Эта коварная программа-вымогатель теперь опаснее, чем когда-либо

13 июня 2022 г.

Благодаря новым методам запутывания и возможностям атаки Hello XD программа-вымогатель стала более опасной. чем когда-либо прежде, обнаружила Unit 42, подразделение кибербезопасности Palo Alto Networks.

Группа обнаружила, что Hello XD теперь имеет новый шифровальщик с настраиваемой упаковкой, который помогает вредоносному ПО оставаться скрытым. Более того, он поставляется с новыми изменениями в алгоритме шифрования. Вместо модифицированного HC-128 и Curve25519-Donna эта недавно обнаруженная версия поставляется с Rabbit Cipher и Curve25519-Donna. Кроме того, маркер файла больше не представляет собой связную строку, а содержит случайные байты, что еще больше усиливает криптографию.

Кроме того, штамм содержит ссылку на сайт onion, но, по словам исследователей, сайт в настоящее время недоступен, возможно, в ожидании строительства.

Развертывание MicroBackdoor

Обычно операторы программ-вымогателей во время своей атаки делают две вещи: удаляют все конфиденциальные данные в место, которое они могут контролировать, и шифруют все, что они находят в целевой сети. Таким образом, если у жертвы есть решение для резервного копирования, они все равно могут угрожать разглашением конфиденциальных данных в Интернете или продать их третьей стороне.

Hello XD делает еще один шаг вперед: было обнаружено, что помимо программы-вымогателя злоумышленник также развертывает MicroBackdoor, бэкдор с открытым исходным кодом, который позволяет удаленно выполнять код, эксфильтрацию файлов и модификации системы.

Сообщается, что исполняемый файл вредоносного ПО зашифрован с помощью WinCrypt API и встроен в полезную нагрузку программы-вымогателя. Он также не имеет в виду конкретную сумму денег, которую он хочет получить в обмен на ключ дешифрования. Вместо этого он предлагает жертвам открыть чат TOX и начать процесс переговоров.

Hello XD впервые был замечен в конце прошлого года, когда исследователи описали его как побочный продукт популярного тогда шифровальщика Babuk. Эта недавно обнаруженная версия, однако, является значительным шагом в сторону от Babuk, что позволяет предположить, что стоящие за ней субъекты угрозы планируют ее дальнейшее развитие.

Чтобы обезопасить себя от кибератак, компаниям настоятельно рекомендуется информировать своих сотрудников об опасностях фишинга, обновлять свое программное обеспечение и устанавливать надежный антивирус и решение брандмауэра .

Через: BleepingComputer

---

Оригинал