По итогам прошедшего 2019 г. количество атак, которое совершили программы-криптолокеры, увеличилось на 40%, средний размер требуемого им выкупа вырос более, чем на порядок. В 2020 г. хакеры, как
ожидается, могут установить «антирекорд» как по количеству атак, так и по размеру нанесенного ими ущерба. Таковы данные исследования «Программы-вымогатели: новейшие методы атак шифровальщиков», подготовленного специалистами Group-IB.

Как сообщают эксперты лаборатории компьютерной криминалистики Group-IB, 2018 г. в плане атак вредоносного ПО, шифрующего файлы пользователей на компьютере и требующего за расшифровку денег (в свете
последних событий – как правило, в биткоинах) выдался сравнительно тихим. Но в 2019 г. хакеры решили наверстать упущенное – количество инициированным ими атак с использованием вирусов-вымогателей
выросло на 40%. В качестве своих жертв злоумышленники выбирали обширные компьютерные сети, находящиеся во владении или распоряжении крупных корпораций, муниципалитетов и медицинских учреждений.

Средний размер выкупа, который вирусы требовали за разблокирование доступа к файлам и их расшифровку, вырос очень существенно. Если в 2018 г. его размер составлял сумму в $8 тыс., то в 2019 г. она
выросла более, чем в 10 раз, и достигла показателя в $84 тыс. Эксперты Group-IB также назвали вирусы–шифровальщики, показавшие себя по итогам прошлого года самыми агрессивными и требовавшие самые
большие суммы выкупа, размер которых достигал, порой, $800 тыс. В ТОП лидеров этого «антирейтинга» вошли вредоносы семейств Ryuk, DoppelPaymer и REvil.

Новости из жизни шифровальщиков

В течение 2019 г. злоумышленники вышли на новый уровень, перестав ограничиваться в своей работе лишь шифрованием файлов: они стали продвигать программы-вымогатели как услугу RaaS
(Ransomware-as-a-Service) и сдавать программы-вирусы «в аренду» за часть полученного с их помощью выкупа.

Именно в прошлом году операторы ряда вирусов-вымогателей приступили к использованию ряда тактик, техник и процедур (TTPs), которые характерны для целевых кибератак (advanced persistent threat,
APT-групп). В их числе, например – выгрузка данных перед их шифрованием, которые, как предполагаются, важны для потенциальной жертвы. Так действовали, к примеру, операторы вирусов из семейств
REvil, Maze и DoppelPaymer. Но если организаторы таргетированных кибератак применяют такую тактику для шпионажа, то организаторы атак с использованием «шифровальщиков» добиваются таким образом
увеличения вероятности получения выкупа. Если же жертва не соглашается с требованиями последних и не платит денег, то полученная при атаке критичная информация выставляется на продажу в даркнете.

Еще одно новшество прошлого года — частое использование в кампаниях шифровальщиков большого числа банковских троянских программ, таких, например, как Dridex, Emotet, SDBBot и Trickbot, на этапе
первичной компрометации сети.

Фишинговые рассылки, заражение через внешние службы удаленного доступа, прежде всего через Remote Desktop Protocol (RDP), и атаки drive-by возглавили список векторов первичной компрометации сети, с
которых начинались атаки.

В фишинговых письмах, возглавивших этот рейтинг, чаще всего были скрыты вирусы-шифровальщики Shade и Ryuk. Кампании хакерской группы TA505, в ходе которых распространялась программа-вымогатель
Clop, часто начинались с фишингового письма. Зараженное вложение, содержащееся в письме, загружало, в том числе, один из троянов — FlawedAmmyy RAT или SDBBot.

Большинство доступных серверов с открытым портом 3389, число которых в 2019 г. превысило 3 млн, были расположены в Бразилии, Германии, Китае, России и США. Этим направлением компрометации наиболее
часто пользовались операторы вирусов Dharma и Scarab.

Довольно часто для доставки вымогателей злоумышленники использовали зараженные web-сайты. Пользователь, попадающий на такой сайт, перенаправлялся на страницы, которые пытались скомпрометировать его
гаджет, для чего чаще всего использовались наборы эксплоитов RIG EK, Fallout EK и Spelevo EK. Так, операторы вредоносов Shade (Troldesh) и STOP шифровали данные на первоначально скомпрометированных
устройствах, а операторы Ryuk, REvil, DoppelPaymer, Maze и Dharma собирали информацию целых сетевых инфраструктурах.

Помимо этого, большинство операторов таких программ-шантажистов, как Ryuk, Revil, Maze и DoppelPaymer, стали активно оперировать инструментами, которые дали возможность не только провести разведку
в скомпрометированной сети, но и закрепиться в ней, получить привилегированные аутентификационные данные и полный контроль над доменами Windows. Именно эти инструменты специалисты в сфере
кибербезопасности применяют в ходе тестов  — Cobalt Strike, CrackMapExec, PowerShell Empire, PoshC2, Metasploit и Koadic.

Кто спасет от вымогателя?

В целом, подводят итоги исследования «Программы-вымогатели: новейшие методы атак шифровальщиков» его авторы, в 2019 г. операторы вредоносов-шифровальщиков значительно упрочили свои позиции, выбирали для атак более крупные
цели преимущественно из корпоративного сектора и увеличили свои доходы. Используемые ими тактики и инструменты эволюционировали в течение прошедшего года до сложных техник, которые раньше отличали
хакерские целевые кибератаки. Учитывая эти обстоятельства, прогнозируют эксперты, наступивший 2020 г. может установить своего рода рекорд по числу проведенных атак и размеру причиненных ими
убытков.

Несмотря на возросший масштаб кампаний шифровальщиков, им по-прежнему можно эффективно противостоять, если следовать необходимым мерам предосторожности, уверен Олег Скулкин, ведущий специалист
Лаборатории компьютерной криминалистики Group-IB. К примеру, подключаться к серверам по RDP необходимо исключительно с использованием VPN, для учетных записей, использующихся для доступа по RDP,
пароли должны быть сложными, и их необходимо регулярно изменять. Список IP-адресов, с которых могут быть инициированы внешние RDP-соединения, следует ограничить.

Источник: www.it-world.ru