Internet, komputery

Sodin: nowe oprogramowanie ransomware wykorzystuje niebezpieczną lukę w zabezpieczeniach systemu Windows

Badacze z firmy Kaspersky wykryli nowe oprogramowanie ransomware o nazwie Sodin, które wykorzystuje zidentyfikowaną niedawno lukę dnia zerowego w zabezpieczeniach systemu Windows w celu zwiększenia poziomu uprawnień w zainfekowanym systemie oraz architekturę procesora w celu uniknięcia wykrycia. Ponadto, w niektórych przypadkach szkodnik nie wymaga interakcji użytkownika i zostaje po prostu zainstalowany w podatnych na ataki serwerach przez cyberprzestępców.

Oprogramowanie ransomware – szyfrujące dane lub blokujące dostęp do urządzeń wraz z żądaniem okupu – to od dawna znane cyberzagrożenie, którego ofiarą mogą paść konsumenci oraz organizacje dowolnych rozmiarów na całym świecie. Większość rozwiązań bezpieczeństwa wykrywa dobrze znane wersje i wektory takich ataków. Jednak szkodniki stosujące zaawansowane podejście, takie jak Sodin, który wykorzystuje wykrytą niedawno lukę dnia zerowego w systemie Windows (CVE-2018-8453) w celu podniesienia poziomu uprawnień, mogą przez długi czas nie wzbudzać żadnych podejrzeń.

Wygląda na to, że Sodin jest częścią schematu RaaS (Ransomware as a Service), w ramach którego mniej doświadczeni cyberprzestępcy wynajmują określony szkodliwy kod od bardziej zaawansowanych cybergangów. To oznacza, że jego dystrybutorzy mogą dowolnie wybierać sposób rozprzestrzeniania modułu szyfrującego. Pewne wskazówki sugerują, że szkodnik ten jest rozprzestrzeniany za pośrednictwem programu afiliacyjnego. Na przykład, twórcy szkodnika pozostawili w jego funkcjonalności „furtkę”, która pozwala im odszyfrować pliki bez wiedzy swoich partnerów: jest to „klucz główny”, który nie wymaga klucza dystrybutora w celu odszyfrowania (zwykle to klucze dystrybutora są wykorzystywane do odszyfrowania plików ofiar, które zapłaciły okup). Funkcja ta może być wykorzystywana przez twórców w celu kontrolowania odszyfrowywania danych ofiar lub dystrybucji oprogramowania ransomware poprzez np. wykluczenie określonych dystrybutorów z programu afiliacyjnego przez uczynienie szkodnika bezużytecznym.

Oprogramowanie ransomware wymaga zwykle jakiejś formy interakcji z użytkownikiem – np. otwarcia załącznika do wiadomości e-mail czy kliknięcia szkodliwego odsyłacza. Cyberprzestępcy stojący za szkodnikiem Sodin nie potrzebowali takiej pomocy: w większości przypadków znajdowali podatny na ataki serwer i wysyłali polecenie pobrania szkodliwego pliku o nazwie „radm.exe”. Ten następnie zapisywał oprogramowanie ransomware lokalnie i wykonywał je.

Większość celów oprogramowania Sodin znajdowało się w regionie azjatyckim: 17,6% ataków zostało wykrytych w Tajwanie, 9,8% w Hongkongu, a 8,8% w Republice Korei. Niemniej jednak ataki zaobserwowano również w Europie, Ameryce Północnej oraz Łacińskiej. Szkodnik pozostawiał na zainfekowanych komputerach żądanie okupu w wysokości około 9,5 tysięcy zł walucie bitcoin.

Wykrycie szkodnika Sodin utrudnia dodatkowo wykorzystywanie przez niego techniki „Heaven’s Gate”. Pozwala ona szkodnikowi wykonać kod 64-bitowy z procesu 32-bitowego, co nie jest powszechną praktyką i nieczęsto występuje w oprogramowaniu ransomware.

Badacze uważają, że technika Heaven’s Gate jest wykorzystywana w oprogramowaniu Sodin głównie z dwóch powodów:

  • Aby utrudnić analizę szkodliwego kodu: nie wszystkie debuggery (programy służące do badania kodu) obsługują tę technikę, a co za tym idzie — potrafią ją rozpoznać.

  • Aby uniknąć wykrycia przez zainstalowane rozwiązania bezpieczeństwa: technika ta jest stosowana w celu uniemożliwienia wykrycia opartego na emulacji — metody wykrywania nieznanych wcześniej zagrożeń polegającej na uruchomieniu podejrzanie zachowującego się kodu w środowisku wirtualnym, które przypomina (emuluje) rzeczywisty komputer.

Chociaż oprogramowanie ransomware to niezwykle popularny rodzaj szkodliwego oprogramowania, nieczęsto można spotykać tak rozbudowaną i zaawansowaną wersję: wykorzystywanie architektury procesora w celu uniknięcia wykrycia to rzadko stosowana praktyka wśród szkodliwych programów szyfrujących. Spodziewamy się wzrostu liczby ataków z udziałem szkodnika Sodin, ponieważ stworzenie go wymagało ogromnych zasobów. Ci, którzy zainwestowali w rozwój szkodnika, z pewnością oczekują zwrotu z inwestycji – powiedział Fiedor Sinicyn, badacz ds. cyberbezpieczeństwa w firmie Kaspersky.

Rozwiązania bezpieczeństwa firmy Kaspersky wykrywają opisywane oprogramowanie ransomware pod nazwą Trojan-Ransom.Win32.Sodin. Przy pomocy technologii firmy Kaspersky ustalono, że wykorzystywana przez szkodnika luka CVE-2018-8453 była wcześniej prawdopodobnie stosowana przez ugrupowanie hakerskie FruityArmor. Luka została załatana 10 października 2018 r.


data ostatniej modyfikacji: 2019-07-04 16:52:39
Komentarze

Przegląd uczelni w Polsce
boks_do_przegl__du_uczelni_220x300.jpg
przeglad_uczelni_boks_220.gif
Polskie uczelnie w obrazach
miniatura Maskotka Akademii Morskiej w Gdyni
miniatura UNS
miniatura Wyższa Szkoła Bankowa w Gdańsku - 6
 
Polityka Prywatności