Поиск

Украинские власти и предприятия обеспокоены заявлением местной фирмы по безопасности ISSP Labs. Сообщается о взломе ещё одного производителя программного обеспечения для бухгалтерского учета. Серверы производителя были использованы для распространения вредоносных программ. Инцидент почти идентичен тому, как 27 июня этого года началась вспышка заражения вредоносной программой NotPetya. Тогда хакеры взломали серверы компании Intellect Services и заменили пакеты обновлений бухгалтерской программы MEDoc вредоносным ПО. Эксперты упоминают по меньшей мере три различных вида вымогательского ПО распостраняемых с серверов производителя (XData, NotPetya и клон WannaCry). На этот раз, согласно двум отчетам от ISSP Labs, хакеры обошли защиту серверов Crystal Finance Millennium (CFM), еще одного разработчика программного обеспечения для бухгалтерского учета. Хакерам не удалось проникнуть в системы обновления ПО от CFM, но они смогли получить доступ к web-сайту компании и использовать его для распостранения вредоносных программ. По словам директора отдела глобальных исследований и анализа «Лаборатории Касперского» Костина Раю, злоумышленники взломали серверы компании в районе 18 августа. За это время группа отправила фишинговые письма множеству целей. Письма содержали ZIP-архив, в котором присутствовал файл JavaScript. Когда пользователи распаковывали архив и запускали JS-файл, скрипт загружал файл под названием load.exe с web-сервера CFM. В последствии файл load.exe загружал программу-вымогатель Purge, подвид целого семейства вымогательского ПО Globe. Данная программа занимает 9-е место в списке лучшего вымогательского ПО за второй квартал 2017 г. Еще в октябре прошлого года Emsisoft выпустила бесплатный дешифратор для данной версии Globe, но нет никаких гарантий, работы дешифратора с более новыми версиями. Обеспокоенность украинских властей обусловленна обнаружением вредоноса на сервере украинской компании именно в канун Дня независимости. В свое время, вспышка заражения NotPetya также произошла 27 июня, за день до Дня Конституции Украины. Многие фирмы по безопасности связали NotPetya с российской кибер-шпионской группой TeleBots. ESET и другие эксперты, заявлявшие, что TeleBots решили распространить NotPetya за день до государственного праздника, чтобы максимизировать ущерб. Украинские власти и местные компании опасались второй атаки TeleBots, после того, как узнали о взломе серверов CFM. По словам представителей сервиса MalwareHunter, опасения напрасны. Сейчас В Украине затишье касательно заражения вымогательским ПО, за исключением нескольких случаев заражения программой PSCrypt. На момент написания этой статьи поставщик веб-хостинга CFM уже вмешался и отключил web-сайт компании для предотвращения распространения вредоносного файла.

Похоже, волна атак с использованием вымогательского ПО WannaCry затронула в медучреждениях не только компьютеры, но и непосредственно медицинское оборудование. В распоряжении журналистов издания Forbes оказался снимок экрана устройства производства Bayer Medrad, предназначенного для введения в тело пациента контрастного вещества при проведении магнитно-резонансного исследования. Вредонос инфицировал систему, поскольку устройство работало под управлением Windows Embedded и поддерживало уязвимый протокол SMBv1. Согласно сообщению Forbes, данный случай является первым в истории примером заражения программой-вымогателем непосредственно медицинского оборудования. Какие именно продукты и в каких больницах были инфицированы WannaCry, неизвестно. По словам представителя Bayer Medrad, компания получила два сообщения о заражении своих продуктов на территории США. Работа инфицированного оборудования была восстановлена в течение 24 часов. Как пояснил представитель, зараженными могли оказаться устройства, подключенные к скомпрометированным сетям медучреждений. Выпущенный Microsoft патч для уязвимости в SMBv1 будет разослан больницам «в скором времени». Уведомления о потенциальной угрозе также опубликовали производители медицинского оборудования Smiths Medical, Medtronic и Johnson & Johnson, хотя сообщений об атаках на них пока не поступало.

Плата операторам вредоносного ПО за расшифровку файлов только поощряет киберпреступников к дальнейшему проведению подобных атак, уверены эксперты. Тем не менее, многие жертвы вымогателей предпочитают платить, благодаря чему количество атак с использованием троянов-шифровальщиков растет в геометрической прогрессии. Согласно опубликованному отчету экспертов института Ponemon, 48% компаний, ставших жертвами вымогательского ПО, предпочитают заплатить выкуп злоумышленникам и не искать другие решения проблемы. По данным ФБР, в 2015 году общая сумма выкупа составила $24 млн, но уже в первые три месяца 2016 года она увеличилась до $209 млн (речь идет только об известных атаках и только в США). Если подобная тенденция будет продолжаться, к концу текущего года сумма выкупа достигнет $1 млрд. В 2015 году только CryptoWall3 причинил ущерб по всему миру на $325 млн. Убытки от обнаруженной в прошлом году версии CryptoWall4 достигли $18 млн. По подсчетам страховой компании Beazley, в 2016 году число атак с использованием вымогательского ПО в четыре раза превысило показатель за 2015 год. Как сообщили эксперты Symantec, в марте прошлого года количество заражений троянами-шифровальщиками достигло 56 тыс. – в два раза больше, чем обычно.