Мультиплатформенного шифровальщика Cyclops поженили с инфостилером

Татьяна Никитина 06 Июня 2023 - 18:45

Домашние пользователи

...

Операторы RaaS-сервиса Cyclops (Ransomware-as-a-Service, вымогатель как услуга) дополнили свой ассортимент вредоносом, ворующим данные. Рекламу новинки отследили на хакерских форумах исследователи из Uptycs.

По всей видимости, новая услуга ориентирована на тех, кто использует схему двойного шантажа: не только шифрует данные, но также ворует важные файлы и угрожает публикацией в случае неуплаты выкупа. За дополнительный компонент с подписчиков берут долю прибыли.

Шифровальщик Cyclops нацелен на разные платформы: Windows (64-бит), macOS, Linux. Версии для macOS и Linux написаны на Golang.

Вредонос умеет принудительно завершать процессы, мешающие его работе, и применяет сложную схему шифрования, предполагающую использование симметричных и асимметричных шифров. Логика Cyclops напомнила аналитикам Babuk: при работе на Windows-машинах оба используют эллиптические кривые Диффи – Хеллмана (Curve25519) и потоковый шифр HC-256, а также комбинацию Curve25519 и ChaCha.

После шифрования содержимого в конец файла записываются публичный ключ (вшит в код зловреда), хеш CRC32 и маркер, позволяющий избежать повторного шифрования. К обработанным файлам добавляется расширение .CYCLOPS. По завершении шифрования в системе создается записка с требованием выкупа и ссылкой на onion-сайт для восстановления данных.

Модуль-инфостилер, который можно подключить из админ-панели, тоже написан на Go и заточен под Windows и Linux. Зловред собирает информацию о зараженной машине (данные ОС, имя компьютера, число процессов, контроллер домена, через который осуществляется вход). Поиск файлов, представляющих интерес, осуществляется по имени и расширению; вся добыча выгружается на удаленный сервер.

Версия стилера для 64-битных Windows загружается в виде архивного файла, содержащего stealer.exe и config.json со списками целевых имен, расширений и размеров. При исполнении вредонос считывает данные из config.json, перечисляет папки и ищет в них нужные объекты. Обнаружив совпадение, он архивирует содержимое файла (ZIP), запароливает итог и отсылает на сервер оператора.

Инфостилер для Linux тоже доступен клиентам RaaS в виде архива, но с несколько иным содержимым — stealer.linux и config.json. По функциональности этот модуль, по данным Uptycs, схож с Windows-версией.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Татьяна Никитина 22 Ноября 2024 - 18:45

Windows Домашние пользователи

В мессенджер Signal для Windows добавили поддержку Arm64

Разработчики Signal выпустили обновление 7.34.0 для Windows-версии мессенджера. Устранен баг режима Dark, реализована поддержка процессоров с архитектурой Arm64 — таких как Snapdragon X Plus и Elite от Qualcomm.

Отныне приложение для IM-связи будет работать шустрее и более гладко на таких десктопах, притом без эмулятора, — так же, как при запускек на устройствах Microsoft Surface на базе ARM.

Поддержку этой аппаратной платформы недавно получил ряд других популярных Windows-программ: Google Chrome, Telegram, браузер Vivaldi, Adobe Illustrator, Slack.

В 2020 году доля ноутбуков на ARM составляла немногим более 1%. По прогнозам аналитиков, к концу десятилетия этот показатель возрастет до 40%.

Укреплению положения ARM на рынке десктопов способствуют рост популярности сервисов на основе генеративного ИИ, в частности, Copilot (их производительность на ARM выше), а также проблемы, которые начали испытывать Intel и AMD.

Мессенджер Signal — бесплатный продукт с открытым исходным кодом, разработанный с упором на безопасность и приватность. С августа доступ к Signal в рунете ограничен «в связи с нарушением требований российского законодательства» (цитата по РБК).

Мультиплатформенного шифровальщика Cyclops поженили с инфостилером

Читайте также