Опенсорсная малварь, созданная ради эксперимента или в образовательных целях – совсем не редкость. Достаточно вспомнить шифровальщик Heimdall, а также вымогателей Hidden Tear и EDA2. Теперь специалисты обнаружили на GitHub еще один подобный проект: написанный на PHP вымогатель неизобретательно назван просто Ransomware, а его автором выступает индонезийский исследователь, известный под псевдонимом Shor7cut, член хакерской группы Bug7sec and Indonesia Defacer Tersakiti.
Хотя данный репозиторий появился на GitHub более года назад, на базе этой малвари до сих пор создают настоящие шифровальщики для веб-серверов.
Первый вымогатель, основанный на коде проекта Ransomware, JapanLocker, был замечен специалистами компании Fortinet еще в октябре 2016 года. В июле 2017 года известный ИБ-эксперт Майкл Гиллепси (Michael Gillespie) нашел еще одного вредоноса, Lalabitch. В том же месяце было зафиксировано появление шифровальщика EV Ransomware, который обнаружили специалисты фирмы Wordfence. И, наконец, еще один, пока безымянный вымогатель был обнаружен ИБ-исследователем, известным под псевдонимом Guga, вчера, 16 августа 2017 года.
#Ransomware Hunt: "Lalabitch", victim webserver hacked. Ext ".lalabitch", encrypted+base64. Note "lalabitch.php": https://t.co/fRfgHlxHm2 pic.twitter.com/8MYVjOT6Xz
— Michael Gillespie (@demonslay335) July 1, 2017
ransom to retrieve a #phishing site: cheater vs cheater
— guga (@illegalFawn) August 16, 2017
com-sucureauto .net/pvpal-resolve@malwrhunterteam @douglasmun @SwiftOnSecurity pic.twitter.com/3Ls4ltrWAs
Неизвестно, кто стоит за созданием данных вымогателей. Так как исходные коды шифровальщика свободно доступны на GitHub, написать JapanLocker, Lalabitch и EV мог сам Shor7cut или любой другой человек. При этом в механизме шифрования всех трех вымогателей присутствует ошибка, которая не позволяет жертвам восстановить файлы: шифрование информации осуществляется как должно, а вот платить выкуп злоумышленникам бесполезно, потому как расшифровка не работает. В своем отчете аналитики Wordfence пишут, что для «починки» кода малвари и расшифровки информации понадобится как минимум помощь умелого PHP-разработчика.
