Плохой кролик атакует Россию и Украину, перебираясь в Европу: различия между версиями
| [непроверенная версия] | [непроверенная версия] |
Содержимое удалено Содержимое добавлено
м оформление |
Msrcq (обсуждение | вклад) ← Новая: {{редактируется}} {{дата|26 октября 2017}} {{тема|Что за вирус «Плохой Кролик»?}} Файл:Fierce_Bad_Rabbit.jpg|thumb|right|… Метки: с мобильного устройства из мобильной версии |
||
Строка 1:
{{редактируется}}
{{дата|
{{тема|Что за вирус «Плохой Кролик»?}}
[[Файл:Fierce_Bad_Rabbit.jpg|thumb|right|140px|Зловредный компьютерный вирус “Bad Rabbit” атакует СМИ, 26 октября 2017]]
<!-- Напишите свой текст ниже этой строчки -->
Во вторник, 24 октября, российские и украинские организации стали жертвами вымогательского ПО Bad Rabbit. Ниже мы представим факты, известные на сегодняшний день об атаках с его использованием, а также выясним, есть ли общее черты между Bad Rabbit и NotPetya.
После запуска поддельного установщика программ с помощью процесса rundll32.exe на атакуемую систему устанавливается шифровальщик infpub.dat и шифровальщик /дешифровщик dispci.exe. В ходе атаки Bad Rabbit использует три файла. Имена двух из них являются отсылкой к популярному телесериалу «Игра престолов». Файл rhaegal.job ответственен за выполнение файла дешифровщика, а drogon.job – за блокировку компьютера жертвы. Хранящиеся на системе файлы затем шифруются, а на экране появляется уведомление с требованием выкупа.
==Распространение на компьютеры==
Bad Rabbit инфицирует другие компьютеры в сети путем загрузки в нее своих копий и выполнения их с помощью легальных инструментов Windows Management Instrumentation (WMI) и Service Control Manager Remote Protocol. При использовании Service Control Manager Remote Protocol вредонос осуществляет атаку по словарю для получения учетных данных.
Хранящиеся на системе файлы затем шифруются, а на экране появляется уведомление с требованием выкупа.
Среди других легальных инструментов, предположительно применяемых вредоносом для получения учетных данных, эксперты называют утилиту с открытым исходным кодом Mimikatz. Исследователи также обнаружили признаки использования законного инструмента DiskCryptor для шифрования файлов на атакуемых компьютерах.
По данным компании Acronis, Bad Rabbit шифрует файлы с помощью легального драйвера ядра dcrypt.sys. ПО подписано сертификатами якобы от Symantec, благодаря чему вредоносу удается обходить антивирусные решения.
Какие действия были предприняты дальше не сообщается.
== Источники ==
*{{SecurityLab.ru|author=|title=Все, что известно о шифровальщике Bad Rabbit на сегодняшний день|url=https://www.securitylab.ru/news/489318.php}}
| |||