Prestige Ransomware IOCs

Центр разведки угроз Microsoft (MSTIC) обнаружил свидетельства новой кампании по распространению вымогательского ПО, направленной на организации логистической и транспортной отрасли в Украине и Польше и использующей ранее не идентифицированную полезную нагрузку ransomware.

Table of Contents

MSTIC обнаружили, что эта новая программа-вымогатель, обозначенная в примечании к выкупу как "Prestige ranusomeware", была развернута 11 октября в атаках, произошедших в течение часа друг с другом на всех жертв.

У этой кампании было несколько особенностей, которые отличают ее от других отслеживаемых Microsoft кампаний по распространению вымогательского ПО:

Распространение ransomware в масштабах предприятия не является типичным для Украины, и эта активность не была связана ни с одной из 94 активных в настоящее время групп активности ransomware, отслеживаемых Microsoft.
Программа Prestige ransomware не была замечена Microsoft до этого развертывания.
Эта активность имеет общую виктимологию с недавней деятельностью российских государственных структур, в частности, в затронутых регионах и странах, и пересекается с предыдущими жертвами вредоносного ПО FoxBlade (также известного как HermeticWiper).

Несмотря на использование схожих методов развертывания, эта кампания отличается от недавних разрушительных атак с использованием AprilAxe (ArguePatch)/CaddyWiper или Foxblade (HermeticWiper), которые за последние две недели поразили множество организаций критической инфраструктуры в Украине. MSTIC пока не связал эту кампанию по распространению вымогательского ПО с известной угрожающей группой и продолжает расследование. MSTIC отслеживает эту активность как DEV-0960.

Prestige Ransomware IOCs

Indicators of Compromise

MD5

SHA256