Обнаружен вымогатель HDDCryptor, перезаписывающий MBR на компьютере жертвы⁠⁠

Прошедшим летом шифровальщики Petya и Satana привлекли к себе внимание экспертов и СМИ. Главной особенностью обоих вредоносов является то, что они не только шифруют файлы, но проникают в MBR (Master Boot Record) и препятствуют нормальному запуску системы. Однако эти вымогатели были не первыми в данном вопросе. Шифровальщик HDDCryptor (он же Mamba) обсуждается на форумах Bleeping Computer с января 2016 года, и он точно так же перезаписывает MBR. Однако внимание экспертов вирус привлек только сейчас: почти одновременно отчеты об изучении вредоноса представили специалисты Morphus Labs и Trend Micro.

Хотя вредонос появился еще прошлой зимой, специалисты пишут, что сейчас в сети распространяется новая версия HDDCryptor. Эксперт Morphus Labs сообщает, что их компания расследовала массовое заражение систем некой международной компании, и HDDCryptor атаковал представительства фирмы в Бразилии, Индии и США.

Все исследователи сходятся во мнении, что пока масштабы распространения HDDCryptor весьма скромны. В основном жертвы сами скачивали малварь с различных вредоносных сайтов, реже шифровальщик попадал в систему в ходе вторичного заражения, то есть будучи загружен другой малварью.

Проникнув в систему, вредонос сканирует локальную сеть в поисках сетевых дисков. Затем HDDCryptor использует бесплатную утилиту Network Password Recovery, с помощью которой ищет и похищает учетные данные от общих сетевых папок. Когда данные этапы пройдены, вымогатель использует другую опенсорсную утилиту, DiskCryptor, чтобы зашифровать файлы в системе жертвы. Причем утилита учитывает результаты предыдущих «изысканий» малвари и успешно использует найденные пароли для подключения к сетевым дискам, чтобы зашифровать данные и там тоже.

Закончив шифровать данные, HDDCryptor заменяет содержимое MBR кастомным бутлоадером и инициирует перезагрузку ПК. Вместо загрузки системы жертва видит сообщение с требованием выкупа. Пострадавших призывают связаться с авторами малвари по почте для получение дальнейших инструкций. В настоящий момент от жертв требуют оплатить выкуп в размере одного биткоина (около $610).

Эксперты отмечают, что январская версия вымогателя отображала немного другое сообщение с другим email-адресом (см. иллюстрацию ниже). Также в январе жертвам присваивался уникальный четырехзначный ID, тогда как сейчас ID уже шестизначный. По данным аналитиков, изучивших биткоин-адрес, ассоциирующийся с кошельком преступников, с момента старта новой сентябрьской кампании выкуп заплатили всего четыре человека.

Источник...