Рансомварь «Гитлер» (хотя окно с требованием выкупа гласит, что это рансомварь, очевидно, хакеры опечатались) была обнаружена специалистами компании AVG, а эксперты Bleeping Computer подвергли вредоноса тщательному анализу.

Шифровальщик состоит из комплекта файлов. Как только жертва открывает оригинальный батч-файл, Firefox32.exe прописывается в автозагрузку, и благодаря нему вымогатель стартует при каждом запуске компьютера. Файл ErOne.vbs отвлекает внимание жертвы: когда пользователь кликает на оригинальный файл с малварью, он отображает ошибку

«The file could not be found!».

В свою очередь, chrst.exe запускается сразу же и отображает сообщение с требованием выкупа (см. иллюстрацию выше).

Эксперты пишут, что в данный момент «Гитлер» либо находится в стадии тестирования, либо он написан так плохо, что в это трудно поверить. Вывод, что вымогатель пока находится в стадии разработки, эксперты сделали исходя из комментариев в коде, а также опираясь на тот факт, что малварь не шифрует файлы вообще, хотя и заявляет об обратном. Также исследователи предполагают, что родной язык разработчика малвари – это немецкий, так как некоторые комментарии в коде написаны на нем.

Вместо шифрования «Гитлер» просто стирает все расширения файлов в ряде директорий, а затем выводит на экран сообщение с требованием выкупа. На покупку карты Vodafone жертве отводится один час, затем отсчет в окне блокировки заканчивается, отвечавший за него файл chrst.exe «падает» сам и провоцирует синий экран смерти в Windows. После перезагрузки малварь стирает все файлы жертвы в папке %UserProfile%.

Приложение CryptoDrop пока работает только на компьютерах под управлением Windows и приглядывает за файловой системой, замечая признаки активности различных вымогательских программ. Предотвратить работу шифровальщика, пока тот еще не принялся за дело, в большинстве случаев невозможно, но вредоноса можно вовремя остановить. Исследователи пишут, что им удалось сократить потерю данных до 0,2%, то есть CryptoDrop замечает, что происходит нечто подозрительное, и блокирует малварь раньше, чем та успевает нанести файловой системе сколь-нибудь значительный урон. Для этого CryptoDrop ищет следующие признаки вредоносной активности:

-Неожиданное и массовое изменение типов файлов.

-Непохожесть: зашифрованные файлы совершенно непохожи на оригиналы, представленные в открытом виде. В конце концов, в этом вся суть шифрования.

-Энтропия: работа шифровальщика неизменно ведет к увеличению энтропии.

-Вторичные признаки: помимо перечисленных пунктов, исследователи выработали ряд не менее полезных вторичных индикаторов. К ним относятся удаление большого количества файлов разом, «эффект воронки», затрагивающий типы файлов (файлы, обработанные малварью получают одинаковое расширение) и так далее.

Архитектура CryptoDrop:

Такой подход показывает неплохие результаты. Так, в ходе эксперимента шифровальщики запускали на компьютере, содержащем порядка 5100 разных файлов. CryptoDrop действительно распознал вредоносную активность на ранней стадии: в среднем приложение замечало криптовымогателя после того, как он зашифровал 10 файлов. То есть потери составляют 0,2% от всех данных в системе.

Эксперты тестировали свою разработку на 492 разновидностях малвари и в итоге добились практически стопроцентного распознавания инфекций. Приведенная ниже таблица демонстрирует результаты тестов различных семейств вымогателей.

CryptoDrop — это не первая попытка создать «вакцину» против таких угроз. Весной текущего года свою «прививку» против шифровальщиков представили разработчики Bitdefender. Также независимый исследователь Шон Уильямс (Sean Williams) своими силами работает над проектом Cryptostalker. Его утилита призвана защитить от шифровальщиков Linux системы. Пока Cryptostalker находится на ранней стадии разработки, но со временем Уильмс планирует портировать свой инструмент на Windows и Mac.

Создатели CryptoDrop не обошли коллег вниманием, они честно пишут, что их решение подвержено тем же проблемам, что и Cryptostalker Уильямса:

«CryptoDrop не может определить, были ли изменения, которые он наблюдает, намеренными. К примеру, он не сумеет распознать, шифровальщик или сам пользователь зашифровал пакет документов. В результате мы полагаем, что такие программы как GPG и PGP, приложения для компрессии данных и прочие приложения, производящие трансформации такого рода, могут вызвать ложноположительное срабатывание CryptoDrop, если они будут применены к большому количеству файлов».

С подробным докладом исследователей, который был представлен на конференции, можно ознакомиться здесь (PDF). Скачать CryptoDrop, к сожалению, пока невозможно: в данный момент разработчики заняты поисками партнеров для коммерциализации своего решения.

Ни для кого не секрет, что по сети гуляет масса шифровальщиков, которые могут в считанные минуты превратить данные на компьютере в тыкву. Учитывая, что занимаюсь я в том числе и приходящим админством, для меня людские слёзы о потере данных не были чем-то необычным. Но одно дело, когда данные теряет условная тётя Глаша из отдела кадров условной ООО "Автопилот", и совсем другое дело, когда беда касается тебя самого. Руки начинают трястись, а яйца покрываются инеем.

Ночью один из наших партнёров 1с занимался сочинением кода подключившись к нашему серверу по рдп. К 12 ночи я получил от него смс, что его выкинуло с сервера, а учётная запись для входа отключена. Стало понятно, что кто-то нам подкинул неприятностей.

Утром, добравшись до места и реанимировав учётку админа, глазам предстала картина маслом - все файлы, связанные с работой БД, были заботливо упакованы в архивы rar с паролем.

Что произошло? Злоумышленник получил доступ по протоколу RDP и целенаправленно натворил дел, потребовав за искупление нашей глупости и недальновидности денег. Стандартная история, которая происходила уже с кем-то из знакомых. Но в нашем случае на кону стояли БД объёмом 50 с мелким Гб и работа магазина.

Ежу понятно, что контроллер домена, сервер БД и подключение к нему через рдп без впн - страшный сон любого айтишника. Каждый уважающий себя "тру админ" может сказать в мой адрес что угодно, но так было сделано и это не моя заслуга.

Недолго подумав с руководством, было решено выходить на связь со злоумышленником и пытаться договориться. Нужно отдать должное, но на том конце нас ждали и были готовы принять наши доводы в криптовалюте. Забегая вперед скажу, что всё закончилось для нас благополучно и данные были восстановлены, а дыры на скорую руку залатаны. О степени глупости такого исхода судить не берусь, ибо отдать 19 тыщ и продолжить работать всяко выгоднее, чем разворачивать базы магазина с нуля.

Тем не менее хочу обратиться ко всем потенциальным жертвам. Безотносительно вашей крутости, просвящённости и прочих админских регалий. Проверьте себя и своих клиентов на предмет уязвимости подобным атакам. Ниже я приведу рекомендации от самого автора злодеяний и немного дополню своими размышлениями.

Поставьте политику сложных паролей для входа юзеров по RDP или разрешите вход на терминалку только из локальной сети или только определенным маскам IP адресов + запрет юзерам на действия с файлами на дисках с БД (удаление) и бекапами.

В нашем случае был подобран пароль учётной записи, которая входила в группу Администраторы домена, но имела пароль неустойчивый к перебору - 123456.

уберите уязвимость, связанную с выполнением команды REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File ExecutionOptions\sethc.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"

На пятикратное нажатие шифта нам заботливо навесили запуск cmd с правами администратора прямо в окне авторизации. Крайне неприятная вещь.

Помимо этого заботливыми руками злоумышленника были полностью удалены бекапы БД хранившиеся на отчуждённом носителе, но, к сожалению, в этой же локальной сети.

Всё это навело на многие размышления и вынудило играть по правилам взломщика. Очутись на его месте школьник или менее предприимчивый злодей, последствия могли быть гораздо более плачевными.

Ну и как устраняли последствия. Первым делом на маршрутизаторе перенаправили порт для подключения по рдп со стандартного, на случайный 5 значный. Удалили подозрительные учётные записи в AD. Сменили пароли пользователям, входящим в группу Администраторы домена. Исключили из этой группы всех недостойных. Ограничили доступ к сетевым шарам и разделам дисков со служебной информацией. Просканировали все диски сервера доктор вебом.

В целом охренев от такого "счастья", решили задуматься о более строгом разграничении прав, выделении сервера терминалов в DMZ, приобретении файервола, организации VPN подключений.

Надеюсь эти очевидные и простые правила, а так же этот смешной, но в то же время грустный, пример послужат для кого-то уроком и стимулом не оставлять подобные вещи без внимания.

Всем добра и поменьше дыр в безопасности.