Компания Cyble провела исследование атаки программы вымогательного ПО DOGE BIG BALLS Ransomware, выявив ложные связи с Эдвардом Користайном.
Описание
Программа использует ZIP-файл с обманчивым ярлыком для тихого развертывания многоступенчатой цепи заражения через PowerShell, эксплуатируя уязвимый драйвер для повышения привилегий (CVE-2015-2291). Разработчики используют адаптированную версию выкупного ПО Fog, названную DOGE BIG BALLS Ransomware, добавляя провокационные комментарии, политические намёки и геолокационное отслеживание для более точного определения расположения жертв. Инструмент имеет множество функций, включая сбор информации о системе через PowerShell и маяк Havoc C2 для долгосрочного доступа.
Замаскированная под финансовую тематику, программа использует множественные слои PowerShell для доставки вредоносного кода, включая эксплойт в режиме ядра. Это позволяет злоумышленникам собирать подробные данные о системе и обходить средства защиты. DOGE BIG BALLS Ransomware производит психологическое воздействие на жертву, включая использование имени и адреса реального человека для создания путаницы. Используется уязвимый драйвер Intel для получения доступа на уровне ядра, что позволяет манипулировать системой и отключать механизмы безопасности.
Эта операция также отличается точным геолокационным отслеживанием, обращаясь к API для определения физического местоположения через MAC-адрес маршрутизатора. Компания Cyble обнаружила эти методы через анализ PowerShell-скрипта stage1.ps1, который выполняет загрузку и запуск вредоносных файлов на компьютере жертвы. DOGE BIG BALLS Ransomware демонстрирует сложные технические и психологические методы, направленные на максимальное овладение системой и уйти от защиты.
Индикаторы компрометации
