Исследователи из Cybereason Security Services Team раскрыли работу программы Beast Ransomware-as-a-Service (RaaS), которая с 2022 года атакует системы Windows, Linux и ESXi. В последнее время группа Beast Ransomware рекламирует партнерскую программу и новые возможности на подпольных форумах.
Beast Ransomware
Платформа Beast Ransomware предлагает филиалам множество вариантов создания двоичных файлов ransomware, нацеленных на системы Windows, Linux и ESXi, что позволяет создавать конфигурации, соответствующие различным операционным требованиям. Последняя версия Beast Ransomware специально избегает шифрования данных на устройствах, расположенных в странах Содружества Независимых Государств (СНГ), таких как Россия, Беларусь и Молдова. Это достигается за счет кода, который проверяет языковые настройки системы по умолчанию, код страны и определяет IP-адрес цели. Если ransomware обнаруживает, что устройство находится в стране СНГ, она прекращает шифрование.
Как и в случае с большинством других программ-вымогателей, первоначальное заражение часто происходит через различные векторы заражения, такие как фишинговые электронные письма или скомпрометированные конечные точки протокола удаленного рабочего стола (RDP). Чтобы предотвратить одновременный запуск нескольких экземпляров Beast на одной системе, он создает уникальный мьютекс со строкой «BEAST HERE?». Это обеспечивает эффективное выполнение и позволяет злоумышленнику сохранять контроль над поведением вымогательской программы на зараженной системе.
Beast Ransomware также выполняет SMB-сканирование для автоматического поиска и заражения уязвимых компьютеров в соседних сетях. Этот механизм самораспространения позволяет быстро распространять полезную нагрузку, не требуя вмешательства человека. Кроме того, программа использует диспетчер перезагрузки, останавливая службы и процессы, чтобы разблокировать и безопасно закрыть открытые файлы перед их шифрованием.
Indicators of Compromise
SHA256
- 369034bf1d793fe56ea4d683a156722d825ad9829fc128117f82a26bc1d0480b
- 4c44ac1eea4bc7f4ea542d611b5658d7ac2729d79abe750da83f1581cd832eaf
- dbbe792e6c804518909f8990a836552573522d126547429d6cd3fcb1f60d542c
- dd09a2ef31d018fd83f186e3eaaccccdaa8a8c8779ced668abb06dc934d89a2d
- e01f5c7067dc984dceb883b10444b1a5b0f22ebd500baf9d9a88207f5033285d
