Τα νέα των Ransomware 29/10/2017

Είχαμε πολλή δραστηριότητα στους Ransomware την εβδομάδα που μας πέρασε, ξεχωρίζουν ο πρώτος Ελληνικός Ransomware, το ξέσπασμα του Bad Rabbit (που χτύπησε και την Ελλάδα) και τον Tyrant που σάρωσε εταιρίες και οργανισμούς στο Ιραν.

Κατά τ' άλλα, είχαμε πολλά μικρά στελέχη που έκαναν την εμφάνισή τους.

Ας τα δούμε αναλυτικά:

Kerkoporta - Το πρώτο ελληνικό Ransomware

Να τα μας... Αυτό προς το παρόν έχει περισσότερο το χαρακτήρα RAT (Remote Access Trojan) και Screenlocker. Μοιάζει να είναι σε δοκιμαστική έκδοση. Προς το παρόν μόνο μετονομάζει αρχεία.

Νέος Ransomware: Ordinal

Φυσικά είναι HiddenTear. Τοποθετεί την επέκταση .Ordinal.

ΝΕΟ ΞΕΣΠΑΣΜΑ RANSOMWARE

O Bad Rabbit χτυπάει την Ανατολική Ευρώπη!

Θύματα και στην Ελλάδα!

Ένα νέο στέλεχος ονόματι Bad Rabbit σπέρνει πανικό στην Ανατολική Ευρώπη, επηρεάζοντας τόσο κυβερνητικές υπηρεσίες, όσο και διάφορες εταιρίες και οργανισμούς.

Τη στιγμή που γράφονται αυτές οι γραμμές, το Ransomware αυτό έχει χτυπήσει χώρες όπως η Ελλάδα, η Ρωσία, η Ουκρανία, η Βουλγαρία και η Τουρκία, κυρίως όμως έχει επηρεαστεί η Ρωσία και η Ουκρανία.

Ήδη έχει επαληθευτεί από διάφορες πηγές ότι το Υπουργείο Υποδομών της Ουκρανίας, το Μετρό του Κιέβου, το αεροδρόμιο της Odessa στην Ουκρανία καθώς και τρείς δημοσιογραφικοί οργανισμοί στη Ρωσία (μεταξύ αυτών η Interfax και η Fontanka) έχουν χτυπηθεί από τον Bad Rabbit.

Οι υπηρεσίες ασφαλείας της Ουκρανίας έχουν εκδόσει προειδοποιητικό μήνυμα προς τις εταιρίες και τους οργανισμούς του ιδιωτικού τομέα να είναι ιδιαίτερα προσεκτικοί.

Η ταχύτητα με την οποία εξαπλώνεται ο Bad Rabbit είναι παραπλήσια με την αντίστοιχη των WannaCry και NotPetya που είχαν χτυπήσει το Μάιο και τον Ιούνιο αντίστοιχα.

O Bad Rabbit διανέμεται μέσω ψεύτικου Flash update

H ESET και η Proofpoint λένε ότι ο Bad Rabbit αρχικά διανέμονταν μέσω ψεύτικης ενημέρωσης του λογισμικού Flash. Όμως, το Ransomware φαίνεται πως είχε ενσωματωμένα εργαλεία τα οποία τα βοήθησαν να εξαπλωθεί τόσο γρήγορα.

Σε αναφορά της Kaspersky, η εταιρία ισχυρίζεται πως "το Ransomware (είχε) διανεμηθεί με τυχαίο τρόπο" και "τα θύματα κατευθύνθηκαν προς την ιστοσελίδα που κατείχε την ψεύτικη ενημέρωση του Flash από νόμιμες ειδησεογραφικές ιστοσελίδες".

Βάσει των αναλύσεων των ESET, Emsisoft και Fox-IT, ο Bad Rabbit χρησιμοποεί το

Τα νέα των Ransomware, 21/10/2017

Και αυτήν την εβδομάδα είχαμε αρκετά μικρά στελέχη να εμφανίζονται ή να επανεμφανίζονται, τα μεγάλα νέα όμως ήταν η εμφάνιση του Magniber και η χρήση του Hermes Ransomware σαν βιτρίνα για τη ληστεία σε μία τράπεζα στην Ταϊβάν. 

Ας τα δούμε αναλυτικά:

ΒορειοΚορεάτες πίσω από τη ληστεία τράπεζας στην Ταϊβάν

Μην φανταστείτε ότι μπήκαν με όπλα και ζήτησαν από τους υπαλλήλους να αδειάσουν τα ταμεία.
Η ιστορία έχει ως εξής, και είναι ιδιαίτερα ενδιαφέρουσα:

Πίσω από τη ληστεία, σύμφωνα με όλες τις ενδείξεις, κρύβεται η σπείρα Lazarous Group, μία ομάδα hackers από τη Βόρεια Κορέα.

Στις αρχές του μήνα, υπεύθυνοι της τράπεζες FEIB (Far Eastern International Bank) στην Ταϊβάν, ανακάλυψαν ότι έχει γίνει παραβίαση στα συστήματα της τράπεζας. Η παραβίαση είχε ως στόχο τη μεταφορά 60 εκατομμυρίων δολλαρίων (!) σε τράπεζες της Σρι Λάνκα, της Καμπότζης και των ΗΠΑ.

Οι επιτιθέμενοι έστειλαν email με παγιδευμένα αρχεία Word και Excel σε εργαζόμενους της τράπεζας. Τα αρχεία αυτά, με το άνοιγμά τους, εγκαθιστούσαν το ζητούμενο Malware. Στη συνέχεια, χρησιμοποιώντας SMB μπήκαν πρακτικά στο δίκτυο της τράπεζας.

Αφού χαρτογράφησαν το δίκτυο της τράπεζας και στόχευσαν Η/Υ που κατείχαν ευαίσθητο υλικό, τους έστειλαν άλλο malware το οποίο είχαν φτιάξει οι ίδιοι. Αυτή η επίθεση συνέβη την 1/10/17.

Στις 3/10, οι Lazarus χρησιμοποίησαν το συνθηματικό πρόσβασης ενός υπαλλήλου της τράπεζας και απέκτησαν πρόσβαση στον λογαριασμό SWIFT. Έτσι, έστειλαν χρήματα σε διαφορετικές τράπεζες της Σρι Λάνκα, της Καμπότζης και των ΗΠΑ.
Εκεί έγινε και το λάθος των Lazarus, που οδήγησε στην αποκάλυψη της παραβίασης από την τράπεζα: Χρησιμοποίησαν τους κωδικούς συναλλαγής MT103 και MT202COV, όμως τους τελευταίους τους τοποθέτησαν λανθασμένα.

Μόλις η FEIB ανακάλυψε την παραβίαση, οι Lazarus εξαπέλησαν στο δίκτυο της τράπεζας τον Hermes Ransomware με σκοπό να κρυπτογραφήσουν και να καταστρέψουν τα αποδεικτικά στοιχεία της εισβολής τους.

Να πούμε ότι ο Hermes είναι ένας Ransomware που κυκλοφόρησε το Φεβρουάριο και λίγο αργότερα βρέθηκε λύση και μπόρεσε να αποκρυπτογραφηθεί. Όμως, οι δημιουργοί του έφτιαξαν λίγο αργότερα την έκδοση 2.0, για την οποία δεν υπάρχει λύση παγκοσμίως.

Οι Lazarus πάντως δεν εξαπέλησαν την έκδοση 2.0, αλλά μία τροποποιημένη έκδοσή της. Αντί να αφήνει αυτό, που είναι το κλασικό Ransom Note του Hermes,

άφηνε ένα popup που απλά έλεγε Finish Work και ένα αρχείο "Unique_id_do_not_remove" σε κάθε φάκελο του Η/Υ.

Οι αρχές της Σρι Λάνκα ανέφεραν για το περιστατικό, ότι συνέλαβαν ένα άτομο το οποίο έκανε ανάληψη Rs30.000.000 (~$195.000) και δύο μέρες αργότερα επιχείρησε να "σηκώσςει" άλλες $52.000 που προέρχονταν από την Ταϊβάν, σε 3 διαφορετικούς λογαριασμούς σε τράπεζα της Ceylon.