Вероятно, это помогает злоумышленникам проводить целевые атаки: рассылая вредоносные письма по адресному списку пострадавшего от его имени, они тем самым усыпляют бдительность новых потенциальных жертв. Шифровальщик RAA полностью написан на языке JScript, что является редкостью среди зловредов этого типа. Распространяется он через электронные письма, имитирующие уведомления о просроченном платежном поручении. Чтобы затруднить обнаружение зловреда антивирусными средствами, злоумышленники используют архивацию. Вредоносный файл c расширением .js вложен в письмо в виде архива, защищенного паролем, который также указан в сообщении. Шифровальщик начинает свое действие после того, как пользователь распаковывает архив и запускает js-файл. Для придания письму убедительности мошенники добавляют, что из соображений безопасности прикрепленный документ защищен также методом асимметричного шифрования.

Скриншот электронного письма, через которое распространяется шифровальщик RAA:

Троянец RAA активно развивается.

Его новая версия, появившаяся в августе, не запрашивает ключ для шифрования у сервера управления, а создает, шифрует и хранит его на зараженном устройстве, благодаря чему зловред может блокировать доступ к файлам также и на компьютерах, не подключенных к Интернету.

«Судя по всему, RAA был создан для проведения целевых атак на бизнес. Шифровальщик, распространяющийся с программой для кражи паролей, — это весьма опасный зловред, который помогает киберпреступникам неплохо заработать, ведь они могут не только получить выкуп, но и расширить список потенциальных жертв в результате сбора конфиденциальных данных. Угроза усугубляется еще и тем, что новая версия RAA умеет делать нечитаемыми файлы на компьютерах, не имеющих интернет-доступа», — комментирует Федор Синицын, старший антивирусный аналитик «Лаборатории Касперского».

По данным «Лаборатории Касперского», за прошедший год программами-шифровальщиками были атакованы 38% российских компаний*. Чтобы снизить риск заражения и не пополнить этот список, «Лаборатория Касперского» рекомендует компаниям использовать надежные защитные решения с возможностями эвристического анализа; регулярно обновлять ПО на корпоративных устройствах и проводить оценку уровня защищенности IT-инфраструктуры; повышать осведомленность сотрудников о киберугрозах и предупреждать их о том, чтобы они не открывали файлы с опасными расширениями, такими как .exe, .hta, .wsf, .js, и в целом внимательно относились к получению писем от неизвестных отправителей.

«Лаборатория Касперского» детектирует шифровальщик RAA как Trojan-Ransom.JS.RaaCrypt, а распространяющуюся с ним программу Pony для кражи паролей как Trojan-PSW.Win32.Tepfer.

Пруф: http://www.anti-malware.ru/news/2016-09-09/20910#

Кроме того, эксперты сравнили данные по Москве с показателями по всей стране, полученными из облачной инфраструктуры Kaspersky Security Network, и пришли к выводу, что московская тенденция в целом совпадает с общероссийской. В целом же Россия по соотношению количества открытых и зашифрованных общественных сетей Wi-Fi выглядит лучше многих стран мира, отметили в «Лаборатории Касперского». Однако есть ряд государств, где ситуация с шифрованием публичных сетей лучше. Так, в Германии самый современный и безопасный протокол шифрования WPA2 используется в 83% сетей, в то время как в России — только в 76%.

«Даже в случае использования зашифрованного соединения, целиком полагаться лишь на эту меру защиты все же не стоит. Существует несколько сценариев, при которых даже надежно зашифрованный сетевой трафик может быть скомпрометирован. Это и фальшивые точки доступа с именами, похожими на настоящие, и скомпрометированные роутеры, передающие трафик атакующим уже без шифрования. Так что в любом случае есть смысл позаботиться о своей безопасности самостоятельно», — заключил автор эксперимента, антивирусный эксперт «Лаборатории Касперского» Денис Легезо.

Для защиты своих действий при использовании общественного Wi-Fi «Лаборатория Касперского» рекомендует соблюдать ряд правил: так, не стоит безоговорочно доверять сетям, для входа в которые не нужны пароли; важно в целях безопасности не вводить логины и пароли от аккаунтов в соцсетях или почте, а также не совершать электронные платежи; кроме того, можно включить в настройках устройства пункт «Всегда использовать безопасное соединение» (HTTPS). Если есть возможность, стоит использовать подключение через виртуальную частную сеть (VPN). Трафик в такой сети маршрутизируется по защищенному туннелю в зашифрованном виде. Обязательно при этом стоит использовать специализированные комплексные средства антивирусной защиты.

Источник...

Как оказалось, ProjectSauron — это наисложнейшая модульная платформа для кибершпионажа, использующая продвинутые методы сокрытия своего присутствия и извлечения собранных данных, что позволяет атакующим осуществлять продолжительные кампании. Технический анализ показал, что ее создатели «учились» у других организаторов АРТ-атак и сделали все возможное, чтобы не повторять их ошибок. Например, все вредоносные модули создаются специально «под конкретную жертву», что существенно уменьшает возможность их использования как индикаторов компрометации для любой другой жертвы.

В арсенале ProjectSauron присутствуют решения для атак на все современные ОС Microsoft Windows – как x64, так и x86. Также были обнаружены заражения как Windows XP x86, так и Windows 2012 R2 Server Edition x64. Версий ProjectSauron для систем, отличных от ОС Windows, обнаружено не было.

С помощью собственных средств телеметрии сотрудники «Лаборатории Касперского» выявили, что жертвами ProjectSauron стали уже более 30 организаций в Российской Федерации, Иране и Руанде. Хакеры атаковали правительственные структуры, научно-исследовательские центры, вооруженные силы, провайдеров телекоммуникационных услуг и финансовые организации. Исследователи пишут, что в реальности стран и организаций, пострадавших от ProjectSauron, скорее всего, намного больше.

Эксперты полагают, что группировка действовала как минимум с июня 2011 года и по-прежнему проявляет активность в 2016 году. Хотя имеются основания полагать, что хакеры в значительной мере свернули свою деятельность, угроза по-прежнему активна во многих компьютерных системах. Также эксперты убеждены, что операции такого уровня сложности, нацеленные на кражу конфиденциальной и секретной информации, могли быть реализованы только при поддержке государства.

В ходе расследования было выявлено, что в арсенале злоумышленников присутствовало несколько интересных и необычных техник, в том числе:

- извлечение собранных данных и передача информации о статусе атаки в режиме реального времени с помощью DNS-запросов;

- установка имплантов (вредоносных модулей) с помощью легитимных скриптов обновления ПО;

- извлечение данных из физически изолированных сетей с помощью специально подготовленных USB-носителей, с размещением украденных данных в скрытой области, недоступной стандартным средствам операционной системы;

- реализация основной платформы и ее плагинов на базе модифицированного скриптового движка Lua. Применение компонентов Lua во вредоносном ПО встречается очень редко – до настоящего времени они были обнаружены лишь в APT Flame и Animal Farm.

В отчете специалисты «Лаборатории Касперского» называют ProjectSauron чрезвычайно «продвинутой» платформой, достигающей уровня сложности таких проектов, как Regin и Equation. Среди наиболее интересных и сложных особенностей платформы аналитики отметили следующие вещи:

- различные механизмы извлечения информации, включая передачу данных поверх известных протоколов;

- преодоление воздушных зазоров с помощью скрытых разделов на USB-накопителях, созданных специально для переноса данных;

- компрометация механизмов LSA для взятия под контроль контроллеров доменов Windows;

- использование модифицированного скриптового движка Lua для создания собственных вредоносных скриптов, позволяющих управлять всей вредоносной платформой с помощью языка высокого уровня.

Особенно интересно, что экспертам удалось зафиксировать несколько случаев, когда ProjectSauron успешно проникал в физически изолированные сети. В состав инструментария ProjectSauron входит специальный модуль, предназначенный для переноса данных из физически изолированных сетей в системы, подключенные к интернету. Для этого используются съемные USB-устройства. После взлома подключенных к интернету систем злоумышленники ожидают подключения USB-накопителя к зараженной машине. Такие USB-накопители форматируются особым образом, чтобы уменьшить размер основного раздела на USB-диске. Освобожденное пространство (несколько сот мегабайт) используется злоумышленниками для создания нового зашифрованного раздела, недоступного для стандартных средств ОС Windows. Этот раздел несет в себе собственную виртуальную файловую систему (virtual file system, VFS) с двумя основными директориями – «In» (Входящие) и «Out» (Исходящие).

Такой метод позволяет успешно обойти защиту, обеспечиваемую многими DLP-продуктами, потому что ПО, блокирующее подключение неизвестных USB-устройств на основании DeviceID, не способно предотвратить атаку или утечку данных в случае, когда используется один из одобренных USB-накопителей, известных системе.

Конечно, реализация таких дорогих кампаний по кибершпионажу требовала разветвленной и сложной инфраструктуры доменов и серверов, каждый из которых был предназначен для конкретной жертвы и повторно не использовался. «Лаборатория Касперского» выявила 28 доменов, связанных с 11 IP-адресами в США и нескольких странах Европы, которые имеют отношение к группе ProjectSauron. Эксперт пишут, что разнородность интернет-провайдеров, выбранных для кампаний ProjectSauron, показывает, что группировка делала все возможное, чтобы избежать проведения атак по одной схеме.

С подробным отчетам о ProjectSauron можно ознакомиться здесь (PDF). Кроме того, отдельно доступен технический анализ (PDF).Также свою версию отчета представила компания Symantec, найти его можно здесь.