Шифровальщик BlackMatter обзавелся собственным инструментом кражи данных

Шифровальщик BlackMatter обзавелся собственным инструментом кражи данных

Шифровальщик BlackMatter обзавелся собственным инструментом кражи данных

Исследователи из Symantec обнаружили, что один из аффилиатов RaaS-сервиса BlackMatter начал использовать в атаках кастомный инструмент кражи документов с целью шантажа. Анализ показал, что Exmatter способен отыскивать в папках жертвы файлы с заданными расширениями и выгружать их на удаленный сервер до запуска шифровальщика.

На памяти экспертов это уже третий случай, когда операторы вымогательских программ создают собственную утилиту для вывода данных. Два года назад такой инструмент появился у ОПГ, стоящей за Ryuk, а минувшим летом — в пакете услуг LockBit (с обновлением шифровальщика до версии 2.0 клиентам криминального сервиса стали предлагать также программу-шпиона StealBit).

Написанный на .NET зловред Exmatter при запуске прежде всего пытается спрятать свое окно через вызов API-функции ShowWindow(). Для идентификации объектов, подлежащих сливу на сторону, программа собирает имена всех логических дисков и путей к файлам.

При поиске файлов вредонос руководствуется списком из 13 расширений, включающим .docx, .xlsx, .pdf, .msg, .png и .csv. Примечательно, что Exmatter не крадет файлы мельче 1024 байт. Он также обходит стороной большое количество папок:

  • C:\Documents and Settings
  • C:\PerfLogs
  • C:\Program Files\Windows Defender Advanced Threat Protection\Classification\Configuration
  • C:\Program Files\WindowsApps
  • C:\ProgramData\Application Data
  • C:\ProgramData\Desktop
  • C:\ProgramData\Documents
  • C:\ProgramData\Microsoft
  • C:\ProgramData\Packages
  • C:\ProgramData\Start Menu
  • C:\ProgramData\Templates
  • C:\ProgramData\WindowsHolographicDevices
  • C:\Recovery
  • C:\System Volume Information
  • C:\Users\All Users
  • C:\Users\Default
  • C:\Users\Public\Documents
  • C:\Windows

Все находки отправляются на SFTP-сервер с IP-адресом 165[.]22[.]84[.]147 (порт 22); предусмотрено также обращение к SOCKS5-прокси на порту 1080, но эта настройка пока не используется. После вывода данных Exmatter заметает следы — пытается с помощью PowerShell перезаписать начальный блок данных в своем файле и удаляет его.

Исследователям попадались разные варианты зловреда. По всей видимости, его создатели все еще совершенствуют свой инструмент, чтобы обеспечить кражу важных данных в достаточном объеме и в кратчайшие сроки.

Так, один из более новых вариантов Exmatter пользовался более длинным списком расширений — в него были добавлены .xlsm и .zip. В следующей версии этот список был расширен до 22 позиций за счет добавления .json, .config, .ts, .cs, .js, .aspx и .pst.

Этот сэмпл также не трогал файлы, имена которых содержали следующие строки:

  • OneDriveMedTile
  • locale-
  • SmallLogo
  • VisualElements
  • adobe_sign
  • Adobe Sign
  • core_icons

Появился и еще один вариант выгрузки краденого: зловреду был придан клиент WebDav, привязанный к хранилищу на сервере 157[.]230[.]28[.]192. Тем не менее, судя по структуре кода, злоумышленники продолжают отдавать предпочтение протоколу SFTP, а WebDav остался в резерве.

При дальнейшей доработке кода SFTP-сервер зловреда сменил IP-адрес (на 159[.]89[.]128[.]13), но остался в той же AS-сети облачного провайдера DigitalOcean. Белый список расширений тоже был обновлен — из него исчезла позиция .png.

Кто именно создал Exmatter, владельцы BlackMatter или какой-то клиент их сервиса RaaS (Ransomware-as-a-Service, шифровальщик как услуга), установить не удалось. По данным Symantec, за распространение BlackMatter ответственна та же криминальная группа, которая ранее оперировала шифровальщиком Darkside (получил скандальную известность после атаки на Colonial Pipeline).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Александр Осипов занял пост директора по продуктовому портфелю RED Security

RED Security объявила о назначении Александра Осипова директором по продуктовому портфелю компании. Александр Осипов обладает более чем 10-летним опытом работы в отрасли информационных технологий и кибербезопасности.

До прихода в RED Security он пять лет возглавлял направление облачных и инфраструктурных решений оператора «Мегафон».

Александр Осипов начал карьеру в ИТ в 2013 году. Он начал с позиции менеджера по маркетингу российского провайдера облачных сервисов NGENIX. Затем участвовал в запуске и развитии ИТ- и ИБ-сервисов NGENIX.

В 2017 году Александр перешел в «Мегафон», где начал заниматься развитием платформенных решений для корпоративного бизнеса. В «Мегафоне» Осипов начинал с должности специалиста по продуктам в сфере сетевых технологий и кибербезопасности, а покинул компанию директором по облачным и инфраструктурным решениям.

В этой роли Александр отвечал за продуктовую стратегию «Мегафона» в сегментах облачных продуктов, сервисов кибербезопасности, сетевых и IoT-решений для коммерческого и государственного сектора.

Под руководством Александра Осипова в «Мегафоне» были успешно запущены и выведены на как минимум безубыточность платформа «МегаФон Облако», сервисы центра мониторинга и реагирования на кибератаки (SOC), управляемые сервисы кибербезопасности (MSS) и другие решения компании сферы ИТ и ИБ. Эти сервисы были отмечены отраслевыми премиями, включая Digital Leaders Award и «Большая цифра».

В RED Security Александр Осипов будет отвечать за управление портфелем продуктов, технологическое сопровождение и развитие сервисов, причем как новых решений, так и модернизация уже имеющихся в соответствии с требованиями рынка.

«Александр обладает многолетним опытом управления продуктовым портфелем по кибербезопасности в крупнейших российских компаниях. Он ориентируется на создание комплексного предложения в сфере защиты от киберугроз, опираясь при этом как на мировые технологические тренды, так и на актуальные потребности российских заказчиков из корпоративного сегмента. Мы рады приветствовать Александра в нашей команде и уверены, что его опыт поможет компании реализовать стратегию по формированию открытой экосистемы ИБ-решений и экспертизы для надёжной защиты бизнеса. Кроме того, успех направлений кибербезопасности, за которые Александр отвечал в других компаниях, подтверждает, что он сможет достичь амбициозных целей RED Security по достижению высочайшего уровня наших сервисов», – подчеркнул Иван Вассунов, генеральный директор компании RED Security.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru