Угроза двойного шантажа: программа-вымогатель Nefilim крадёт данные до шифрования, сводя на нет резервное копирование

За последний год в ландшафте киберугроз чётко обозначился тревожный тренд: эволюция классических программ-вымогателей (ransomware) в сторону тактики двойного шантажа. Вместо того чтобы просто блокировать доступ к файлам, злоумышленники теперь активно похищают конфиденциальные данные до их шифрования. Затем они угрожают опубликовать украденную информацию в случае отказа от выплаты выкупа. Этот подход позволяет обойти одну из ключевых мер защиты - регулярное резервное копирование. Даже имея актуальные бэкапы, организация не может считать себя в безопасности, поскольку рискует стать жертвой утечки чувствительных данных. Одним из самых активных семейств вредоносного ПО, перешедших на эту модель, в последние месяцы стала программа-вымогатель Nefilim.

Описание

Происхождение и цели Nefilim

Nefilim появилась на сцене в марте 2020 года, когда операторы другого известного вредоноса - Nemty - отказались от модели ransomware-as-a-service (RaaS, «вымогательство как услуга»), чтобы сконцентрировать усилия на более целевых атаках. Примечательно, что автор Nemty, по всей видимости, поделился исходным кодом своего творения, что привело к появлению нового семейства. Эксперты, включая Витали Кремза и Майкла Жиля из сервиса ID Ransomware, отмечают, что Nefilim основана на коде Nemty версии 2.5 и унаследовала от него ключевые возможности, в частности, функцию латерального перемещения внутри корпоративных сетей.

Целями Nefilim становятся в первую очередь организации, использующие уязвимое программное обеспечение для удалённого доступа. В фокусе атакующих - давно известные и уже закрытые производителем уязвимости, такие как CVE-2019-11634 и CVE-2019-19781 в шлюзах Citrix, информация о которых появилась в декабре 2019 года, а патчи выпущены в январе 2020-го. Это типичная тактика: злоумышленники эксплуатируют уязвимости, для которых уже существуют обновления безопасности, но которые по тем или иным причинам не были установлены в инфраструктуре жертвы. Проникнув через неисправленный шлюз, хакеры похищают данные и лишь затем разворачивают основную нагрузку - шифровальщик.

Технический анализ жизненного цикла атаки

Инцидент с участием Nefilim развивается по отработанному сценарию, включающему несколько этапов. Начальная точка компрометации - это зачастую неправильно сконфигурированный или подвергнутый брут-форсу (подбору паролей) сервис удалённого рабочего стола (RDP, Remote Desktop Protocol). Альтернативный путь - эксплуатация упомянутых уязвимостей в Citrix. Получив первоначальный доступ, злоумышленник разворачивает на системе жертвы арсенал вспомогательных инструментов: утилиты для отключения антивирусного ПО, средства для сбора учётных данных и выгрузки данных.

Этап латерального перемещения критически важен для успеха всей операции. Используя такие широко распространённые легитимные утилиты, как PsExec для удалённого выполнения команд, а также специализированный софт для кражи паролей вроде Mimikatz, LaZagne или NetPass от NirSoft, атакующие методично движутся по сети. Их цель - найти наиболее ценные активы: файловые серверы, базы данных, системы управления предприятием (ERP). Перед запуском шифрования происходит масштабная эксфильтрация (вывоз) данных. Для этого данные копируются на скомпрометированную машину, архивируются с помощью предустановленного бинарного файла 7zip и загружаются на внешние ресурсы, например, через клиент облачного хранилища MegaSync.

Сам процесс шифрования использует гибридную схему. Каждый файл шифруется с помощью алгоритма AES-128, после чего к нему добавляется расширение .NEFILIM. Ключ AES, в свою очередь, шифруется с использованием RSA-2048, причём открытый RSA-ключ встроен в исполняемый файл вредоноса. Для противодействия анализу Nefilim применяет ряд антиотладочных техник, например, проверяет наличие отладчика с помощью функции IsDebuggerPresent и отслеживает временные задержки выполнения своего кода. После завершения работы программа самоуничтожается, запуская команду удаления через ShellExecute API.

Реальные последствия и давление на жертв

Яркий пример разрушительности атак Nefilim - инцидент с австралийской транспортно-логистической компанией Toll Group в мае 2020 года. Примечательно, что это была уже вторая серьёзная атака на компанию за короткий срок: двумя месяцами ранее она пострадала от другого вымогателя - Netwalker. В обоих случаях Toll Group отказалась платить выкуп. В ответ операторы Nefilim выложили в даркнет конфиденциальные данные компании, включая коммерческие договоры и персональную информацию сотрудников, публично заявив о недостаточных мерах безопасности со стороны жертвы. Этот случай наглядно демонстрирует новую реальность: отказ от выплаты выкупа больше не гарантирует закрытия инцидента, а лишь переводит его в плоскость репутационного и регуляторного риска из-за утечки данных.