Xakep #305. Многошаговые SQL-инъекции
ИБ-эксперты компаний Malwarebytes, Sophos и Crowdstrike обнаружили новую версию известного вымогателя SamSam. Разработчики малвари пытаются защитить свой исходный код от глаз специалистов специальным паролем.
Напомню, что SamSam хорошо известен благодаря целому ряду громких инцидентов. Так, только в первом квартале 2018 года шифровальщик атаковал городские власти американского города Атланта, сразу ряд медицинских учреждений в США, неназванное предприятие, специализирующееся на АСУ ТП и так далее. На иллюстрации ниже можно увидеть хронологию атак, составленную аналитиками Barkly.
Теперь эксперты Malwarebytes, Sophos и Crowdstrike сообщили о появлении обновленной версии SamSam, обладающей новым механизмом защиты. Дело в том, что раньше любой, кто найдет бинарники SamSam, имел возможность изучить их или попросту запустить на собственной машине обычным двойным кликом. Теперь же разработчики SamSam решили обезопасить свой код паролем, и эта защита не имеет никакого отношения к конечным пользователям. SamSam не распространяется через спам или вредоносные сайты, — его операторы разворачивают малварь, лишь сумев скомпрометировать сеть какой-либо организации, крупной компании или правительственного учреждения.
Чтобы усложнить работу ИБ-специалистов в такой ситуации и не дать им просто запустить выполнение бинарников, злоумышленники защитили вредоноса паролем, который сами операторы атак вводят вручную. Эксперты отмечают, что пароли, судя по всему, разнятся от атаки к атаке. И хотя ранее специалисты уже пришли к выводу, что за разработкой SamSam стоят не правительственные хакеры, методы, используемые авторами вымогателя, в очередной раз напомнили исследователям о «почерке» серьезных APT-групп.
