Как троян способен зашифровать данные на заражённом компьютере за пять минут

В сентябре прошлого года авторы трояна LockBit стали предлагать свой продукт для оказания услуг по вымогательству. Программа примечательна своей самостоятельностью в процессах установки и шифрования данных жертвы, что позволяет ей захватывать компьютер всего за пять минут и переключаться на корпоративные компьютеры той же сети быстро и незаметно. В статье рассмотрим принцип её работы.

По словам исследователей, программа задействует удалённый скрипт PowerShell, который в свою очередь связывается с документом Google Sheets, в который встроен вредоносный код. Когда он приходит в исполнение - на компьютер устанавливается бэкдор, через который загружаются компоненты программы-вымогателя. Первым делом она заметает следы в логах - переименовывает выполненные скрипты. Далее она анализирует захваченный компьютер - есть ли в нём потенциальная выгода. Если есть - она устанавливает второй бэкдор, через который скачивает шифровальщика с сервера хакеров. Спустя пять минут все данные на компьютере уже зашифрованы, а программа требует выкуп за их расшифровку, тем временем запуская те же скрипты на всех корпоративных устройствах, подключенных к сети.

Учитывая сложность в отслеживании и устранении взломов, корпорациям следует уделять внимание цифровой безопасности. Защитить корпоративную сеть от хакерских атак могут решения, предоставляемые ARinteg.