Šogad jau esam pieredzējuši divus plašus izspiedējvīrusu uzbrukumus — mēs runājam par bēdīgi slavenajiem WannaCry un ExPetr (pazīstami arī ar nosaukumiem Petya un NotPetya). Šķiet, ka ir sācies trešais uzbrukums: jauno ļaunprogrammatūru sauc Bad Rabbit — vismaz šādu nosaukumu ir norādījusi tumšā tīkla vietne, uz kuru ir saite izpirkuma paziņojumā.
Pašlaik ir zināms, ka izspiedējvīruss Bad Rabbit ir inficējis vairākus lielus Krievijas plašsaziņas līdzekļus — apstiprināto ļaunprogrammatūras upuru vidū ir Fontanka.ru un ziņu aģentūra Interfax. Odesas starptautiskā lidosta ir ziņojusi par kiberuzbrukumu savai informācijas sistēmai, lai gan nav skaidrs, vai tas ir tas pats uzbrukums.
Bad Rabbit uzbrukumu sarīkojušie noziedznieki pieprasa 0,05 bitkoinu izpirkuma maksu — pēc pašreizējā valūtas kursa tas ir aptuveni 280 USD.
Kaspersky Lab ekspertu iegūtie dati liecina, ka uzbrukumā netiek izmantoti mūķi. Tas ir saistītās lejupielādes uzbrukums: upuri no inficētām vietnēm lejupielādē viltus Adobe Flash instalēšanas programmu un manuāli palaiž .exe datni, tādējādi inficējot sevi. Mūsu pētnieki ir konstatējuši vairākas uzlauztas tīmekļa vietnes — tās visas ir ziņu vai plašsaziņas līdzekļu vietnes.
Pagaidām nav zināms, vai ir iespējams atgūt Bad Rabbit šifrētās datnes (vai nu samaksājot izpirkuma maksu, vai arī izmantojot kādu kļūmi izspiedējvīrusa kodā). Kaspersky Lab antivīrusu eksperti izmeklē šo uzbrukumu, un mēs papildināsim šo ziņu ar viņu atklājumiem.
Saskaņā ar mūsu datiem lielākā daļa šo uzbrukumu upuru atrodas Krievijā. Esam novērojuši arī līdzīgus, bet ne tik daudzus uzbrukumus Ukrainā, Turcijā un Vācijā. Šis izspiedējvīruss ir inficējis ierīces caur vairākām uzlauztām Krievijas plašsaziņas līdzekļu tīmekļa vietnēm. Pēc mūsu izmeklēšanas ziņām, tas ir mērķuzbrukums uzņēmumu tīkliem ar metodēm, kas ir līdzīgas ExPetr uzbrukumā izmantotajām, taču mēs nevaram apstiprināt, ka tas ir saistīts ar ExPetr. Mēs turpinām izmeklēšanu. Tikmēr jūs varat atrast plašāku tehnisko informāciju šajā rakstā vietnē Securelist.
Kaspersky Lab izstrādājumi konstatē šo uzbrukumu ar šādiem verdiktiem: UDS:DangerousObject.Multi.Generic (konstatējis Kaspersky Security Network), PDM:Trojan.Win32.Generic (konstatējis System Watcher) un Trojan-Ransom.Win32.Gen.ftl.
Lai nekļūtu par Bad Rabbit upuri, rīkojieties šādi.
Kaspersky Lab izstrādājumu lietotāji:
- pārliecinieties, ka darbojas System Watcher un Kaspersky Security Network; ja ne, ir svarīgi ieslēgt šīs funkcijas.
Citi lietotāji:
- bloķējiet datņu c:\windows\infpub.dat un c:\Windows\cscc.dat izpildi;
- izslēdziet Windows pārvaldības instrumentācijas (WMI) pakalpojumu (ja tas ir iespējams jūsu vidē), lai nepieļautu ļaunprogrammatūras izplatīšanos jūsu tīklā.
Padomi visiem:
- veidojiet savu datu rezerves kopiju;
- nemaksājiet izpirkuma maksu.
