Команда исследователей CYFIRMA обнаружила новый ransomware под названием Lyrix, активно распространяющийся через подпольные форумы. Вредоносная программа, написанная на Python и скомпилированная с помощью PyInstaller, представляет собой автономный исполняемый файл, способный заражать системы Windows. Lyrix использует сложные методы шифрования, добавляя к зашифрованным файлам уникальное расширение .02dq34jROu, а также применяет продвинутые техники уклонения от обнаружения, что делает его особенно опасным.
Описание
Первые случаи заражения были зафиксированы 20 апреля 2025 года. Атака начинается с запуска файла Encryptor.exe, который не имеет цифровой подписи и весит около 20,43 МБ. После проникновения в систему Lyrix генерирует 256-битный AES-ключ, шифрует его с помощью жестко встроенного RSA-ключа и сохраняет в папке ProgramData под именем 02dq34jR0u.key, делая невозможным восстановление данных без участия злоумышленников.
Вредоносное ПО сканирует ключевые пользовательские директории - Downloads, Music, Documents, Desktop, Videos и Pictures - и шифрует файлы, пропуская только системные (.exe, .dll, .lnk), чтобы не нарушить работоспособность ОС. В каждой папке Lyrix оставляет файл Readme.txt с инструкциями по выплате выкупа. Злоумышленники угрожают утечкой данных в случае отказа от оплаты и предлагают бесплатно расшифровать два случайных файла в качестве доказательства своих возможностей.
Для усложнения восстановления системы ransomware удаляет все теневые копии через команды vssadmin delete shadows и wmic shadowcopy delete, а также отключает среду восстановления Windows (WinRE), блокируя любые попытки самостоятельного восстановления.
Исследователи также выяснили, что ProtonMail-аккаунт, указанный в ransom-ноте, был создан в апреле 2025 года, что подтверждает активность злоумышленников в этот период.
Чтобы минимизировать риски заражения, эксперты рекомендуют обучать сотрудников основам кибербезопасности, избегать загрузки файлов из ненадежных источников, использовать современные решения для защиты конечных точек и своевременно обновлять ПО. В случае инцидента критически важно немедленно изолировать зараженные системы и обратиться к специалистам по реагированию на киберинциденты.
Индикаторы компрометации
