Buran Ransomware продолжает разрушительное наследие своего предшественника VegaLocker

Buran Ransomware впервые начал развиваться в мае 2019 года. Заражение вредоносным ПО представляет угрозу Ransomware-as-a-Service, или RaaS. Использование угроз RaaS - довольно распространенный способ заработать деньги киберпреступникам. Самый простой способ объяснить такой процесс - это понять, что атака RaaS является частью модели на основе подписки, которая позволяет даже самому неквалифицированному злоумышленнику запускать в сети угрозу вымогателей. Это тоже не новая, перспективная схема. Он был доступен онлайн уже довольно давно. Вы даже можете встретить на рынке множество пакетов RaaS, которые полностью исключают необходимость кодирования вредоносных программ.

Вот почему это идеальный сервис для людей, которые хотят запустить вредоносную инфекцию и нанести ущерб онлайн, но не имеют технических знаний, чтобы сделать это. Модель позволяет любому стать «партнером» пакета RaaS. Процесс включает в себя филиалы, распространяющие вымогателей среди ничего не подозревающих жертв, и создатели вымогателей получают долю прибыли от вымогательства, которое следует. Другие известные RaaS-угрозы включают в себя такие популярные имена, как REVil, GandCrab, Phobos. Список таких угроз довольно обширный, включая предшественника Бурана, известного как VegaLocker Ransomware.

Вся партнерская система RaaS работает на основе сотрудничества. Это система доверия между автором вредоносного кода и человеком, использующим указанный код, чтобы раскрыть его не подозревающим жертвам. Человек, создавший вредоносный код, получает комиссию с доходов, полученных от атак вымогателей . Большинство угроз RaaS взимается от 30% до 40%. Буран требует только 25%, что вполне оправдывает цены его конкурентов. Более того, создатели Бурана открыты для переговоров. Существует возможность снизить размер комиссии еще ниже, что делает идею использования Buran еще более привлекательной для киберпреступников.

Buran Ransomware даже есть реклама! Они объявляют, что каждый потенциальный партнер может заключить индивидуальную сделку с создателем вредоносного кода. Вымогатель был объявлен на популярном российском форуме в попытке привлечь дополнительное внимание. Сообщение выглядит следующим образом:

Как сказано выше, в объявлении утверждается, что «Буран» «установил защиту от запуска в сегменте СНГ». Если вы незнакомы, СНГ - это Содружество Независимых Государств, по сути, конфедерация стран, которые когда-то были частью Советский Союз. В состав конфедерации входят Армения, Беларусь, Казахстан, Кыргызстан, Молдова, Россия, Таджикистан, Туркменистан, Украина и Узбекистан. Исключение из потенциальной атаки Бурана также может быть подсказкой, что его создатели принадлежат к одной из перечисленных стран.

Исследователи провели тщательные проверки, чтобы проверить заявление об исключении для десяти стран конфедерации. Только трое подтвердили, что они действительно защищены от когтей Бурана. Как только вымогатель проскальзывает в вашу систему, он запускает проверку - он пытается выяснить, где зарегистрирована ваша машина. И, если выяснится, что он зарегистрирован в Беларуси, России или Украине, «Буран» выходит и не имеет никакого видимого эффекта.

Преувеличением со стороны Бурана является его утверждение: «Правильная работа на всех ОС от Windows XP, Server 2003 до новейшей версии». Несмотря на эти заявления об «инклюзивности», исследователи доказали, что это обман. Тем не менее, Windows XP кажется невосприимчивым к атакам Buran.

Эволюция Buran Ransomware

Вы не можете говорить о Buran Ransomware без упоминания об угрозе Jumper (Jamper) и угрозе VegaLocker. Buran Ransomware - это эволюция двух предыдущих. Вирус-вымогатель VegaLocker был впервые обнаружен в феврале 2019 года, а Jumper - в марте 2019 года. Как уже говорилось, вымогатель Buran появился в мае 2019 года. Эти три заражения являются частью так называемого «семейства вредоносных программ». Одним из них является оригинал, который уступил место двум другим, которые будут преследовать пользователей сети.

VegaLocker, Jumper и Buran Ransomware связаны между собой многими сходствами. Известно, что все три угрозы изменяют реестр - они создают несколько разделов реестра, пытаясь закрепиться на вашем компьютере и затрудняют удаление. Эти угрозы также создают и хранят файлы во временных папках. Они используют один и тот же базовый код, который изменяется с каждым развитием угрозы. Авторы вредоносных программ модифицируют свой код вредоносного ПО, чтобы улучшить его работу (вторгаясь в вашу систему и нанося ущерб как можно более эффективно). Они пытаются развернуться вокруг антивирусных программ и избежать обнаружения со стороны исследователей безопасности. Это наиболее вероятная причина, по которой VegaLocker имеет столько же ревизий, сколько было. Буран является только последним повторением кода.

Buran Ransomware может сканировать локальные диски и сетевые пути. Он может шифровать файлы без изменения расширений , а также удалять точки восстановления, очищать журналы и удалять каталог резервных копий. Буран также может удалить себя, если ему когда-либо понадобится скрыться, чтобы избежать обнаружения.

Исследователи вредоносного ПО обнаружили две версии Buran Ransomware, плавающие в сети, которые активно влияют на пользователей компьютеров Оба написаны на Delphi, что делает обратный инжиниринг довольно сложным процессом. Они остаются очень похожими, но имеют несколько ключевых отличий. Например, в обновленном Buran есть две новые функции. Его создатели представили два новых процесса - процесс удаления теневых копий; и резервное копирование каталога. Buran Ransomware, кажется, терпит улучшения от своих создателей каждые несколько месяцев. Справедливо сказать, что новые варианты вымогателей, также похожие на вымогателей VegaLocker, не могут быть исключены в качестве опции. Помимо обновлений, Buran может даже пережить еще одну смену бренда, если на него слишком большое давление оказывают эксперты по безопасности.

Стратегия вторжения Buran Ransomware - как она заканчивается в вашей системе

Buran Ransomware доставляется на ваш компьютер с помощью Rig Exploit Kit. Он использует уязвимость Microsoft Internet Explorer VBScript Engine Engine RCE (CVE-2018-8174) для использования машин для развертывания. Как только эксплойт успешен, он запускает серию команд, которые загружают Buran в вашу систему.

Когда комплект эксплойтов Rig удаляет исполняемый файл Buran на вашем компьютере, следует немедленное выполнение. Затем вымогатель обязательно копирует себя в путь к файлу% APPDATA% \ microsoft \ windows \ ctfmon.exe и запускается. Он работает с шифрованием, но не нацелен на каждый файл на вашем компьютере. Скорее, это исключает некоторые расширения из шифрования. Они следующие: .cmd, .com, .cpl, .dll, .msc, .msp, .pif, .scr, .sys, .log, .exe, .buran. Это также исключает определенные папки и файлы.

Исключенные папки:

Исключенные файлы:

Rig Exploit Kit - не единственный метод вторжения, используемый Бураном. Есть также обычные трюки - бесплатные программы, рассылки спама, испорченные ссылки, сайты или торренты. Буран также был обнаружен с помощью метода прикрепления файлов IQY. При открытии эти вложения Microsoft Excel Web Query выполняют удаленную команду. Эта команда приступает к установке вымогателей на машину. Если вы не уверены, что такое файлы IQY, это документы Excel Web Query. Когда вы открываете такой документ, он пытается импортировать данные в лист с использованием внешних источников. Всегда будьте осторожны и осторожны в этом. Diligence предотвращает невольное заражение вашего компьютера. В конце концов, использование осторожности может сэкономить массу неприятностей и усугубить необходимость восстановления системы из-за потери данных.

Немецкие компании стали жертвами атак Buran Ransomware

В октябре 2019 года появились сообщения о том, что множество немецких организаций стали объектами кампании по распространению в Буране. Они стали жертвами спам-кампании, в которой использовалась приманка eFax в дополнение к вредоносному документу Word. Записка выкупа была переведена на немецкий язык, чтобы приспособить местоположение.

Спам-электронное письмо, полученное этими организациями, использовавшееся для первоначального распространения вымогателей, содержало ссылки на страницу PHP. Затем эта страница обслуживала вредоносные документы Word, которые, после слов, загружали угрозу Буран. Такое использование гиперссылок вместо вложений указывает на то, что люди, запустившие вредоносную кампанию, пытались избежать обнаружения вредоносными сканерами (сканеры обычно настроены на блокировку спам-писем).

Конкретное нацеливание на немецкие компании - это только один пример, который добавляет доказательство того, что Буран не является инфекцией, распространяемой гиперзадачным образом. Он адаптирован к потребностям и желаниям партнеров за каждую кампанию. Вредонос используется таким образом, что получил название «товарное вредоносное ПО». Это означает только то, что его развитие не зависит от конкретной цели. Цели не формируют это, но Буран формирует это, чтобы соответствовать целям.

Чего ожидать от удара Buran Ransomware

После того, как Buran Ransomware начинает свою атаку на ваш компьютер, вы можете ожидать нескольких вещей. Программа-вымогатель помещает в черный список массив файлов и папок. У его действий есть цель - заражение хочет гарантировать, что оно может работать так, как ожидают его создатели, не нарушая его функциональность. До того как Buran признал ее угрозой, приоритетным является шифрование букв дисков и папок.

Как только Buran Ransomware проникает в вашу систему, он использует надежные алгоритмы шифрования для блокировки ваших данных. Это делает целевые файлы недоступными. Картинки, документы, архивы, видео. Ваши файлы переименованы. Программа-вымогатель прикрепляет ваш уникальный идентификатор к задней части каждого файла, и вы обнаруживаете, что к вашим файлам прикреплена куча недавно добавленных номеров. Примером может служить имя файла "sample.jpg", которое превращается в "sample.jpg.48E7EE9F-3B50-B177-0614-DF09178EE722".

Пример переименованных файлов после того, как Buran Ransomware шифрует их.

Как только он заканчивает процесс шифрования, Буран оставляет вам записку с требованием выкупа. Это файл с именем '' !!! ВСЕ Ваши файлы зашифрованы !!!. TXT. '' Вы можете найти его в каждой папке, содержащей заблокированные файлы, а также на рабочем столе. Есть несколько замечаний о выкупе, о которых сообщают жертвы нападения, и между ними есть небольшие различия.

Пример отклонений между двумя записками о выкупе Бурана.

Текстовое содержание записки о выкупе в Буране:

В записке говорится, что если вы не заплатите, ваши файлы останутся для вас утерянными. Это потому, что Буран создает уникальный ключ дешифрования для каждой жертвы и сохраняет его на удаленных серверах, где вы, жертва, не можете получить к нему доступ. Buran делает все возможное, чтобы загнать вас в угол, оставив один вариант - соблюдение. Предположительно, заплатив выкуп, вы получите ключ, необходимый для расшифровки всего. Дело в том, что с большинством, если не со всеми, вымогатель оказывается мошенником и может никогда не отказаться от файлов . Инфекция наполняет ваши уши тем, что вы хотите услышать, и надеется, что вы влюбитесь в это. Убедитесь, что вы этого не сделаете!

Точная сумма выкупа не указана, но предполагается, что она составляет около 500 и 1500 долларов США, которые, как ожидается, будут выплачиваться в какой-либо цифровой валюте (Биткойн, Монеро, Эфириум и т. Д.). Несмотря на обещания Бурана, оплата окажется бесполезной. Вы имеете дело с мошенниками - злостными киберпреступниками, которые охотятся на вашу наивность в надежде быстро заработать. Не становитесь жертвой ловушки, которую они для вас заложили. Не обманывайтесь на оплату. Единственное убежище, которое у вас может быть, - это резервное копирование файлов и определенных ресурсов для защиты от вредоносных программ в системе, чтобы устранить угрозу, пытаясь сохранить и восстановить как можно больше доступных данных.