Вирус Bad Rabbit: описание работы и методы очистки. Вирус-шифровальщик Bad Rabbit: новая угроза вашему ПК Новый вирус bad rabbit

Вирус-шифровальщик, известный как Bad Rabbit, атаковал десятки тысяч компьютеров на Украине, в Турции и Германии. Но больше всего атак пришлось на Россию. Что это за вирус и как защитить свой компьютер, рассказываем в нашей рубрике "Вопрос-ответ".

Кто пострадал в России от Bad Rabbit?

Вирус-шифровальщик Bad Rabbit начал распространяться 24 октября. В числе пострадавших от его действия значатся информагентство "Интерфакс", издание "Фонтанка.ру".

Также от действий хакеров пострадали метрополитен Киева и аэропорт Одессы. После стало известно о попытке взлома системы нескольких российских банков из топ-20.

По всем признакам это целенаправленная атака на корпоративные сети, поскольку используются методы, похожие на те, что наблюдались при атаке вируса ExPetr.

Новый вирус всем предъявляет одно требование: выкуп 0,05 биткоина. В пересчете на рубли это около 16 тысяч рублей. При этом он сообщает, что время на исполнение этого требования ограничено. На все про все дается чуть больше 40 часов. Далее плата за выкуп повысится.

Что это за вирус и как он работает?

Удалось уже выяснить, кто стоит за его распространением?

Выяснить, кто стоит за этой атакой, пока не удалось. Расследование только привело программистов к доменному имени.

Специалисты антивирусных компаний отмечают сходство нового вируса с вирусом Petya.

Но, в отличие от прошлых вирусов этого года, в этот раз хакеры решили пойти простым путем, сообщает 1tv.ru .

"По-видимому, преступники ожидали, что в большинстве компаний пользователи обновят свои компьютеры после двух этих атак, и решили испробовать достаточно дешевое средство - социальную инженерию, чтобы первое время относительно незаметно заражать пользователей", – сообщил руководитель отдела антивирусных исследований "Лаборатории Касперского" Вячеслав Закоржевский.

Как защитить свой компьютер от вируса?

Обязательно сделайте резервную копию вашей системы. Если вы используете для защиты Касперский, ESET, Dr.Web либо другие популярные аналоги, следует оперативно обновить базы данных. Также для Касперского необходимо включить "Мониторинг активности" (System Watcher), а в ESET применить сигнатуры с обновлением 16295, информирует talkdevice .

Если у вас нет антивирусников, заблокируйте исполнение файлов C:\Windows\infpub.dat и C:\Windows\cscc.dat. Делается это через редактор групповых политик либо программу AppLocker для Windows.

Запретите выполнение службы - Windows Management Instrumentation (WMI). Через правую кнопку войдите в свойства службы и выберите в "Тип запуска" режим "Отключена".

Третья масштабная кибератака за год. На этот раз вирус с новым названием Bad Rabbit и старыми повадками — шифрование данных и вымогание денег за разблокировку. И в зоне поражения по прежнему Россия, Украина и некоторые другие страны СНГ.

Плохой Кролик действует по привычной схеме: присылает фишинговое письмо со вложенным вирусом или ссылкой. В частности, злоумышленники могут представляться техподдержкой Microsoft и попросить срочно открыть вложенный файл или пройти по ссылке. Есть и другой путь распространения — поддельное окно обновления Adobe Flash Player. В обоих случаях Bad Rabbit действует также, как и нашумевший не так давно , он шифрует данные жертвы и требует выкуп в размере 0,05 биткойна, что примерно $280 по курсу на 25 октября 2017 года. Жертвами новой эпидемии стали «Интерфакс», питерское издание «Фонтанка», киевский Метрополитен, одесский аэропорт и Министерство культуры Украины. Есть данные, что новый вирус пытался атаковать и несколько известных российских банков, но эта затея провалилась. Эксперты связывают Bad Rabbit с предыдущими крупными атаками, зафиксированными в этом году. Доказательством тому служит схожее ПО шифрования Diskcoder.D, а это тот самый шифровальщик Petya, только слегка видоизмененный.

Как защититься от Bad Rabbit?

Специалисты рекомендуют владельцам Windows компьютеров создать файл «infpub.dat» и поместить его в папку Windows на диске «C». В итоге путь должен выглядеть следующим образом: C:\windows\infpub.dat. Сделать это можно при помощи обычного блокнота, но с правами Администратора. Для этого находим ссылку на программу «Блокнот», кликаем правой кнопкой мышки и выбираем «Запуск от имени Администратора».

Дальше нужно просто сохранить этот файл по адресу C:\windows\, то есть в папку Windows на диске «C». Название файла: infpub.dat, при этом «dat» это расширение файла. Не забудьте заменить стандартное расширение блокнота «txt» на «dat». После того, как вы сохраните файл, откройте папку Windows, найдите созданный файл infpub.dat, нажмите на него правой кнопкой мыши и выберите пункт «Свойства», где в самом низу нужно поставить галочку «Только чтение». Таким образом даже если вы поймаете вирус Плохого Кролика, он не сможет зашифровать ваши данные.

Превентивные меры

Не забывайте, что оградить себя от любого вируса можно просто соблюдая определенные правила. Прозвучит банально, но никогда не открывайте письма и уже тем более их вложения, если адрес кажется вам подозрительным. Фишинговые письма, то есть маскирующиеся под другие сервисы, наиболее частый способ заражения. Внимательно следите за тем, что вы открываете. Если в письме вложенный файл называется «Важный документ.docx_______.exe» то открывать этот файл точно не следует. Кроме этого нужно иметь резервные копии важных файлов. Например семейный архив с фотографиями или рабочие документы можно продублировать на внешний диск или на облачное хранилище. Не забывайте, как важно использовать лицензионную версию Windows и регулярно устанавливать обновления. Патчи безопасности выпускаются Microsoft регулярно и те, кто их устанавливает не имеют проблем с подобными вирусами.

Bad Rabbit – это вирус, относящийся к шифрующим вирусам-вымогателям. Появился он совсем недавно и нацелен главным образом на компьютеры пользователей России и Украины, а также частично Германии и Турции.

Принцип работы вирусов-шифровальщиков всегда один: попадая на компьютер, вредоносная программа шифрует файлы системы и данные пользователя, блокируя доступ к компьютеру посредством пароля. Все, что отображается на экране, – это окно вируса, требования злоумышленника и номер счета, на который тот требует перевести деньги для разблокировки. После массового распространения криптовалют стало популярно требовать выкуп именно в биткоинах, поскольку операции с ними крайне сложно отследить со стороны. Также поступает и Bad Rabbit. Он использует уязвимости операционной системы, в частности в Adobe Flash Player, и проникает под видом обновления для него.

После заражения BadRabbit создает в папке Windows файл infpub.dat, который создает остальные файлы программы: cscc.dat и dispci.exe, которые вносят свои изменения в настройки MBR диска пользователя и создают свои задачи подобно Планировщику задач. Эта вредоносная программа имеет свой персональный сайт для оплаты выкупа, пользуется сервисом шифрования DiskCryptor, шифрует методами RSA-2048 и AE, а также отслеживает все устройства, подключенные к данному компьютеру, пытаясь заразить и их тоже.

Согласно оценке Symantec вирус получил статус низкой угрозы, а также по утверждению специалистов был создан теми же разработчиками, что и вирусы, обнаруженные за пару месяцев до Bad Rabbit, NotPetya и Petya, поскольку имеет схожие алгоритмы работы. Впервые шифровальщик Bad Rabbit появился в октябре 2017 года и первыми его жертвами стали интернет-газета «Фонтанка», ряд СМИ и сайт информационного агентства «Интерфакс». Компания «Билайн» также была подвержена атаке, но угрозу удалось вовремя предотвратить.

Примечание: К счастью, на данный момент программы по обнаружению подобных угроз уже более эффективны, чем раньше, и риск заражения этим вирусом снизился.

Удаление вируса Bad Rabbit

Восстановление загрузчика

Как и в большинстве случаев подобного типа, для устранения угрозы можно попробовать восстановить загрузчик Windows. В случае с Windows 10 и Windows 8 для этого необходимо подключить установочный дистрибутив системы на USB или DVD, и, загрузившись с него, перейти к опции «Исправление вашего компьютера». После этого нужно перейти в «Устранение неполадок» и выбрать «Командную строку».

Теперь осталось ввести команды одну за другой, каждый раз нажимая Enter после ввода очередной команды:

1. bootrec /FixMbr
2. bootrec /FixBoot
3. bootrec /ScanOs
4. bootrec /RebuildBcd

После проведенных операций – выход и перезагрузка. Чаще всего этого хватает для решения проблемы.
Для Windows 7 действия те же, только там «Командная строка» находится в «Опциях системного восстановления» на установочном дистрибутиве.

Устранение вируса через Безопасный режим

Для использования этого способа необходимо войти в безопасный режим с поддержкой сети. Именно с поддержкой сети, а не простой Безопасный режим. В Windows 10 это можно сделать опять же через установочный дистрибутив. Загрузившись с него, в окне с кнопкой «Установить» необходимо нажать комбинацию из клавиш Shift+F10 и в поле ввести:

bcdedit /set {default} safeboot network

В Windows 7 можно просто несколько раз прожать F8 во время включения компьютера и в появившемся меню выбрать этот режим загрузки из списка.
После входа в безопасный режим главная цель – просканировать операционную систему на наличие угроз. Сделать это лучше через проверенные временем утилиты, такие как Reimage или Malwarebytes Anti-Malware.

Устранение угрозы с помощью Центра восстановления

Для использования данного способа необходимо снова задействовать «Командную строку», как из инструкции выше, а после ее запуска ввести cd restore и подтвердить нажатием Enter. После этого нужно ввести rstrui.exe. Откроется окно программы, в котором можно вернуться на предыдущую точку восстановления, предшествующую заражению.

24 октября российские СМИ, а также транспортные компании и государственные учреждения Украины подверглись атаке шифровальщика Bad Rabbit («Плохой кролик»). По данным открытых источников, в числе пострадавших Киевский метрополитен, аэропорт Одессы, Министерство инфраструктуры Украины, редакции «Интерфакса» и «Фонтанки».

По данным вирусной лаборатории ESET, в атаке на Киевский метрополитен использовалось вредоносное ПО Diskcoder.D - новая модификация шифратора, известного как Petya.

Специалисты по информационной безопасности из Group-IB установили, что атака готовилась несколько дней. В ESET предупреждают, что шифровальщик проникает в компьютер через поддельное обновление плагина Adobe Flash. После этого он заражает ПК и шифрует файлы на нем. Затем на мониторе появляется сообщение о том, что компьютер заблокирован, а для расшифровки файлов необходимо зайти на сайт Bad Rabbit - caforssztxqzf2nm.onion через браузер Tor.

Эпидемии шифровальщиков WannaCry и NotPetya показали, что необходимо вовремя обновлять установленные программы и систему, а также делать резервные копии, чтобы не остаться без важной информации после атаки вирусов.

Однако, если заражение произошло эксперты из Group-IB не рекомендуем платить выкуп, так как:

• таким образом вы помогаете преступникам;
• у нас нет доказательств, что данные тех, кто заплатил, были восстановлены.

Как защитить компьютер от заражения Bad Rabbit?

Чтобы не стать жертвой новой эпидемии Bad Rabbit («Плохой кролик»), специалисты «Лаборатории Касперского» рекомендуют сделать следующее:

Для пользователей антивирусных решений «Лаборатории Касперского»:

• Проверьте, включены ли в вашем защитном решении компоненты Kaspersky Security Network и «Мониторинг активности» (он же System Watcher). Если нет - обязательно включите.

Для тех, кто не пользуется антивирусными решениями «Лаборатории Касперского».

Вирус-шифровальщик Bad Rabbit, атаке которого накануне подверглись российские СМИ, пытался атаковать и российские банки из топ-20, рассказали Forbes в Group-IB, которая занимается расследованием и предотвращением киберпреступлений. Уточнить подробности об атаках на кредитные организации представитель компании отказался, пояснив, что Group-IB не раскрывает информацию о клиентах, использующих ее систему обнаружения вторжений.

По данным специалистов по кибербезопасности, попытки заражения вирусом инфраструктур российских банков происходили 24 октября с 13:00 до 15:00 мск. В Group-IB считают, что кибератаки продемонстрировали более качественную защиту банков по сравнению с компаниями небанковского сектора. Ранее в компании сообщили , что новый вирус-шифровальщик, вероятно, связанный с июньской эпидемией шифровальщика NotPetya (на это указывают совпадения в коде), атаковал российские СМИ. Речь шла об информационных системах агентства «Интерфакс», а также серверах петербургского новостного портала «Фонтанка». Кроме того, вирус ударил по системам Киевского метрополитена, министерства инфраструктуры Украины, Международного аэропорта «Одесса». NotPetya летом поразил энергетические, телекоммуникационные и финансовые компании преимущественно на Украине. За расшифровку файлов, зараженных вирусом BadRabbit, злоумышленники требуют 0,05 биткойна, что по текущему курсу примерно эквивалентно $283 или 15 700 рублям.

В «Лаборатории Касперского» уточнили, что в этот раз большинство жертв хакеры выбрали в России. Однако похожие атаки в компании зафиксировали на Украине, Турции и Германии, но «в значительно меньшем количестве». «Все признаки указывают на то, что это целенаправленная атака на корпоративные сети. Используются методы, похожие на те, что мы наблюдали в атаке ExPetr, однако связь с ExPetr мы подтвердить не можем», - сообщил представитель компании. Собеседник Forbes добавил, что все продукты «Лаборатории Касперского» «детектируют эти вредоносные файлы как UDS:DangerousObject.Multi.Generic».

Как защититься?

В целях защиты от этой атаки в «Лаборатории Касперского» рекомендовали использовать антивирус с включенным KSN и модулем «Мониторинг системы». «Если не установлено защитное решение «Лаборатории Касперского», мы рекомендуем запретить исполнение файлов с названиями c:\windows\infpub.dat и C:\Windows\cscc.dat с помощью инструментов системного администрирования», - посоветовал руководитель отдела антивирусных исследований «Лаборатории Касперского» Вячеслав Закоржевский.

В Group-IB отмечают, чтобы вирус не смог зашифровать файлы, «необходимо создать файл C:\windows\infpub.dat и поставить ему права «только для чтения». После этого даже в случае заражения файлы не будут зашифрованы, говорится в сообщении компании. В то же время нужно оперативно изолировать компьютеры, которые были замечены в пересылке подобных вредоносных файлов, чтобы избежать масштабного заражения других компьютеров, подключенных к сети. После этого пользователям необходимо убедиться в актуальности и целостности резервных копий ключевых сетевых узлов.

Когда первичные действия выполнены, пользователю советуют обновить операционные системы и системы безопасности, параллельно заблокировав IP-адреса и доменные имена, с которых происходило распространение вредоносных файлов. Group-IB рекомендует сменить все пароли на более сложные и поставить блокировку всплывающих окон, а также запретить хранение паролей в LSA Dump в открытом виде.

Кто стоит за атакой BadRabbit

В 2017 году уже было зафиксировано две крупнейших эпидемии шифровальщиков - WannaCry (атаковал 200 000 компьютеров в 150 странах мира) и ExPetr. Последний - Petya и одновременно NotPetya, отмечают в «Лаборатории Касперского». Теперь, по мнению компании, «начинается третья». Имя нового вируса-шифровальщика Bad Rabbit «написано на странице в даркнете, на которую его создатели отправляют за выяснением деталей», уточняют в компании. В Group-IB полагают, что Bad Rabbit является модифицированной версией NotPetya с исправленными ошибками в алгоритме шифрования. В частности, код Bad Rabbit включает в себя блоки, полностью повторяющие NotPetya.

В ESET Russia соглашаются, что использовавшееся в атаке вредоносное ПО «Win32/Diskcoder.D» – модифицированная версия «Win32/Diskcoder.C», более известного как Petya/NotPetya. Как уточнил Виталий Земских, руководитель поддержки продаж ESET Russia, в беседе с Forbes, статистика атак по странам «в значительной степени соответствует географическому распределению сайтов, содержащих вредоносный JavaScript». Таким образом, большая часть заражений пришлась на Россию (65%), следом идут Украина (12,2%), Болгария (10,2%), Турция (6,4%) и Япония (3,8%).

Заражение вирусом Bad Rabbit происходило после захода на взломанные сайты. На скомпрометированные ресурсы в HTML-код хакеры загрузили JavaScript-инжект, который показывал посетителям поддельное окно, предлагающее установить обновление Adobe Flash плеера. Если пользователь соглашался на обновление, то на компьютер устанавливался вредоносный файл с именем «install_flash_player.exe». «Заразив рабочую станцию в организации, шифратор может распространяться внутри корпоративной сети через протокол SMB. В отличие от своего предшественника Petya/NotPetya, Bad Rabbit не использует эксплойт EthernalBlue – вместо этого он сканирует сеть на предмет открытых сетевых ресурсов», - говорит Земских. Следом на зараженной машине запускается инструмент Mimikatz для сбора учетных данных. Кроме того, предусмотрен жестко закодированный список логинов и паролей.

Информации о том, кто организовал хакерские атаки пока нет. В то же время, по мнению Group-IB, похожие по характеру массовые атаки WannaCry и NotPetya могли быть связаны с хакерскими группировками, финансируемыми государствами. Специалисты делают такой вывод на основании того, что финансовая выгода от подобных атак в сравнении со сложностью их проведения «ничтожна». «Скорее всего это были не попытки заработать, а проверить уровень защиты сетей критической инфраструктуры предприятий, госведомств и частных компаний», - заключают эксперты. Представитель Group-IB подтвердил Forbes, что последний вирус - Bad Rabbit – может оказаться проверкой защиты инфраструктур госведомств и бизнеса. «Да, это не исключено. Учитывая, что атаки велись точечно - по объектам критической инфраструктуры - аэропорт, метрополитен, госучреждения», - поясняет собеседник Forbes.

Отвечая на вопрос о виновных в последней атаке, в ESET Russia подчеркивают, что используя только инструменты антивирусной компании, провести качественное расследование и установить причастных невозможно, это задача специалистов другого профиля. «Мы как антивирусная компания выявляем методы и цели атак, вредоносные инструменты атакующих, уязвимости и эксплойты. Поиск виновных, их мотивов, государственной принадлежности и прочее – не наша сфера ответственности», - заявил представитель компании, пообещав сделать выводы о назначении Bad Rabbit по итогам расследования. «К сожалению, в ближайшей перспективе мы увидим немало подобных инцидентов – вектор и сценарий данной атаки показали высокую эффективность», - делают прогнозы в ESET Russia. Собеседник Forbes напоминает, что на 2017 год компания прогнозировала рост числа целевых атак на корпоративный сектор, прежде всего, на финансовые организации (более чем на 50%, по предварительным оценкам). «В настоящее время эти прогнозы сбываются, мы наблюдаем рост числа атак в сочетании с увеличением ущерба пострадавших компаний», - признает он.