Новый вымогатель LockFile применяет частичное шифрование для обхода защиты

Новый вымогатель LockFile применяет частичное шифрование для обхода защиты

Новый вымогатель LockFile применяет частичное шифрование для обхода защиты

Новое семейство программ-вымогателей, получившее имя LockFile, оказалось не таким простым, как могло показаться на первый взгляд. Проанализировав этот шифровальщик, эксперты пришли к выводу, что его авторы реализовали целый ряд разных уловок для обхода защитных систем. Одной из ключевых особенностей LockFile стало использование «прерывистого шифрования».

Буквально неделю назад мы писали об операциях LockFile, который взял на мушку серверы Microsoft Exchange. Группировка, управляющая этой программой-вымогателем, получила то же имя.

Недавние атаки LockFile рассчитаны на эксплуатацию связки уязвимостей, известной под общим названием — ProxyShell. Также вредонос использует вектор атаки PetitPotam для проникновения в сети организаций.

Чтобы избежать детектирования современными антивирусными средствами, LockFile прибегает к интересной тактике: программа-вымогатель шифрует лишь каждые 16 байтов файла, что можно назвать частичным или прерывистым шифрованием.

«Операторы вредоносных программ используют частичное шифрование для ускорения процесса. Ранее мы наблюдали такое поведение, например, у BlackMatter, DarkSide, а теперь этой техникой обзавёлся и LockFile», — объясняет Марк Ломан из Sophos.

«Тем не менее есть нечто, что отличает LockFile от других похожих зловредов — он не шифрует первые несколько блоков документа, а фокусируется лишь на каждых 16 байтах. Таким образом, текстовые файлы будут частично читаемы и даже выглядеть при этом как оригинальные».

«Такой подход может быть очень полезным, если нужно уйти от обнаружения защитными программами, заточенными под детектирование шифровальщиков».

Специалистам Sophos удалось изучить поведение относительно нового семейства программ-вымогателей благодаря образцу, который попал на площадку VirusTotal 22 августа 2021 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В WinRAR закрыли уязвимость, позволяющую обойти MotW с помощью симлинка

Опубликованы детали уязвимости в WinRAR, которую разработчик архиватора устранил в конце прошлого месяца. Проблема позволяет обойти защиту Mark-of-the-Web (MotW) и скрытно выполнить вредоносный код в Windows.

Согласно записи на специализированном сайте японской CERT, причиной появления уязвимости CVE-2025-31334 является некорректная обработка символических ссылок (симлинков). При дефолтных настройках Windows создавать их могут только админы.

Подготовив архив с симлинком, указывающим на исполняемый файл, злоумышленник мог разослать его по почте или раздавать с сайта, придумав приманку. В Windows такие загрузки обычно вызывают срабатывание MotW, и юзеру выводится предупреждение о потенциально опасном контенте.

Наличие уязвимости в WinRAR позволяло обойти эту меру защиты: симлинк можно было извлечь, открыть и не увидеть при этом привычного алерта. В итоге автор атаки мог протащить в систему любого зловреда, украсть конфиденциальные данные, обеспечить себе удаленный доступ, изменять и удалять критически важные файлы.

Патч для CVE-2025-31334 включен в состав сборки 7.11, пользователям WinRAR рекомендуется обновить продукт.

Похожую уязвимость в конце прошлого года устранили в 7-Zip.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru