Ghost Locker 2.0: вымогатель крадёт документы до шифрования

В открытом доступе встречаются два поколения этого вредоносного ПО. Первая версия написана на языке программирования Python и работала как скрипт. Вторая переписана на языке Go и распространяется как скомпилированная программа. Логика обеих версий почти совпадает. Различия касаются связи с инфраструктурой злоумышленников и подготовки к краже файлов.

Обе версии, по наблюдениям Seqrite, уже работали в реальных атаках. Первым делом программа копирует себя в папку автозагрузки операционной системы. Так она закрепляется на компьютере и переживает перезагрузку. Затем перечисляет подключённые диски, чтобы понять, какие данные доступны для шифрования. Из случайного набора символов создаётся идентификатор заражённой машины. Он нужен злоумышленникам, чтобы отличать жертв на своей панели управления. Программа связывается с командным сервером и сообщает о новом адресате. Для шифрования генерируется секретный ключ, который сразу уходит операторам. Сведения о заражённом компьютере - идентификатор, время заражения, сумма выкупа - сохраняются в служебный файл и отправляются туда же.

Если у программы нет нужных прав, она получает их через штатную утилиту Windows. После этого начинается шифрование. Используется симметричный алгоритм AES с ключом длиной 256 бит. Файлы обрабатываются в памяти, на диск записывается уже зашифрованная копия с собственным расширением, а оригинал удаляется. Системные каталоги и служебные файлы самой программы остаются нетронутыми. Когда обработка завершается, на рабочем столе появляется документ с требованиями выкупа. Он открывается автоматически, и жертва сразу видит инструкцию по оплате.

Вторая версия добавила этап, которого не было раньше. Перед шифрованием она отправляет часть файлов на сервер злоумышленников. Отбор идёт по типам: это документы Word и таблицы Excel. Подход называют двойным вымогательством. Даже если компания восстановит данные из резервной копии, злоумышленники пригрозят публикацией украденного. Вторая версия также принудительно останавливает службы и процессы, которые мешают шифрованию или помогают обнаружить атаку.

Отличия двух поколений заметны и в работе с инфраструктурой. Адрес командного сервера изменился. Первая версия запускается даже без успешной связи с ним. Вторая работает только при условии, что соединение установлено. В служебных параметрах различается имя учётной записи: в одном случае оно пустое, в другом совпадает с названием группы. Так проявляется работа разных партнёров, собравших образцы через один конструктор. Одна и та же угроза может вести себя по-разному на разных машинах.

Последствия для бизнеса редко ограничиваются потерей файлов. Простой производства, остановка обслуживания клиентов, утечка коммерческой тайны и требования регуляторов складываются в многомиллионные потери. Восстановление занимает недели. Репутационный ущерб сохраняется дольше, особенно если украденные документы попадут в открытый доступ. Малый и средний бизнес страдает чаще крупных корпораций: у него реже есть выделенная команда и отлаженные процессы восстановления.

Резервные копии хранят в изолированном сегменте и регулярно проверяют их пригодность. Сегментация сети мешает программе распространиться по всем машинам сразу. Ограничение прав пользователей лишает её возможности отключать защиту. Двухфакторная аутентификация закрывает доступ к административным панелям. Сотрудников обучают распознавать целевой фишинг, через который злоумышленники чаще всего проникают внутрь. Регулярное обновление операционной системы и прикладного ПО закрывает уязвимости, которыми пользуются исполнители. Мониторинг аномалий помогает заметить массовое шифрование на раннем этапе. Заранее подготовленный план реагирования экономит часы, когда счёт идёт на минуты.

Хактивистские группы всё чаще переходят к финансовой мотивации. Готовые конструкторы снижают порог входа, поэтому атаки становятся массовыми, а их авторы - менее предсказуемыми. GhostSec начинала с идеологических заявлений. Теперь её продукт продаётся как обычный коммерческий сервис. Для защитников это означает, что отраслевая принадлежность компании перестаёт быть надёжным ориентиром при оценке риска.