Ang ransomware virus, na kilala bilang Bad Rabbit, ay umatake sa libu-libong mga computer sa Ukraine, Turkey at Germany. Ngunit karamihan sa mga pag-atake ay nangyari sa Russia. Anong uri ng virus ito at kung paano protektahan ang iyong computer, sasabihin namin sa iyo sa aming seksyong Mga Tanong at Sagot.

Sino ang nagdusa mula sa Bad Rabbit sa Russia?

Ang Bad Rabbit ransomware virus ay nagsimulang kumalat noong Oktubre 24. Kabilang sa mga biktima ng kanyang mga aksyon ay ang Interfax news agency at ang Fontanka.ru publication.

Ang Kyiv metro at ang paliparan ng Odessa ay nagdusa din mula sa mga aksyon ng mga hacker. Pagkatapos ay nalaman ang tungkol sa isang pagtatangka na i-hack ang mga sistema ng ilang mga bangko sa Russia mula sa nangungunang 20.

Sa lahat ng indikasyon, ito ay isang naka-target na pag-atake sa mga corporate network, dahil gumagamit ito ng mga pamamaraan na katulad ng mga naobserbahan sa pag-atake ng ExPetr virus.

Ang bagong virus ay gumagawa ng isang kahilingan sa lahat: isang ransom na 0.05 Bitcoin. Sa mga tuntunin ng rubles, ito ay halos 16 libong rubles. Gayunpaman, iniulat niya na ang oras upang matupad ang kinakailangan na ito ay limitado. Higit sa 40 oras ang ibinibigay para sa lahat. Dagdag pa, tataas ang bayad sa pagtubos.

Ano ang virus na ito at paano ito gumagana?

Nalaman mo na ba kung sino ang nasa likod ng pagkalat nito?

Hindi pa posible na malaman kung sino ang nasa likod ng pag-atakeng ito. Ang pagsisiyasat ay humantong lamang sa mga programmer sa pangalan ng domain.

Napansin ng mga eksperto mula sa mga kumpanya ng antivirus ang pagkakatulad ng bagong virus sa Petya virus.

Ngunit, hindi tulad ng mga nakaraang virus sa taong ito, sa pagkakataong ito ay nagpasya ang mga hacker na gawin ang simpleng ruta, ulat ng 1tv.ru.

"Malamang, inaasahan ng mga kriminal na sa karamihan ng mga kumpanya ay i-update ng mga gumagamit ang kanilang mga computer pagkatapos ng dalawang pag-atake na ito, at nagpasyang subukan ang isang medyo murang paraan - social engineering - upang mahawahan ang mga gumagamit nang medyo tahimik sa simula," sabi ng pinuno ng anti- departamento ng pananaliksik sa virus sa Kaspersky Lab.

Paano protektahan ang iyong computer mula sa isang virus?

Tiyaking i-back up ang iyong system. Kung gumagamit ka ng Kaspersky, ESET, Dr.Web o iba pang sikat na analogue para sa proteksyon, dapat mong i-update kaagad ang mga database. Gayundin, para sa Kaspersky kailangan mong paganahin ang "Pagsubaybay sa Aktibidad" (System Watcher), at sa ESET kailangan mong maglapat ng mga lagda na may update 16295, ipaalam sa talkdevice.

Kung wala kang mga antivirus program, harangan ang pagpapatupad ng mga file na C:\Windows\infpub.dat at C:\Windows\cscc.dat. Ginagawa ito sa pamamagitan ng Group Policy Editor o ang AppLocker program para sa Windows.

Itigil ang paggana ng serbisyo - Windows Management Instrumentation (WMI). Gamit ang kanang pindutan, ipasok ang mga katangian ng serbisyo at piliin ang mode na "Disabled" sa "Uri ng Startup".

Maraming Russian media at Ukrainian na organisasyon ang inatake ng Bad Rabbit ransomware. Sa partikular, inatake ng mga hacker ang tatlong Russian media outlet, kabilang ang Interfax at Fontanka.

Noong Oktubre 24, nagsimula ang isang bagong malakihang pag-atake sa cyber gamit ang Bad Rabbit ransomware virus. Naapektuhan ng malware ang mga computer network ng Kyiv Metro, Ministry of Infrastructure, at Odessa International Airport. Ilang biktima din ang napunta sa Russia - bilang resulta ng pag-atake, nasira ang mga tanggapan ng editoryal ng mga federal media outlet tulad ng Interfax at Fontanka.

Kill Switch: kailangan mong gumawa ng file C:\windows\infpub.dat at bigyan ito ng read-only na mga pahintulot. Sa kasong ito, kahit na nahawahan, ang mga file ay hindi mai-encrypt.

Malamang, kumakalat ang virus sa pamamagitan ng mga na-hack na website, na nag-udyok sa mga user na mag-install ng update ng flash player:

Ang paunang pagsusuri ay nagpapakita na ang malware ay kumakalat sa pamamagitan ng isang bilang ng mga nahawaang Russian media site. Ang lahat ng mga palatandaan ay nagpapahiwatig na ito ay isang naka-target na pag-atake sa mga corporate network.

Matapos makapasok sa computer ng biktima, ini-encrypt ng malware ang mga file ng user. Upang maibalik ang access sa naka-encrypt na data, iminungkahi na magbayad ng ransom na 0.05 bitcoin, na sa kasalukuyang halaga ng palitan ay humigit-kumulang katumbas ng 283 US dollars o 15,700 rubles. Kasabay nito, nagbabala ang mga umaatake na kung maantala sila, tataas ang presyo para sa decryption.

Ang mga detalye tungkol sa scheme ng pamamahagi ng Bad Rabbit ay hindi pa magagamit. Hindi rin malinaw kung maaaring i-decrypt ang mga file. Ngunit alam na rin na karamihan sa mga biktima ng pag-atake ay nasa Russia. Bilang karagdagan, ang mga katulad na pag-atake ay naitala sa Ukraine, Turkey at Germany, ngunit sa mas maliit na bilang.

Iniulat din ng press service ng Kyiv Metro ang tungkol sa pag-atake ng hacker. Nagawa ng mga hacker na guluhin ang kakayahang magbayad para sa paglalakbay gamit ang mga contactless bank card. "Atensyon! Pag-atake sa cyber! Ang metro ay tumatakbo gaya ng dati, maliban sa mga serbisyo sa pagbabangko (pagbabayad gamit ang mga contactless bank card sa yellow turnstile o MasterPass),” ang opisyal na account ng Kyiv metro sa Facebook ulat.

Hinihiling ng mga umaatake sa kanilang mga biktima na sundan ang isang link na humahantong sa isang TOR site, kung saan inilunsad ang isang awtomatikong counter. Pagkatapos ng pagbabayad, ayon sa mga umaatake, ang biktima ay dapat makatanggap ng personal na decryption key.

Ang mga paraan ng pamamahagi at pagsasama-sama sa system ay hindi pa rin alam, at wala ring maaasahang impormasyon tungkol sa pagkakaroon ng mga decryption key.

Inirerekomenda ng kawani ng Kaspersky Lab ang mga sumusunod na aksyon:

I-block ang execution ng file c:\windows\infpub.dat, C:\Windows\cscc.dat.
Huwag paganahin (kung maaari) ang paggamit ng serbisyo ng WMI.

Maa-update ang post kapag naging available ang impormasyon.

Maaaring ito ay isang harbinger ng ikatlong alon ng mga virus sa pag-encrypt, naniniwala ang Kaspersky Lab. Ang unang dalawa ay ang kahindik-hindik na WannaCry at Petya (aka NotPetya). Sinabi ng mga eksperto sa cybersecurity sa MIR 24 tungkol sa paglitaw ng isang bagong malware sa network at kung paano protektahan laban sa malakas na pag-atake nito.

Karamihan sa mga biktima ng Bad Rabbit attack ay nasa Russia. Mayroong mas kaunting mga ito sa Ukraine, Turkey at Germany, nabanggit ng pinuno ng departamento ng pananaliksik sa anti-virus sa Kaspersky Lab. Vyacheslav Zakorzhevsky. Marahil, ang pangalawa sa pinaka-aktibong bansa ay ang mga bansa kung saan aktibong sinusubaybayan ng mga gumagamit ang mga mapagkukunan ng Internet sa Russia.

Kapag na-infect ng malware ang isang computer, ini-encrypt nito ang mga file dito. Ibinahagi ito gamit ang trapiko sa web mula sa mga na-hack na mapagkukunan ng Internet, kung saan pangunahin ang mga site ng pederal na Russian media, pati na rin ang mga computer at server ng Kyiv metro, ang Ukrainian Ministry of Infrastructure, at Odessa International Airport. Ang isang hindi matagumpay na pagtatangka na atakehin ang mga bangko ng Russia mula sa nangungunang 20 ay naitala din.

Ang katotohanan na ang Fontanka, Interfax at maraming iba pang mga publikasyon ay inatake ng Bad Rabbit ay iniulat kahapon ng Group-IB, isang kumpanya na dalubhasa sa seguridad ng impormasyon. Ang pagsusuri sa virus code ay nagpakita na Ang Bad Rabbit ay nauugnay sa Not Petya ransomware, na noong Hunyo sa taong ito ay inatake ang mga kumpanya ng enerhiya, telekomunikasyon at pananalapi sa Ukraine.

Ang pag-atake ay inihanda nang ilang araw at, sa kabila ng laki ng impeksyon, ang ransomware ay humiling ng medyo maliit na halaga mula sa mga biktima ng pag-atake - 0.05 bitcoin (iyon ay humigit-kumulang $283 o 15,700 rubles). 48 oras ang inilaan para sa pagtubos. Pagkatapos mag-expire ang panahong ito, tataas ang halaga.

Ang mga espesyalista ng Group-IB ay naniniwala na, malamang, ang mga hacker ay walang intensyon na kumita ng pera. Ang kanilang malamang na layunin ay suriin ang antas ng proteksyon ng mga kritikal na network ng imprastraktura ng mga negosyo, departamento ng gobyerno at pribadong kumpanya.

Madaling maging biktima ng pag-atake

Kapag bumisita ang isang user sa isang nahawaang site, ang malisyosong code ay nagpapadala ng impormasyon tungkol dito sa isang malayong server. Susunod, may lalabas na pop-up window na humihiling sa iyong mag-download ng update para sa Flash Player, na peke. Kung inaprubahan ng user ang operasyong "I-install", ang isang file ay mada-download sa computer, na maglulunsad naman ng Win32/Filecoder.D encryptor sa system. Susunod, ang pag-access sa mga dokumento ay mai-block, at isang mensahe ng ransom ay lalabas sa screen.

Ini-scan ng Bad Rabbit virus ang network para sa mga bukas na mapagkukunan ng network, pagkatapos nito ay naglulunsad ng tool sa nahawaang makina upang mangolekta ng mga kredensyal at ang "pag-uugali" na ito ay naiiba sa mga nauna nito.

Kinumpirma ng mga espesyalista mula sa internasyonal na developer ng anti-virus software na Eset NOD 32 na ang Bad Rabbit ay isang bagong pagbabago ng Petya virus, ang prinsipyo ng pagpapatakbo kung saan ay pareho - ang virus na naka-encrypt na impormasyon at humingi ng ransom sa bitcoins (ang halaga ay maihahambing sa Bad Rabbit - $300). Ang bagong malware ay nag-aayos ng mga error sa pag-encrypt ng file. Ang code na ginamit sa virus ay idinisenyo upang i-encrypt ang mga lohikal na drive, panlabas na USB drive at mga imahe ng CD/DVD, pati na rin ang mga bootable system disk partition.

Sa pagsasalita tungkol sa audience na inatake ng Bad Rabbit, Head of Sales Support sa ESET Russia Vitaly Zemskikh sinabi na 65% ng mga pag-atake na itinigil ng mga produkto ng antivirus ng kumpanya ay nangyari sa Russia. Ang natitirang bahagi ng heograpiya ng bagong virus ay ganito ang hitsura:

Ukraine – 12.2%

Bulgaria – 10.2%

Türkiye – 6.4%

Japan – 3.8%

iba pa – 2.4%

“Gumagamit ang ransomware ng isang kilalang open source software na tinatawag na DiskCryptor upang i-encrypt ang mga drive ng biktima. Ang lock message screen na nakikita ng user ay halos magkapareho sa Petya at NotPetya lock screen. Gayunpaman, ito ang tanging pagkakatulad na nakita natin sa pagitan ng dalawang malware. Sa lahat ng iba pang aspeto, ang BadRabbit ay isang ganap na bago at natatanging uri ng ransomware," sabi ng teknikal na direktor ng Check Point Software Technologies. Nikita Durov.

Paano protektahan ang iyong sarili mula sa Bad Rabbit?

Makahinga ng maluwag ang mga may-ari ng mga operating system maliban sa Windows, dahil ang bagong ransomware virus ay ginagawa lamang ang mga computer na may ganitong "axis" na mahina.

Upang maprotektahan laban sa malware sa network, inirerekomenda ng mga eksperto ang paggawa ng file na C:\windows\infpub.dat sa iyong computer, at pagtatakda ng mga read-only na karapatan para dito - madali itong gawin sa seksyon ng administrasyon. Sa ganitong paraan, haharangin mo ang pagpapatupad ng file, at ang lahat ng mga dokumentong darating mula sa labas ay hindi mai-encrypt kahit na nahawahan sila. Upang maiwasang mawalan ng mahalagang data sakaling magkaroon ng impeksyon sa virus, gumawa ng backup na kopya ngayon. At, siyempre, ito ay nagkakahalaga ng pag-alala na ang pagbabayad ng isang ransom ay isang bitag na hindi ginagarantiyahan na ang iyong computer ay maa-unlock.

Paalalahanan ka namin na kumalat ang virus sa hindi bababa sa 150 bansa sa buong mundo noong Mayo ng taong ito. Na-encrypt niya ang impormasyon at humiling na magbayad ng ransom, ayon sa iba't ibang mga mapagkukunan, mula 300 hanggang 600 dolyar. Mahigit 200 libong user ang naapektuhan nito. Ayon sa isang bersyon, kinuha ng mga tagalikha nito ang US NSA Eternal Blue malware bilang batayan.

Nakipag-usap si Alla Smirnova sa mga eksperto

Noong Oktubre 24, maraming user sa Ukraine at Russia ang “binisita ng Easter Bunny.” Tanging hindi siya nagdala ng mga regalo at kagalakan, ngunit isang malaking bilang ng mga problema. At pinangalanan nila ito nang naaayon - Bad Rabbit (o gaya ng isinulat ng ilang eksperto - BadRabbit). Sa ilalim ng pangalang ito na nagsimulang kumalat ang isa pang ransomware virus.

Sino ang nasaktan?

Ang unang impormasyon tungkol sa pag-atake ay lumitaw noong umaga ng Oktubre 24. Maraming kumpanyang pag-aari ng estado sa Ukraine (Kiev metro, Odessa airport) at Russia, pati na rin ang ilang media outlet, ang naapektuhan. Inatake rin ang mga institusyong pampinansyal, ngunit hindi sila nagawang saktan ng mga umaatake. Sa turn, ang mga kinatawan ng ESET ay nag-ulat na ang mga problema ay lumitaw hindi lamang sa Russia at Ukraine, kundi pati na rin sa Turkey, Japan at Bulgaria.

Matapos i-block ang PC, ipinaalam ng malware sa user na para ma-unlock ang data, dapat niyang ilipat ang 0.05 bitcoin (katumbas ng 280 USD) sa account ng mga umaatake.

Paano ito ipinamamahagi?

Walang alam tungkol sa eksaktong paraan ng pamamahagi ng malware. Napansin ng Group-IB na ang pag-atake ay inihanda sa loob ng ilang araw (bagama't ayon sa kinatawan ng Kaspersky Lab na si Costin Raiu, mas matagal ang paghahanda).

Gayunpaman, alam na ngayon na ang malware ay ipinamahagi sa ilalim ng pagkukunwari ng mga regular na pag-update ng Adobe Flash, nang hindi sinasamantala ang kapintasan ng SMB na dating ginamit ng WannaCry at NotPetya encryptors. Ngunit kahit dito ang mga opinyon ng mga eksperto ay naiiba.

Naniniwala ang Group-IB na ang Bad Rabbit ay isang pagbabago ng NotPetya, kung saan nagawa ng mga hacker na itama ang mga error sa algorithm ng pag-encrypt. Kasabay nito, napapansin ng mga kinatawan ng Intezer na ang malisyosong code ay 13% lamang ang magkapareho.

Ang ESET at Kaspersky Lab ay nakakuha ng isang medyo kawili-wiling posisyon: ang mga kumpanya ay hindi nag-aalis na ang "masamang kuneho" ay maaaring isang tagasunod ng NotPetya, ngunit huwag gumawa ng mga direktang pahayag tungkol dito.

Paano protektahan ang iyong computer?

Sa ngayon, ang pamamahagi ng ransomware ay nahinto na, ngunit napapansin ng mga eksperto na ito ay nagkakahalaga ng pag-aalaga upang protektahan ang iyong mga PC mula sa impeksyon. Upang gawin ito, lumikha ng mga file:

• C:\Windows\infpub.dat at C:\Windows\cscc.dat;
• alisin ang lahat ng mga pahintulot sa pagpapatupad mula sa kanila (i-block sila).

Maaari kong kumpirmahin — Pagbabakuna para sa

Gumagana ang BadRabbit virus bilang isang bagong banta sa crypto na nagawang gumawa ng kalituhan sa Silangang Europa. Ito ay gumagana nang katulad sa kasumpa-sumpa o ransomware na sumiklab sa cyberspace ilang buwan na ang nakalipas. Kung susuriing mabuti, bagama't may mga pagkakatulad, at pinaghihinalaan ng mga propesyonal sa IT na maaaring pareho ang developer, ngunit ang source code ay ganap na naiiba.

Sa ngayon, mahigit 200 na umano ang bilang ng mga biktima. Ang mga developer ay tila may matinding pag-ayaw para sa Russia at Ukraine, dahil ito ang dalawang bansang pinakanagdusa. Ang pangunahing target ay ang Odessa International Airport sa Ukraine at ilang mga media corporations sa Russia, kabilang ang Interfax, Fontanka.ru, atbp. Bilang karagdagan, ang pag-atake ay kumalat din sa mga kalapit na bansa tulad ng Turkey at Bulgaria.

Humimok ng pag-atake sa pamamagitan ng mga pekeng update sa Flash Player

Muli na namang ipinakita ng Adobe Flash Player ang tagumpay ng mga developer ng malware. Ang pangunahing nakakahamak na bahagi ng programa ay disguised bilang isang pekeng Flash update. Nagda-download ang malware bilang i-install_ flash_ manlalaro. exe file mula sa mga nasirang site. Ang BadRabbit ransomware ay maaari ding magpanggap bilang alternatibong mga pangalan ng file.

Tulad ng ipinapakita ng pagsusuri ng VirusTotal, ang banta ay maaaring nakatago sa isang partikular na "uninstaller." Sa kabutihang palad, ang impeksyon ay natukoy na ng karamihan sa mga aplikasyon ng seguridad. Sinasamantala ng malware ang ilang partikular na kahinaan sa mga SMB server, na nagpapaliwanag kung bakit nagagawa nitong tumagos sa mga server.

Pagkatapos ng pagsalakay ng Bad Rabbit, lumilikha ang ransomware C:\ Windows\ infpub. dat file. Samakatuwid, ito ay bumubuo ng mga sumusunod na file − C:\ Windows\ cscc. dat At C:\ Windows\ dispci. exe. Responsable sila sa pagbabago ng mga setting ng MBR. Kapansin-pansin, nag-aalok ang malware ng mga link sa mga character ng Game of Thrones. Ang BadRabbit malware ay lumilikha ng tatlong gawain, na pinangalanan sa serye pagkatapos ng tatlong dragon:

• C:\Windows\system32\rundll32.exe C:\Windows\infpub.dat,#1 15
• cmd.exe /c schtasks /Delete /F /TN rhaegal
• cmd.exe /c schtasks /Gumawa /RU SYSTEM /SC ONSTART /TN rhaegal /TR
• cmd.exe /c schtasks /Gumawa /SC minsan /TN drogon /RU SYSTEM /TR:00
• C:\Windows\AF93.tmp"\

Gumagamit din ito ng open source encryption service na tinatawag na DiskCryptor. Mamaya ito ay gumagamit ng karaniwang AE at RSA-2048 na mga paraan ng pag-encrypt. Ang mga ito ay dinisenyo para sa iba't ibang mga format ng file. Dahil ang Petya.A ay hindi nagdaragdag ng extension ng file, ngunit nakakasagabal sa mga setting ng Master Boot Record (MBR).

Nire-reboot nito ang system at ipinapakita ang parehong ransom note bilang NotPetya. Dinidirekta din nito ang mga biktima sa natatanging site ng pagbabayad nito. Saglit niyang ipinaalam sa kanila ang tungkol sa malware at humihingi ng ransom na 0.05 BTC. Sa sandaling matagumpay na nakapasok ang malware sa isang system, ginagamit nito ang Mimikatz upang makakuha ng teknikal na impormasyon tungkol sa iba pang mga device na nakikita sa parehong network.

Ang BadRabbit virus ay nagpapatuloy sa kalupitan ng Petya.
Paraan 1. (Safe Mode)
Piliin ang "Safe Mode with Networking" Paraan 1. (Safe Mode)
Piliin ang "Paganahin ang Safe Mode sa Networking"

Piliin ang "Safe Mode na may Command Prompt" Paraan 2. (System Restore)
Piliin ang "Paganahin ang Safe Mode na may Command Prompt"
Paraan 2. (System Restore)
I-type ang "cd restore" nang walang mga panipi at pindutin ang "Enter"
Paraan 2. (System Restore)
I-type ang "rstrui.exe" nang walang mga panipi at pindutin ang "Enter"
Paraan 2. (System Restore)
Sa lalabas na window na "System Restore", piliin ang "Next"
Paraan 2. (System Restore)
Piliin ang iyong restore point at i-click ang "Next"
Paraan 2. (System Restore)
I-click ang "Oo" at simulan ang pagbawi ng system ⇦ ⇨

Slide 1 mula sa 10

Halimbawa, o tulungan kang makilala ang isang impeksiyon. Makakatulong sa iyo ang naturang tool na magsagawa ng pagtanggal ng BadRabbit. Sa ibaba makikita mo ang mga tagubilin sa kung paano ibalik ang access sa iyong computer. Pagkatapos nito, magagawa mong alisin ang Bad Rabbit virus.

Pag-aalis sa BadRabbit Crypto Threat

Dahil sa mga partikular na pamamaraan ng pagpapatakbo nito, hindi nakakagulat kung bakit tinawag ang malware na susunod na Petya. Kung makatagpo ka ng cyber disaster na ito, sundin ang mga tagubilin sa ibaba. Dahil binago ng ransomware ang mga setting ng MBR, hindi mo magagawang i-boot kaagad ang iyong computer sa Safe Mode. Sundin ang mga tagubilin sa pag-reset ng MBR.

Pagkatapos nito, i-restart ang iyong computer sa safe mode, muling isaaktibo ang iyong mga application sa seguridad at alisin ang BadRabbit virus. Pagkatapos ng pag-scan, simulan ang iyong computer nang normal at ulitin ang pamamaraan. Kukumpirmahin nito na kumpleto na ang pag-alis ng Bad Rabbit. Pakitandaan na ang pag-aalis ng malware ay hindi nagpapanumbalik ng mga naka-encrypt na file. Subukang i-restore ang mga ito mula sa mga backup. Sa ibaba makikita mo ang ilang mga mungkahi.

Sa Windows 7:

1. Ipasok ang Windows 7 DVD.
2. Ilunsad ang DVD.
3. Piliin ang mga setting ng wika at keyboard. I-click Susunod.
4. Piliin ang iyong operating system, suriin ang Gamitin ang mga tool sa pagbawi at i-click Susunod.
5. Hintaying lumabas ang screen Mga Opsyon sa Pagbawi ng System at piliin Command line.
6. Ipasok ang sumusunod na mga utos at pindutin ang Enter pagkatapos ng bawat isa: bootrec / rebuildbcd, bootrec / fixmbr, andbootrec / fixboot.
7. Alisin ang pag-install ng DVD at i-restart ang iyong PC.

Sa Windows 8/10 system:

1. Ipasok ang installation DVD o USB recovery drive.
2. Pumili ng opsyon Pag-aayos ng iyong computer.
Pag-troubleshoot at pumunta sa Command line.
3. Ipasok ang mga sumusunod na command nang paisa-isa at pindutin Pumasok pagkatapos ng bawat: bootrec / FixMbr, bootrec / FixBoot, bootrec / Mga ScanO, At bootrec / RebuildBcd.
4. Alisin ang DVD o USB recovery.
5. I-type ang output at pindutin ang Enter.
6. I-restart ang iyong PC.