HermeticRansom: шифровальщик как прикрытие для вайпера | Блог Касперского

Шифровальщик HermeticRansom используется в качестве прикрытия для вайпера HermeticWiper.

Наши исследователи проанализировали зловред HermeticRansom, известный также как Elections GoRansom. По большому счету, это достаточно несложный шифровальщик. Но в данном случае интересна цель, с которой его применяют атакующие.

Цель шифровальщика HermeticRansom

HermeticRansom атаковал компьютеры одновременно с другим зловредом, известным как HermeticWiper — и судя по информации, собранной сообществом ИБ-экспертов, использовался в недавних кибератаках на Украине. По мнению наших экспертов, сравнительная простота и не самая эффективная имплементация зловреда говорит о том, что HermeticRansom применяли в качестве «дымовой завесы» для атак HermeticWiper.

Что делает HermeticRansom

Попав на компьютер жертвы, зловред для начала идентифицирует жесткие диски и собирает список директорий и файлов, расположенных везде, кроме корневых папок Windows и Program Files. Затем он шифрует файлы определенных категорий и переименовывает их, присоединяя к названию метку .encrypted и почтовый адрес вымогателей. Также зловред создает в папке Desktop файл read_me.html с запиской о выкупе и контактами злоумышленников. Записка выглядит следующим образом:

Записка о выкупе, оставляемая зловредом HermeticRansom

HermeticRansom интересуется файлами со следующими расширениями: .inf, .acl, .avi, .bat, .bmp, .cab, .cfg, .chm, .cmd, .com, .crt, .css, .dat, .dip, .dll, .doc, .dot, .exe, .gif, .htm, .ico, .iso, .jpg, .mp3, .msi и odt.

Особенности зловреда HermeticRansom

HermeticRansom написан на языке Golang. В нем не используются никакие механизмы обфускации, а сам применяемый метод шифрования достаточно громоздок и малоэффективен. Судя по этим и некоторым другим признакам, зловред создавался в спешке.

Более подробный технический разбор зловреда вместе с индикаторами компрометации можно найти в посте на нашем экспертном блоге Securelist.

Как оставаться в безопасности

Защитные решения «Лаборатории Касперского» успешно детектируют шифровальщик HermeticRansom и ему подобные угрозы. У нас есть ряд инструментов, позволяющих защитить как домашние компьютеры, так и корпоративную инфраструктуру. В том числе:

• Kaspersky Internet Security — мультиплатформенное защитное решение для домашних пользователей;
• Kaspersky Endpoint Security for Business — решение для защиты бизнеса.

02.03.2022