Россию и Украину атаковал новый вирус Bad Rabbit

24 октября по России и Украине распространился вирус-шифровальщик Bad Rabbit.

Эпидемия вируса началась во второй половине дня. Хакерской атаке подверглись метрополитен Киева, сервера Министерства инфраструктуры, Международного аэропорта «Одесса», информационное агентство Интерфакс, интернет-издание Фонтанка.ру. Кроме того, зараженные файлы пытались проникнуть в системы крупных российских банков из топ-20, сообщает компания Group-IB.

На экранах зараженных компьютеров появлялось сообщение о блокировке всех пользовательских файлов. Злоумышленники требовали выкуп в биткоинах, эквивалентный $280. Кроме того, вирус запускал счетчик, по истечению определенного срока сумма выкупа начинала расти.

По данным Group-IB, кибератака была тщательно спланирована и готовилась на протяжении нескольких дней.

Происходила загрузка вредоносного программного обеспечения с ресурса 1dnscontrol.com. Доменное имя 1dnscontrol.com имеет IP 5.61.37.209. Доменное имя 1dnscontrol.com зарегистрировано 22 марта 2016 года и до сих пор пролонгируется, — говорится в сообщении Group-IB.

Вирус распространялся с помощью взломанных интернет-ресурсов, среди которых были украинские и российские сайты. В HTML-код этих ресурсов загружался JavaScript-инжект, который показывал посетителям поддельное окно с предложение установить обновление Adobe Flash плеера.

После «обновления» происходило скачивание и запуск вредоносного файла с именем install_flash_player.exe (FBBDC39AF1139AEBBA4DA004475E8839 — MD5 хеш), а также заражение хоста. Шифрование производится с помощью DiskCryptor.

Представители антивирусной компании ESET заявили, что в атаке использовалось вредоносное программное обеспечение Diskcoder.D, которое является модификацией вируса-шифратора Not.Petya — именно он использовался при кибератаке на украинские компании в июне 2017 года.

Как не стать жертвой шифровальщика

Эксперты по информационной безопасности предложили несколько советов, чтобы защититься от атаки Bad Rabbit.

Прежде всего, уже обнаружен так называемый kill switch — то есть «экстренный выключатель» для вируса. Для этого необходимо создать в системе файл C:\windows\infpub.dat и предоставить ему права «только для чтения». После этого даже в случае заражения файлы не будут зашифрованы.

Кроме того, рекомендуется обновить операционную систему и системы безопасности, а также заблокировать IP-адреса, с которых происходило распространение зараженных файлов.

Не лишним будет заменить пароли на более сложные, а также заблокировать всплывающие окна.