «Новости»
Замки Saflok, установленные в отелях и домах по всему миру, можно открыть из-за уязвимостей - «Новости»
Замки Saflok, установленные в отелях и домах по всему миру, можно открыть из-за уязвимостей - «Новости»
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Новости » Вымогатели LokiLocker и BlackBit атакуют российский бизнес - «Новости»

Эксперты компании F.A.C.C.T. (ранее Group-IB в РФ) предупредили об активизации в России программ-вымогателей LokiLocker и BlackBit. Треть от общего количества жертв этих шифровальщиков по всему миру находится в РФ — 21 компания.


Эти вымогатели требуют выкуп до 100 000 долларов (примерно 8 000 000 рублей по текущему курсу) за расшифровку данных атакованной компании, но при этом не похищают информацию и не шифруют файлы на компьютерах, где выбран персидский в качестве основного языка интерфейса.


Первые атаки вымогателей из семейства LokiLocker эксперты зафиксировали еще весной 2022 года на Ближнем Востоке, хотя сам шифровальщик появился годом раньше, летом 2021 года. В дальнейшем атаки с использованием LokiLocker, который распространяется по партнерской программе RaaS (Ransomware-as-a-Service, «вымогательство как услуга»), были замечены по всему миру.


В России для атак на средний и малый бизнес злоумышленники использовали не только LokiLocker, но и новый «родственный» ему шифровальщик BlackBit. По своей функциональности он практически идентичен LokiLocker, основное отличие состоит лишь в названии: для зашифрованных файлов используется расширение. BlackBit.



Вымогатели LokiLocker и BlackBit атакуют российский бизнес - «Новости»


Хакеры, взявшие на вооружение LokiLocker и BlackBit, не похищают у своих жертв данные и не выкладывают их на свои сайты для дальнейшего шантажа. Тем не менее, F.A.C.C.T. удалось раскрыть, кого именно атакуют вымогатели, используя данные, полученные при реагированиях на инциденты и анализе сторонних источников, включая VirusTotal.


Начиная с апреля 2022 года «близнецы-вымогатели» атаковали не менее 62 компаний по всему миру, из них 21 жертва находилась в России. В основном это компании малого и среднего бизнеса из сферы строительства, туризма, розничной торговли.


Начальная сумма выкупа, которую требуют вымогатели, колеблется от 10 000 до 100 000 долларов  (от 800 000 рублей до 8 000 000 рублей), а ее финальный размер зависит от платежеспособности компании и числа приобретаемых жертвой ключей расшифровки (для каждого зашифрованного хоста требуется свой оригинальный декриптор).


Одной из особенностей вымогателей является проверка языка ввода — если малварь находит на компьютере установленный персидский язык (Persian), то завершает свою работу. Однако вопрос об атрибуции злоумышленников к конкретной стране, до сих пор остается открытым.


Некоторые исследователи убеждены, что атаки LokiLocker и BlackBit намеренно проводятся «под чужим флагом» для того, чтобы затруднить работу исследователям. Специалисты F.A.C.C.T. не исключают, что состав группы может быть интернациональным, несмотря на то, что партнерская программа и первые версии программы-вымогателя изначально были созданы носителями персидского языка.


В среднем продолжительность атак вымогателей LokiLocker и BlackBit составляет от суток до нескольких дней. В качестве первоначального вектора атаки злоумышленники используют скомпрометированные службы удаленного доступа и, прежде всего, публично доступный терминальный сервер — RDP (Remote Desktop Protocol). Для получения доступа к RDP-серверу злоумышленники могут применять как брутфорс, так и покупать учетные данные в даркнете у брокеров первоначального доступа.


Получив первоначальный доступ, атакующие стремятся закрепиться в сети и получить привилегированные учетные данные — для  этого они используют популярную утилиту Mimikatz (T1003). В процессе разведки  для оценки платежеспособности жертвы злоумышленники могут изучать на хостах файлы и документы, но не похищают их.


Развертывание вымогателя в ИТ-инфраструктуре жертвы проводится атакующими преимущественно вручную, обычно в выходной или праздничный день. Предварительно, вымогатели стараются отключить антивирусное ПО,  используя для этого легитимные утилиты. В качестве канала коммуникации с жертвами хакеры используют почту и Telegram. По истечении 30-дневного срока, если выкуп не был получен и не использован декриптор, вредонос уничтожает все данные в скомпрометированной системе.





«В период геополитической напряженности российский бизнес все чаще подвергается кибератакам, среди которых в последнее время заметную роль стали играть программы вымогатели, ранее встречавшиеся в РФ крайне редко, например, тот же LokiLocker, — замечает генеральный директор компании F.A.С.С.T. Валерий Баулин. — Несмотря на то, что партнеры LokiLocker и BlackBit не демонстрируют в своих атаках особо изощренных или инновационных методов, а сами программы-вымогатели хорошо известны многим средствам защиты, это не спасает жертв от шифрования данных. Успех атак во многом объясняется легкомысленным отношением бизнеса к защищенности своих внешних сервисов удаленного доступа, в первую очередь публично доступных терминальных серверов — это значительно расширяет поверхность атаки и упрощает задачу злоумышленникам».


Эксперты компании F.A.C.C.T. (ранее Group-IB в РФ) предупредили об активизации в России программ-вымогателей LokiLocker и BlackBit. Треть от общего количества жертв этих шифровальщиков по всему миру находится в РФ — 21 компания. Эти вымогатели требуют выкуп до 100 000 долларов (примерно 8 000 000 рублей по текущему курсу) за расшифровку данных атакованной компании, но при этом не похищают информацию и не шифруют файлы на компьютерах, где выбран персидский в качестве основного языка интерфейса. Первые атаки вымогателей из семейства LokiLocker эксперты зафиксировали еще весной 2022 года на Ближнем Востоке, хотя сам шифровальщик появился годом раньше, летом 2021 года. В дальнейшем атаки с использованием LokiLocker, который распространяется по партнерской программе RaaS (Ransomware-as-a-Service, «вымогательство как услуга»), были замечены по всему миру. В России для атак на средний и малый бизнес злоумышленники использовали не только LokiLocker, но и новый «родственный» ему шифровальщик BlackBit. По своей функциональности он практически идентичен LokiLocker, основное отличие состоит лишь в названии: для зашифрованных файлов используется расширение. BlackBit. Хакеры, взявшие на вооружение LokiLocker и BlackBit, не похищают у своих жертв данные и не выкладывают их на свои сайты для дальнейшего шантажа. Тем не менее, F.A.C.C.T. удалось раскрыть, кого именно атакуют вымогатели, используя данные, полученные при реагированиях на инциденты и анализе сторонних источников, включая VirusTotal. Начиная с апреля 2022 года «близнецы-вымогатели» атаковали не менее 62 компаний по всему миру, из них 21 жертва находилась в России. В основном это компании малого и среднего бизнеса из сферы строительства, туризма, розничной торговли. Начальная сумма выкупа, которую требуют вымогатели, колеблется от 10 000 до 100 000 долларов (от 800 000 рублей до 8 000 000 рублей), а ее финальный размер зависит от платежеспособности компании и числа приобретаемых жертвой ключей расшифровки (для каждого зашифрованного хоста требуется свой оригинальный декриптор). Одной из особенностей вымогателей является проверка языка ввода — если малварь находит на компьютере установленный персидский язык (Persian), то завершает свою работу. Однако вопрос об атрибуции злоумышленников к конкретной стране, до сих пор остается открытым. Некоторые исследователи убеждены, что атаки LokiLocker и BlackBit намеренно проводятся «под чужим флагом» для того, чтобы затруднить работу исследователям. Специалисты F.A.C.C.T. не исключают, что состав группы может быть интернациональным, несмотря на то, что партнерская программа и первые версии программы-вымогателя изначально были созданы носителями персидского языка. В среднем продолжительность атак вымогателей LokiLocker и BlackBit составляет от суток до нескольких дней. В качестве первоначального вектора атаки злоумышленники используют скомпрометированные службы удаленного доступа и, прежде всего, публично доступный терминальный сервер — RDP (Remote Desktop Protocol). Для получения доступа к RDP-серверу злоумышленники могут применять как брутфорс, так и покупать учетные данные в даркнете у брокеров первоначального доступа. Получив первоначальный доступ, атакующие стремятся закрепиться в сети и получить привилегированные учетные данные — для этого они используют популярную утилиту Mimikatz (T1003). В процессе разведки для оценки платежеспособности жертвы злоумышленники могут изучать на хостах файлы и документы, но не похищают их. Развертывание вымогателя в ИТ-инфраструктуре жертвы проводится атакующими преимущественно вручную, обычно в выходной или праздничный день. Предварительно, вымогатели стараются отключить антивирусное ПО, используя для этого легитимные утилиты. В качестве канала коммуникации с жертвами хакеры используют почту и Telegram. По истечении 30-дневного срока, если выкуп не был получен и не использован декриптор, вредонос уничтожает все данные в скомпрометированной системе. «В период геополитической напряженности российский бизнес все чаще подвергается кибератакам, среди которых в последнее время заметную роль стали играть программы вымогатели, ранее встречавшиеся в РФ крайне редко, например, тот же LokiLocker, — замечает генеральный директор компании F.A.С.С.T. Валерий Баулин. — Несмотря на то, что партнеры LokiLocker и BlackBit не демонстрируют в своих атаках особо изощренных или инновационных методов, а сами программы-вымогатели хорошо известны многим средствам защиты, это не спасает жертв от шифрования данных. Успех атак во многом объясняется легкомысленным отношением бизнеса к защищенности своих внешних сервисов удаленного доступа, в первую очередь публично доступных терминальных серверов — это значительно расширяет поверхность атаки и упрощает задачу злоумышленникам».
CSS
запостил(а)
Warren
Вернуться назад

Смотрите также

А что там на главной? )))



Комментарии )))



Комментарии для сайта Cackle
Войти через:
Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика Яндекс.Метрика