{"id":2039,"date":"2019-12-16T08:10:00","date_gmt":"2019-12-16T07:10:00","guid":{"rendered":"https:\/\/xopero.com\/blog\/?p=2039"},"modified":"2024-05-15T17:30:13","modified_gmt":"2024-05-15T15:30:13","slug":"ryuk-uszkadza-pliki-revil-grozi-niepokornym-ofiarom","status":"publish","type":"post","link":"https:\/\/xopero.com\/blog\/pl\/ryuk-uszkadza-pliki-revil-grozi-niepokornym-ofiarom\/","title":{"rendered":"Ryuk uszkadza pliki \/ REvil grozi niepokornym ofiarom"},"content":{"rendered":"\n

Czy rok 2020 zdominuj\u0105 newsy o hackerach publikuj\u0105cych w sieci dane niepokornych ofiar? Co je\u015bli faktycznie tak si\u0119 stanie? Firmy b\u0119d\u0105 musia\u0142y przesta\u0107 chowa\u0107 g\u0142ow\u0119 w piasek, a zacz\u0105\u0107 traktowa\u0107 atak ransowmare jak kradzie\u017c danych\u2026. Kt\u00f3r\u0105 faktycznie on jest. Nie oszukujmy si\u0119, \u017ce przed zaszyfrowaniem plik\u00f3w hackerzy nie zbieraj\u0105 wszystkich mo\u017cliwych informacji, kt\u00f3re mo\u017cna w jakikolwiek spos\u00f3b zmonetyzowa\u0107. Pokazuj\u0105 to liczne kampanie o kt\u00f3rych pisali\u015bmy w przesz\u0142o\u015bci. Tylko w tym zestawieniu donosimy wam o nowych dzia\u0142aniach tw\u00f3rc\u00f3w ransowmare Ryuk oraz REvil. Dowiecie si\u0119 r\u00f3wnie\u017c o nowych metodach ochrony przez phishingiem (Google Chrome), o kradzie\u017cy danych dzi\u0119ki manipulacji napi\u0119cia procesora, czy ostatniej aktualizacji od Microsoft. <\/p>\n\n\n\n

Zestawienie rozpoczynany od informacji nt. ransomware Ryuk, a dok\u0142adnie…<\/p>\n\n\n\n\n\n\n\n

<\/div>\n\n\n\n<\/a>\n\n\n

1. Deszyfrator Ryuk uszkadza wi\u0119ksze pliki, wi\u0119c nawet je\u015bli zap\u0142acisz nic nie zyskasz\u2026<\/strong> <\/h2>\n\n\n

Ryuk jest dobrze znany organizacjom oraz firmom<\/a> z sektora prywatnego od lat. To jeden z bardziej \u201eudanych\u201d ransomware, generuj\u0105cy przest\u0119pcom ogromne zyski. Zwykle atak odbywa si\u0119 za po\u015brednictwem innego malware\u2019a, kt\u00f3ry dzia\u0142a\u00a0 ju\u017c w systemie ofiary. Po zainfekowaniu, Ryuk sieje spustoszenie szyfruj\u0105c dane za pomoc\u0105 kombinacji RSA i AES.<\/p>\n\n\n\n

Analiza Ryuk pokazuje, \u017ce posiada on kilka bardzo interesuj\u0105cych funkcji. Jedn\u0105 z nich jest mo\u017cliwo\u015b\u0107 tylko cz\u0119\u015bciowego szyfrowania danych. W momencie kiedy zagro\u017cenie natrafi na  plik wi\u0119kszy ni\u017c 57000,000 bajt\u00f3w (lub 54.4 MB) szyfrowane s\u0105 tylko niekt\u00f3re jego cz\u0119\u015bci. Celem przest\u0119pc\u00f3w jest zaoszcz\u0119dzenie czasu i maksymalne przyspieszenie procesu szyfrowania zasob\u00f3w\u2026. zanim ktokolwiek zorientuje si\u0119, \u017ce dzieje si\u0119 co\u015b podejrzanego. <\/p>\n\n\n\n

Pliki tylko cz\u0119\u015bciowo zaszyfrowane posiadaj\u0105 inne rozszerzenia. Obok standardowego znacznika _HERMES znajduj\u0105 si\u0119 r\u00f3wnie\u017c informacja jak wiele z 1 000 000 bajt\u00f3w blok\u00f3w zosta\u0142o zaszyfrowanych. Jej brak jednoznacznie wskazuje, \u017ce plik zosta\u0142 zaszyfrowany w ca\u0142o\u015bci. <\/p>\n\n\n

Co z tego? <\/h6>\n\n\n

Wraz z wydaniem ostatnich wersji Ryuk, przest\u0119pcy zmienili mechanizm zliczaj\u0105cy ilo\u015b\u0107 zaszyfrowanych blok\u00f3w pliku. Obecnie deszyfrator dostarczony przez jego tw\u00f3rc\u00f3w obcina zbyt wiele bajt\u00f3w podczas odszyfrowywania. W zale\u017cno\u015bci od wielko\u015bci oraz typu pliku mo\u017ce wywo\u0142a\u0107 to dodatkowe problemy. W najlepszym wypadku odci\u0119ty bajt nie by\u0142 u\u017cywany \u2013 mamy wtedy do czynienia z wyr\u00f3wnywaniem pliku do okre\u015blonych granic rozmiaru pliku. Jednak wiele format\u00f3w takich jak obrazy dysku VHD\/VHDX lub bazy danych (np. Oracle) przechowuj\u0105 istotne dane w brakuj\u0105cych bajtach. W takiej sytuacji uszkodzenia uniemo\u017cliwiaj\u0105 poprawne zamontowanie lub otwarcie pliku po jego odszyfrowaniu.<\/p>\n\n\n

Ryuk zaatakowa\u0142, co mo\u017ce zrobi\u0107 ofiara? <\/strong> <\/h6>\n\n\n

Odzyska\u0107 dane z backupu. Jest to najrozs\u0105dniejsze i najpewniejsze rozwi\u0105zanie. Nie warto pok\u0142ada\u0107 nadziei w dobrej woli przest\u0119pc\u00f3w. Co jednak je\u015bli firma zdecyduje si\u0119 na zap\u0142acenie okupu? Specjali\u015bci doradzaj\u0105, aby organizacja, kt\u00f3ra pad\u0142a ofiar\u0105 nowej wersji Ryuk zachowa\u0142a kopie zaszyfrowanych przez ransowmare danych. Jest to wa\u017cne poniewa\u017c dekryptor na zako\u0144czenie procesu odszyfrowywania, usuwa zaszyfrowane dane z urz\u0105dzenia ofiary. Je\u015bli dojdzie do uszkodzenia plik\u00f3w – bez kopii zaszyfrowanych danych – niewiele mo\u017cna ju\u017c z tym faktem pocz\u0105\u0107.<\/p>\n\n\n\n

\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n

\"Ryuk<\/a><\/figure><\/div>\n\n\n\n
<\/div>\n\n\n\n<\/a>\n\n\n

2. U\u017cywasz danych logowania, kt\u00f3re wyp\u0142yn\u0119\u0142y ju\u017c do sieci? Od teraz Chrome ci\u0119 o tym ostrze\u017ce<\/strong> <\/h2>\n\n\n

Google Chrome ma now\u0105 funkcj\u0119. Teraz je\u015bli Twoje dane uwierzytelniaj\u0105ce zostan\u0105 wykradzione, Chrome ci\u0119 o tym poinformuje.<\/p>\n\n\n\n

Za ka\u017cdym razem, gdy u\u017cytkownik zaloguje si\u0119 do dowolnej us\u0142ugi za pomoc\u0105 przegl\u0105darki Chrome, sprawdzi ona dane uwierzytelniaj\u0105ce w bazie rekord\u00f3w pochodz\u0105cych ze znanych wyciek\u00f3w. Co si\u0119 stanie je\u015bli rekordy si\u0119 pokryj\u0105? Chrome wy\u015bwietli komunikat, a u\u017cytkownik zyska troch\u0119 czasu na zabezpieczenie konta, zmian\u0119 has\u0142a i (mamy nadziej\u0119) ustawienie 2FA.<\/p>\n\n\n\n

Wcze\u015bniej Chrome by\u0142 w stanie identyfikowa\u0107 wykradzione dane za pomoc\u0105 pluginu o nazwie Password Checkup. Teraz jednak jest to funkcja samej przegl\u0105darki.<\/p>\n\n\n\n

Phishing vs. u\u017cytkownik<\/strong><\/p>\n\n\n\n

Google usprawni\u0142 tak\u017ce dotychczasow\u0105 ochron\u0119 przed atakami typu phishing. Do tej pory wykorzystywa\u0142 on do tego celu baz\u0119 aktualizowan\u0105 co 30 minut. Hakerzy jednak wielokrotnie udowadniali, \u017ce potrafi\u0105 tworzy\u0107 strony phishingowe wystarczaj\u0105co szybko, by zmie\u015bci\u0107 si\u0119 30-minutowym oknie Google. Celem firmy sta\u0142o si\u0119 wi\u0119c wprowadzenie monitoringu w czasie rzeczywistym \u2013 kt\u00f3ry zdaniem ekspert\u00f3w \u2013 pozwala zmniejszy\u0107 ilo\u015b\u0107 atak\u00f3w o 30%. Ca\u0142a operacja przebiega dwuetapowo. Najpierw Chrome sprawdza, czy adres strony na kt\u00f3r\u0105 chce wej\u015b\u0107 u\u017cytkownik znajduj\u0119 si\u0119 na li\u015bcie tysi\u0119cy witryn, kt\u00f3re ciesz\u0105 si\u0119 pozytywn\u0105 renom\u0105. Je\u015bli nie znajdzie na niej tego konkretnego adresu, w kolejnym kroku Chrome sprawdza adres URL w Google (po usuni\u0119ciu nazwy u\u017cytkownika lub has\u0142a osadzonego w adresie URL) by okre\u015bli\u0107, czy nie jest ona przypadkiem niebezpieczna.<\/p>\n\n\n\n

Nowe narz\u0119dzie debiutuje wraz z Chrome 79.<\/p>\n\n\n\n

Nie tylko Google\u2026<\/strong><\/p>\n\n\n\n

Mozilla oferuje zbli\u017cone rozwi\u0105zanie. Firefox Monitor pozwala sprawdza\u0107, czy Tw\u00f3j adres email oraz powi\u0105zane z nim dane nie pad\u0142y \u0142upem przest\u0119pc\u00f3w. Dodatkowo u\u017cytkownik mo\u017ce ustawi\u0107 monitoring interesuj\u0105cych go adres\u00f3w mailowych i otrzymywa\u0107 ostrze\u017cenia, je\u015bli kt\u00f3ry\u015b z nich wycieknie w przysz\u0142o\u015bci.<\/p>\n\n\n\n

\u0179r\u00f3d\u0142o: 1<\/a> | 2<\/a><\/p>\n\n\n\n

<\/div>\n\n\n\n<\/a>\n\n\n

3. Hackerzy od REvil informuj\u0105, \u017ce b\u0119d\u0105 wrzuca\u0107 do sieci dane niepokornych ofiar\u2026 naprawd\u0119<\/strong> <\/h2>\n\n\n

Tw\u00f3rcy REvil Ransomware (znanego r\u00f3wnie\u017c pod nazw\u0105 Sodinokibi) og\u0142osili, \u017ce zaczynaj\u0105 wykorzystywa\u0107 skradzione dane jako tzw. argument si\u0142owy do tego by sk\u0142oni\u0107 ofiary do zap\u0142acenia okupu. <\/p>\n\n\n\n

Trend 2020?<\/strong><\/p>\n\n\n\n

Tw\u00f3rcy ransomware przyjmuj\u0105 now\u0105 taktyk\u0119. Jest ni\u0105 ujawnianie danych, je\u015bli firma nie zap\u0142aci okupu. Dot\u0105d przest\u0119pcy grozili w ten spos\u00f3b swoim ofiarom, ale zawsze ko\u0144czy\u0142o si\u0119 tylko na… gro\u017abach. Id\u0105 jednak nowe czasy. Niekoniecznie lepsze.<\/p>\n\n\n\n

Swoje gro\u017aby spe\u0142nili ju\u017c tw\u00f3rcy ransomware Maze. Pod koniec listopada ich ofiar\u0105 pad\u0142o Allied Universal. Firma odm\u00f3wi\u0142a zap\u0142acenia pieni\u0119dzy, w efekcie czego przest\u0119pcy opublikowali na jednym z for\u00f3w 700MB wykradzionych danych. <\/p>\n\n\n\n

Teraz tak\u017ce autorzy REvil informuj\u0105, \u017ce b\u0119d\u0105 wrzuca\u0107 do sieci dane niepokornych ofiar. Jeden z hacker\u00f3w wyst\u0119puj\u0105cy pod nickiem UNKN (oficjalny \u201crzecznik\u201d grupy) twierdzi, \u017ce to w\u0142a\u015bnie oni stoj\u0105 za g\u0142o\u015bnym atakiem na CyrusOne. Zanim jednak ransomware zaszyfrowa\u0142 ca\u0142\u0105 sie\u0107, przest\u0119pcy wykradli dane. Teraz gro\u017c\u0105, \u017ce je\u015bli firma nie zap\u0142aci okupu, dane albo zostan\u0105 upublicznione albo zwyczajnie sprzedane konkurencji. Ca\u0142o\u015b\u0107 kwituj\u0105 stwierdzeniem: RODO. Nie chcesz p\u0142aci\u0107 nam – zap\u0142a\u0107 x10 razy wi\u0119cej swojemu rz\u0105dowi. \u017baden problem<\/em><\/strong>.<\/p>\n\n\n\n

Potencjalnie mo\u017ce doj\u015b\u0107 do ujawnienia dokumentacji medycznej pracownik\u00f3w, danych osobowych, list p\u0142ac, itp. Ponadto trzeba si\u0119 liczy\u0107 z tym, \u017ce skradzione mog\u0142y zosta\u0107 tak\u017ce dane firm trzecich\u2026 Je\u015bli w\u0142a\u015bnie tak b\u0119dzie wygl\u0105da\u0107 najbli\u017csza przysz\u0142o\u015b\u0107, firmy b\u0119d\u0105 musia\u0142y zacz\u0105\u0107 traktowa\u0107 ataki ransowmare jak kradzie\u017ce danych.<\/p>\n\n\n\n

\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n

<\/div>\n\n\n\n<\/a>\n\n\n

4. Hakerzy mog\u0105 kra\u015b\u0107 dane z Intel SGX<\/a> modyfikuj\u0105c napi\u0119cie procesora<\/strong> <\/h2>\n\n\n

Wykorzystuj\u0105c luk\u0119 Plundervolt i manipuluj\u0105c napi\u0119ciem procesor\u00f3w Intel korzystaj\u0105cych z SGX mo\u017cna wydobywa\u0107 poufne dane z pami\u0119ci, w tym klucze szyfrowania RSA. <\/p>\n\n\n\n

Zacznijmy od pocz\u0105tku.<\/strong> Intel Software Guard Extensions (SGX) to technologia obecna w nowoczesnych procesorach Intel, pozwalaj\u0105ca uk\u0142adom Intel Core na stworzenie bezpiecznej enklawy w pami\u0119ci, gdzie przechowywane s\u0105 m.in. klucze kryptograficzne. Producent zapewnia, \u017ce jest to rozwi\u0105zanie o najwy\u017cszym stopniu kontroli i ochrony, cho\u0107 nieraz s\u0142yszeli\u015bmy o mo\u017cliwo\u015bci prze\u0142amania tej izolacji. Nigdy jednak, nie by\u0142o to wykonalne w tak prosty spos\u00f3b\u2026<\/p>\n\n\n\n

Zesp\u00f3\u0142 naukowc\u00f3w z uniwersytet\u00f3w w Wielkiej Brytanii, Austrii i Belgii opracowa\u0142 nowy atak o nazwie Plundervolt, kt\u00f3ry mo\u017ce zagrozi\u0107 tajemnicom Intel SGX. <\/p>\n\n\n

Przebieg ataku<\/h6>\n\n\n

Atak Plundervolt wykorzystuje funkcj\u0119 dynamicznego skalowania napi\u0119cia, kt\u00f3r\u0105 posiadaj\u0105 procesory Intela wyposa\u017cone w tzw. rejestry MSR (Model Specific Registers). Umo\u017cliwiaj\u0105 one sterowanie specyficznymi funkcjami czipu. Pozwalaj\u0105 m.in. na przekazanie programom trybu u\u017cytkownika kontroli nad napi\u0119ciem zasilaj\u0105cym i regulacj\u0119 nim z poziomu systemu operacyjnego czy te\u017c lepsze skalowanie zegara do konkretnych aplikacji. <\/p>\n\n\n\n

Wydaje si\u0119, \u017ce manipulacja napi\u0119ciem nie mo\u017ce nikomu zaszkodzi\u0107 – bo nawet gdy ustawimy zbyt wysok\u0105 lub nisk\u0105 warto\u015b\u0107, zabezpieczenie przepi\u0119ciowe po prostu odetnie komputer od zasilania. Ale co w sytuacji, gdy jest ono wystarczaj\u0105co wysokie, aby utrzyma\u0107 jednostk\u0119, jednocze\u015bnie uniemo\u017cliwiaj\u0105c jej uzyskanie pe\u0142ni stabilno\u015bci? Wtedy wkracza Plundervolt…<\/p>\n\n\n\n

Okazuje si\u0119, \u017ce zbyt niskie napi\u0119cie prowadzi do b\u0142\u0119d\u00f3w obliczeniowych w obr\u0119bie enklawy SGX, a nast\u0119pnie analizy r\u00f3\u017cnicowej ataku z tekstem jawnym. Efekt? Ujawnienie kluczy prywatnych i innych danych w niej przechowywanej. Zobaczcie jak wygl\u0105da ten atak: <\/p>\n\n\n\n

\n