Меню
ГлавнаяAndroid

Как работает вирус-шифровальщик Bad Rabbit. Как защититься от нового вируса-вымогателя Bad Rabbit

BadRabbit вирус функционирует как новая крипто-угроза, которая сумела нанести ущерб в Восточной Европе. Он действует аналогично печально известному или вымогателю, который разразился в киберпространстве несколько месяцев назад. Присмотревшись ближе, хотя есть сходства, и ИТ-специалисты подозревают, что разработчик может быть тем же, но исходный код совсем другой.

На данный момент количество жертв, как говорят, превысило 200 человек. Похоже, что разработчики сильно не любят Россию и Украину, поскольку эти две страны больше всего пострадали. Основными целями являются Одесский международный аэропорт в Украине и несколько медиа-корпораций в России, в том числе Интерфакс, Фонтанка.ру и др. Кроме того, нападение также распространилось на соседние страны, такие как Турция и Болгария.

Приводная атака,осуществляющаяся через поддельные обновления Flash Player

Продукт Adobe Flash Player еще раз продемонстрировал успех разработчиков вредоносных программ. Основной вредоносный компонент программы замаскирован под фальшивое Flash обновления. Вредоносная программа загружается как install _ flash _ player . exe файл с поврежденных сайтов. BadRabbit вымогатель также может маскироваться под альтернативными именами файлов.

Как показывает VirusTotal анализ, угроза может скрываться в определенном “деинсталляторе”. К счастью, инфекция уже обнаруживается большинством приложений безопасности. Вредоносная программа использует определенные уязвимости SMB серверов, что объясняет, почему она способна проникать в серверы.

После вторжения Bad Rabbit вымогатель создает C :\ Windows \ infpub . dat файл. Следовательно, он генерирует следующие файлы — C :\ Windows \ cscc . dat и C :\ Windows \ dispci . exe . Они отвечают за изменение MBR настроек. Интересно, что вредоносное ПО предлагает ссылки на персонажей Игры Престолов. Вредоносная программа BadRabbit создает три задачи, названные в серии после трех драконов:

  • C:\Windows\system32\rundll32.exe C:\Windows\infpub.dat,#1 15
  • cmd.exe /c schtasks /Delete /F /TN rhaegal
  • cmd.exe /c schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal /TR
  • cmd.exe /c schtasks /Create /SC once /TN drogon /RU SYSTEM /TR:00
  • C:\Windows\AF93.tmp» \

Он также использует сервис шифрования с открытым исходным кодом под названием DiskCryptor. Позже он использует стандартные методы шифрования AE и RSA-2048. Они предназначены для различных форматов файлов. Поскольку Petya.A не добавляет расширения файла, но вмешивается в настройки Master Boot Record (MBR).

Он перезагружает систему и отображает ту же самую записку с выкупом, что и NotPetya. Он также направляет жертв на свой уникальный сайт оплаты. Он кратко информирует их о вредоносном ПО и требует выкуп 0,05 BTC. После успешного проникновения вредоносного ПО в систему, оно использует Mimikatz для получения технической информации о других устройствах, видимых в одной сети.

BadRabbit вирус продолжает злодеяние Petya.
Метод 1. (Безопасный режим)
Выберите "Safe Mode with Networking" Метод 1. (Безопасный режим)
Выберите "Enable Safe Mode with Networking"

Выберите "Safe Mode with Command Prompt" Метод 2. (Системное восстановление)
Выберите "Enable Safe Mode with Command Prompt"
Метод 2. (Системное восстановление)
Введите "cd restore" без кавычек и нажмите "Enter"
Метод 2. (Системное восстановление)
Введите "rstrui.exe" без кавычек и нажмите "Enter"
Метод 2. (Системное восстановление)
В появившемся окне "System Restore" выберите "Next"
Метод 2. (Системное восстановление)
Выберите Вашу точку восстановления и щелкните "Next"
Метод 2. (Системное восстановление)
Щелкните "Yes" и начните восстановление системы ⇦ ⇨

Слайд 1 из 10

Например, или помогут вам идентифицировать инфекцию. Такой инструмент может помочь вам выполнить удаления BadRabbit. Ниже вы найдете инструкции по восстановлению доступа к компьютеру. После этого вы сможете удалить Bad Rabbit вирус.

Устранение крипто-угрозы BadRabbit

Из-за своих специфических методов работы неудивительно, почему вредоносное ПО называется следующим Petya. Если вы столкнулись с этим кибер несчастьем, следуйте приведенным ниже инструкциям. Поскольку вымогатель изменяет настройки MBR, вы не сможете сразу загрузить компьютер в безопасном режиме. Выполните инструкции сброса MBR.

После этого перезагрузите компьютер в безопасном режиме, повторно активируйте свои приложения безопасности и удалите BadRabbit вирус. После сканирования запустите компьютер в обычном режиме и повторите процедуру. Это подтвердит, что удаление Bad Rabbit завершено. Обратите внимание, что устранение вредоносных программ не восстанавливает закодированные файлы. Попробуйте восстановить их из резервных копий. Ниже вы найдете несколько предложений.

На Windows 7:

  1. Вставьте Windows 7 DVD.
  2. Запустите DVD.
  3. Выберите настройки языка и клавиатуры. Нажмите Далее .
  4. Выберите вашу операционную систему, отметьте Использовать инструменты восстановления и нажмите Далее .
  5. Подождите появление экрана Опции системного восстановления и выберите Командную строку .
  6. Введите следующие команды и жмите Enter после каждой: bootrec / rebuildbcd , bootrec / fixmbr , andbootrec / fixboot .
  7. Извлеките установочный DVD-диск и перезагрузите ПК.

На системах Windows 8/10:

  1. Вставьте установочный DVD или USB-накопитель восстановления.
  2. Выберите опцию Исправление вашего компьютера .
    3. Устранение неполадок и перейдите в Командную строку .
  3. Введите следующие команды по одной и жмите Enter после каждой: bootrec / FixMbr , bootrec / FixBoot , bootrec / ScanOs , и bootrec / RebuildBcd .
  4. Извлеките DVD или USB восстановление.
  5. Введите выход и нажмите Enter.
  6. Перезагрузите ПК.

Вирус‐вымогатель Bad Rabbit добрался до крупнейших российских банков, а также протестировал на прочность защитную систему Центробанка России. По данным компании, занимающейся расследованиями киберпреступлений, вирус пытался взломать систему банков из топ‐20. О том, как финансовые организации справлялись с нападками «плохого кролика» - в материале «360».

Следующая новость

Центробанк России зафиксировал хакерскую атаку вируса Bad Rabbit на ряд российских банков, сообщается в пресс-релизе регулятора. При этом данные финансовых организаций от действий шифровальщика не пострадали, отмечают в ЦБ.

Отличительной особенностью данного вредоносного программного обеспечения является способность собирать пароли пользователей зараженных компьютеров, а также загрузка дополнительных вредоносных модулей с использованием полученных данных. Злоумышленники присылают на e-mail письмо с вложенным вирусом, путем обмана или злоупотребления доверием они побуждают пользователя открыть вредоносный файл, после чего вредоносное программное обеспечение активируется

— сообщение Центробанка.

Монетарный регулятор предупреждает, что кибератаки могут возобновиться. Сотрудники Центробанка уже разослали банкам рекомендации о том, как можно обнаружить вредоносное программное обеспечение, и рассказали методах противодействия ему. Кроме того, ведомство планирует проанализировать совершенные на территории России кибератаки Bad Rabbit и разработать механизмы для защиты от вируса-вымогателя.

Банки под прицелом

Накануне вирус-шифровальщик Bad Rabbit пытался атаковать российские банки из первой двадцатки. Впрочем, атаки не увенчались успехом, рассказал Илья Сачков, гендиректор компании Group-IB , занимающейся расследованиями киберпреступлений. Аналитики Group-IB зафиксировали попытки заражения вирусом компьютерного обеспечения ряда российских банков, которые используют систему обнаружения вторжений, разработанную компанией.

«Эти файлы приходили туда во вторник с 13:00 до 15:00 по московскому времени. То есть на банки этот вирус тоже пытались распространить», — приводит слова Сачкова РИА «Новости». Какие именно банковские организации подверглись атакам «плохого кролика» представители компании предпочли умолчать.

В пресс-службе Россельхозбанка редакции «360» рассказали, что в банке не зафиксировали попыток осуществления кибератак на свои информационные ресурсы. Также представитель финансовой организации отметил, что в банке «осуществляется контроль и мониторинг информационной безопасности информационных активов, а также уделяется особое внимание появлению подозрительной вирусной и сетевой активности».

Представитель «Райффайзенбанка» отметил, что все сервисы банка работают в обычном режиме. «Мы знаем об угрозе, все необходимые меры были приняты. „Райффайзенбанк“ традиционно уделяет пристальное внимание вопросам кибербезопасности как с точки зрения внутренней инфраструктуры, так и сервисов, предоставляемых клиентам», — рассказала «360» пресс-секретарь банка Александра Сысоева.

Банковской системе удалось отразить удар Bad Rabbit, поскольку хакерские атаки на финансовые организации производятся в ежедневном режиме, рассказал «360» заместитель руководителя лаборатории по компьютерной криминалистике Group-IB Сергей Никитин.

Банки сталкиваются с кибератаками каждый день, поэтому все письма и сторонние файлы там проверяют через «песочницу» (специально выделенная среда для безопасного исполнения компьютерных программ — «360»). Однако если бы банкам не удалось отразить атаку, то это привело бы к потере данных, которые зачастую невозможно расшифровать даже после того, как мошенникам выплачивают деньги

— Сергей Никитин.

Эксперт отметил, что данный тип вируса не направлен на хищение средств у банка, так как специализируется только на шифровании информации о пользователях.

Последователь Not Pе tya


РИА «Новости» / Владимир Трефилов

Новый шифровальщик — это модифицированная версия вируса NotPetya, который поразил IT-системы организаций в нескольких странах в июне. На связь BadRabbit с NotPetya указывают совпадения в коде. Это говорит о том, что у них может быть один и тот же создатель, рассказал «360» руководитель аналитического центра Zecurion Владимир Ульянов.

Эти вирусы относятся к одному классу. При этом шифровальщик NotPetya был более масштабен, поскольку он использовал уязвимости в операционной системе W indows, а «плохой кролик» предлагает скачать вирус под видом плеера. Я думаю, Bad Rabbit вряд ли получит сильное распространение в России, поскольку защита от него уже разработана во всех антивирусных компаниях, приложениями которых пользуются банки и другие организации

— Владимир Ульянов.

В атаке используется программа Mimikatz, которая перехватывает на зараженной машине логины и пароли. Также в коде имеются уже прописанные логины и пароли для попыток получения административного доступа. За расшифровку файлов злоумышленники требуют 0,05 биткойна, что по современному курсу примерно эквивалентно 283 долларам или 15,7 тысячи рублей.

Вирус-шифровальщик BadRabbit предпринял почти двести попыток кибератак по всему миру, говорится в отчете «Лаборатории Касперского». «Большинство жертв находится в России. Меньшее количество атак наблюдалось и в других странах — Украине, Турции и Германии», — отметили в компании.

Чтобы не стать жертвой «плохого кролика», необходимо запретить исполнение файлов C:\windows\infpub.dat, C:\Windows\cscc.dat и поставить им права «только для чтения», посоветовали пользователям в «Лаборатории Касперского». Кроме того, рекомендуется оперативно изолировать компьютеры, указанные в тикетах (события в системе обнаружения вторжений), а также проверить актуальность и целостность резервных копий ключевых сетевых узлов.

Следующая новость

Вконтакте

Одноклассники

Буквально на днях на территории России и Украины, Турции, Германии, а также Болгарии началась масштабная хакерская атака новым вирусом-шифровальщиком Bad Rabbit, он же Diskcoder.D. Вирус в настоящий момент атакует корпоративные сети больших и средних организаций, блокируя все сети. Сегодня мы расскажем что из себя представляет этот троян и как можно обезопасить себя от него.

Вирус Bad Rabbit (Плохой Кролик) работает по стандартной для шифровальщиков схеме: попадая в систему, он кодирует файлы, за расшифровку которых хакеры требуют 0,05 биткоина, что по курсу составляет 283$ (или 15 700 руб). Об этом сообщается отдельным окном, куда собственно и нужно вводить приобретенный ключ. Угроза относится к типу троянов Trojan.Win32.Generic, но в нем есть и другие компоненты, такие как DangerousObject.Multi.Generic и Ransom.Win32.Gen.ftl.

Полностью отследить все источники заражения пока трудно, однако эксперты этим сейчас занимаются.

Предположительно угроза попадает на ПК через зараженные сайты, настроенных на перенаправление, или под видом фейковых обновлений для популярных плагинов типа Adobe Flash. Перечень таких сайтов пока только увеличивается.

Сразу нужно отметить, что в данный момент все антивирусные лаборатории принялись за анализ этого трояна. Если конкретно искать информацию по удалению вируса, то её, как таковой, не существует. Отбросим сразу стандартные советы, типа сделайте бекап системы, точку возврата, удалите определенные файлы. Если у вас нет сохранений, то все остальное не работает, хакеры эти моменты, в силу спецификации вируса, просчитали.

Есть вероятность, что вскоре будут распространятся сделанные аматорами дешифраторы для Bad Rabbit - вестись на эти программки или нет - ваше личное дело. Как продемонстрировал прошлый шифровальщик Petya, это мало кому помогает.

А вот предупредить угрозу и удалить её во время попытки залезть в ПК реально. Первыми на новость о вирусной эпидемии отреагировали лаборатории Kaspersky и ESET, которые уже в настоящий момент блокируют попытки проникновения.

Браузер Google Chrome в том числе стал выявлять зараженные ресурсы и предупреждать об их опасности. Вот что необходимо сделать для защиты от BadRabbit прежде всего:

1. Если вы используете для защиты Касперский, ESET, Dr.Web, или другие известные аналоги, то вам нужно обязательно выполнить обновление баз данных. Для Касперского, в том числе нужно включить «Мониторинг активности» (System Watcher), а в ESET примените сигнатуры с обновлением 16295.

2. Если вы не пользуетесь антивирусами, тогда нужно заблокировать исполнение файлов C:\Windows\infpub.dat и C:\Windows\cscc.dat. Делается это с помощью редактора групповых политик, или программки AppLocker для Windows.

3. По возможности стоит запретить выполнение службы - Windows Management Instrumentation (WMI). В 10-й версии служба называется «Инструментарий управления Windows». С помощью правой кнопки войдите в свойства службы и выберите в «Тип запуска» режим «Отключена».

Обязательно необходимо сделать резервную копию вашей системы. В идеале, копия должна всегда храниться на подключаемом носителе.

В завершении нужно отметить самое основное - не стоит платить выкуп, что бы у вас ни было зашифровано. Такого рода действия только подстрекают мошенников создавать новые вирусные атаки. Отслеживайте форумы антивирусных компаний, которые, я надеюсь, вскоре изучат вирус Bad Rabbit и найдут нужное решение. В обязательном порядке выполните вышеописанные пункты по защите вашей ОС. В случае возникновения трудностей при их выполнении, отпишитесь в комментариях.

Вирус-шифровальщик Bad Rabbit или Diskcoder.D. aтaкуeт кopпopaтивныe ceти бoльшиx и cpeдниx opгaнизaций, блoкиpуя вce ceти.

Bad Rabbit или "плохой кролик" трудно назвать первопроходцем - ему предшествовали вирусы-шифровальщики Petya и WannaCry.

Bad Rabbit — что за вирус

Схему распространения нового вируса исследовали эксперты антивирусной компании ESET и выяснили, что Bad Rabbit проникал на компьютеры жертв под видом обновления Adobe Flash для браузера.

В антивирусной компании считают, что шифратор Win32/Diskcoder.D, получивший название Bad Rabbit - модифицированная версия Win32/Diskcoder.C, более известного как Petya/NotPetya, который поразил IT-системы организаций в нескольких странах в июне. На связь Bad Rabbit с NotPetya указывают совпадения в коде.

В атаке используется программа Mimikatz, которая перехватывает на зараженной машине логины и пароли. Также в коде имеются уже прописанные логины и пароли для попыток получения административного доступа.

В новой вредоносной программе исправлены ошибки в шифровании файлов — код, использованный в вирусе, предназначен для шифрования логических дисков, внешних USB-накопителей и образов CD/DVD, а также загрузочных системных разделов диска. Так, что экспертам по дешифровке придется потратить много времени, чтобы раскрыть секрет вируса Bad Rabbit, утверждают специалисты.

Новый вирус, как утверждают специалисты, действует пo cтaндapтнoй для шифpoвaльщикoв cxeмe — пoпaдaя в cиcтeму неизвестно откуда, oн кoдиpуeт фaйлы, зa pacшифpoвку кoтopыx xaкepы тpeбуют выкуп в биткоинах.

Разблокировка одного компьютера обойдется в 0,05 биткоина, что составляет порядка 283 долларов по текущему курсу. В случае выплаты выкупа мошенники вышлют специальный код-ключ, который позволит восстановить нормальную работу системы и не потерять все.

Если пользователь не переведет средства в течение 48 часов, размер выкупа вырастет.

Но, стоит помнить, что выплата выкупа - может быть ловушкой, которая не гарантирует разблокировку компьютера.

В ESET отмечают, что в настоящее время связь вредоносной программы с удаленным сервером отсутствует.

Вирус больше всего поразил российских пользователей, в меньшей степени — компании в Германии, Турции и на Украине. Распространение происходило через зараженные СМИ. Известные зараженные сайты уже заблокированы.

В ESET считают, что статистика атак в значительной степени соответствует географическому распределению сайтов, содержащих вредоносный JavaScript.

Как защититься

Специалисты компании Group-IB, которая занимается предотвращением и расследованием киберпреступностей, дали рекомендации, как защититься от вируса Bad Rabbit.

В частности, для защиты от сетевого вредителя нужно создать на своем компьютере файл C:\windows\infpub.dat, при этом в разделе администрирования установить для него права "только для чтения".

Этим действием исполнение файла будет заблокировано, и все поступающие извне документы не будут зашифрованы даже в том случае, если окажутся зараженными. Нужно создать резервную копию всех ценных данных, чтобы в случае заражения не потерять их.

Специалисты Group-IB также советуют заблокировать ip-адреса и доменные имена, с которых происходило распространение вредоносных файлов, поставить пользователям блокировку всплывающих окон.

Рекомендуется также оперативно изолировать компьютеры в системе обнаружения вторжений. Пользователям ПК следует также проверить актуальность и целостность резервных копий ключевых сетевых узлов и обновить операционные системы и системы безопасности.

"В части парольной политики: настройками групповой политики запретите хранение паролей в LSA Dump в открытом виде. Смените все пароли на сложные", — добавили в компании.

Предшественники

Вирус WannaCry в мае 2017 года распространился не менее чем в 150 странах мира. Он шифровал информацию и требовал заплатить выкуп, по разным данным, от 300 до 600 долларов.

От него пострадали свыше 200 тысяч пользователей. По одной из версий, его создатели взяли за основу вредоносную программу АНБ США Eternal Blue.

Глобальная атака вируса-вымогателя Petya 27 июня поразила IT-системы компаний в нескольких странах мира, в большей степени затронув Украину.

Атаке подверглись компьютеры нефтяных, энергетических, телекоммуникационных, фармацевтических компаний, а также госорганов. Киберполиция Украины заявила, что атака вируса-вымогателя произошла посредством программы "M.E.doc".

Материал подготовлен на основе открытых источников