Czy szyfrujący Satan wywoła nową falę cyberataków?

Wykryty kilka dni temu ransomware o nazwie Satan nie jest ani innowacyjny, ani też specjalnie oryginalny. Jest za to diabelnie prosty w użyciu, bo po raz pierwszy w modelu RaaS (ransomware-as-a-service) zagrożeniu towarzyszy szczegółowa instrukcja siania zniszczenia dla początkujących. Ostrzegamy, że dzięki temu próg wejścia w przestępczy biznes ponownie się obniżył i wkrótce może przyciągnąć nowych amatorów złośliwego szyfrowania.

Co jest największym sprzymierzeńcem cyberprzestępców? Strach, który popycha ich ofiary do pożądanych działań np. wpłacania okupu za odzyskanie danych. Bandyci próbują wzmacniać efekt terroru na różne sposoby - np. wizualnym odliczaniem do skasowania danych ofiary lub niepokojącą nazwą wirusa zaczerpniętą z popkultury. Był więc już szyfrujący Voldemort, był i Hitler, a zatem wykorzystanie postaci diabła wydawało się jedynie kwestią czasu. Czy najnowszy wirus "ochrzczony" mianem Satan zasługuje na swoje biblijne miano? Na pierwszy rzut oka niekoniecznie, ale - jakżeby inaczej - diabeł tkwi w szczegółach. A tych twórcy zagrożenia przedstawiają na tyle dużo, by zainteresować wejściem w szyfrujący proceder nawet osoby o znikomej wiedzy informatycznej. Model RaaS pozwala wynająć od cyberprzestępców określone zagrożenie razem z jego know-how i zarabiać na infekowaniu cudzych komputerów np. szyfrowaniem ich danych. Ceną za wejście do przestępczego kręgu Satana jest 30% udziału w haraczach, które autorzy wirusa pobierają od wpłat na konto cyberprzestępcy. Ten udział można zmniejszyć skutecznie infekując coraz większe ilości komputerów, do czego zachęca promująca zagrożenie strona www.

To właśnie charakter tej strony daje do myślenia najbardziej - prawdopodobnie po raz pierwszy w historii modelu biznesowego RaaS dostawcy wirusa zadbali o tak klarowny instruktaż dla początkujących kryminalistów. Po rejestracji i zalogowaniu na stronie użytkownik otrzymuje dostęp do konsoli afiliacyjnej, krok po kroku prowadzącej go do stworzenia własnego narzędzia szyfrującego. Generując wirusa można m.in. określić wysokość okupu, liczbę dni, po których haracz jeszcze wzrośnie oraz mnożnik tego wzrostu. Autorzy strony zadbali też o porady jak wypromować "swojego" Satana implementując złośliwy kod w makrach dokumentów Microsoft Word. Takie zainfekowane ramki to obecnie najczęstszy mechanizm ataków szyfrujących - cyberprzestępcy zaszywają je w fałszywych dokumentach i zalewają nimi sieć wykorzystując kampanie spamowe. Wreszcie użytkownik Satana może przetłumaczyć notę okupu na inne języki, aby - cytując twórców strony - "ofiary lepiej zrozumiały, co się dzieje". Dbałość o "wygodę" wszystkich osób obcujących z zagrożeniem (nawet jako ofiary) na taką skalę jest w branży ransomware czymś nowym.

- Autorzy Satana reklamują go sloganami rodem z telezakupów - minimum pracy, maksimum zysku. My odpowiadamy: "i Ty możesz się bronić przed Satanem już dziś tworząc regularny backup swoich danych!". A zupełnie poważnie - dysponując aktualną kopią bezpieczeństwa uchronimy się przed ciemną stroną sieciowej mocy, nawet jeśli kolejne zagrożenie ochrzczone zostanie "Darth Vader".

Krystian Smętek

inżynier systemowy rozwiązań ShadowProtect SPX

Jak działa sam Satan? Szyfrując pliki ofiary zmienia ich rozszerzenia na .stn i wyświetla notę okupu w każdym zaatakowanym folderze. Po zakończeniu szyfrowania komendą cipher.exe (dostępną w systemach Windows od wersji 2000) wirus nadpisuje wszystkie dane kasowane na twardym dysku, uniemożliwiając próby ich odzyskania z wcześniejszych wersji plików. Jeśli przestraszona ofiara wpłaci oczekiwany haracz to na swojej podstronie cyberprzestępca zobaczy informację o wpłynięciu środków. Co zrobi potem? Być może przed wydaniem skradzionych pieniędzy zajrzy jeszcze do kolejnej zakładki - powiadomień. Tym kanałem autorzy zagrożenia mogą go poinformować np. o nowych opcjach kreatora Satanów. Niestety biorąc pod uwagę dbałość o UX (doświadczenie użytkownika) obecnej strony, tych aktualizacji może być całkiem sporo. Jeżeli nie chcemy, by nasze dane padły łupem takiej "nowinki" koniecznie zadbajmy o dedykowany system do backupu. Wiele osób sądzi, że wystarczającą ochroną jest trzymanie kopii plików w chmurze, ale jeśli chwilę po ataku chmura zsynchronizuje zarażone foldery z naszego dysku to zostaniemy z dwoma kompletami bezużytecznych danych.