„Satan”, czyli ransomware i cryptojacking w pakiecie

Przeczytaj także: Raport McAfee Labs XII 2018: uwaga na IoT!

Jak działa „Satan”?

„Satan”, podobnie jak inne zagrożenia z rodziny ransomware, skupia się na szyfrowaniu plików swojej ofiary i żądaniu okupu za ich odblokowanie. Atakuje zarówno użytkowników Windowsa, jak i Linuksa. Do rozprzestrzeniania się w sieciach publicznych i prywatnych wykorzystuje licznie występujące luki w zabezpieczeniach. Ostatnio specjaliści firmy Fortinet dostrzegli zupełnie nowy jego wariant, który korzysta z jeszcze większego wachlarza podatności.

– Najważniejszą aktualizacją, którą zaobserwowano w FortiGuard, jest dodanie kilku eksploitów odpowiedzialnych za zdalne wykonywanie kodu aplikacji internetowych, które są również zaimplementowane w wersji dla Linuksa – wyjaśnia Robert Dąbrowski, szef zespołu inżynierów Fortinet w Polsce.

Żeby móc się rozprzestrzeniać, „Satan” przekierowuje adresy IP, a następnie, na każdym napotkanym adresie, skanuje i wykorzystuje całą listę swoich eksploitów. Ma również możliwość skanowania urządzenia pod kątem wykorzystania niektórych aplikacji, takich jak Drupal, XML-RPC, narzędzia firmy Adobe itp. Najprawdopodobniej jego celem jest zebranie statystyk ich wykorzystania, które mogą być wykorzystane do kolejnych ataków. Autorzy ransomware mogą go łatwo aktualizować w celu zaimplementowania eksploita przeciwko jednej z tych aplikacji, jeśli zauważą, że ma ona wystarczająco wielu użytkowników. W dodatku „Satan” jest już dostępny w modelu RaaS (Ransomware-as-a-Service), co umożliwia korzystanie z niego przez większą liczbę cyberprzestępców. Przekłada się to na większą częstotliwość i skalę ataków.

Z kolei użyty jako dodatkowa funkcja cryptojacking pozwala na wykorzystanie mocy obliczeniowej urządzenia – wbrew jego użytkownikowi – w celu wydobywania kryptowalut. Proceder ten oznacza dla ofiary szybsze zużywanie się podzespołów, zwłaszcza procesora, oraz zwiększony pobór energii, w konsekwencji prowadzący do naliczania wyższych rachunków za prąd.

Ransomware nie traci na popularności

Ataki z wykorzystaniem złośliwego oprogramowania służącego do wymuszania okupów należą do najbardziej spektakularnych, jakie miały miejsce w ostatnich latach. Przykładowo, cyberprzestępcy używający ransomware WannaCry zaatakowali za jego pomocą w 2017 roku cele w ponad stu państwach. Wśród ofiar znalazły się znane firmy i instytucje.

Według przeprowadzonego przez Fortinet badania, ransomware to najpoważniejszy problem, z jakim borykają się działające w Polsce firmy. Aktywności tego rodzaju złośliwego oprogramowania doświadczyła ponad połowa z nich, a 47% wskazuje na nie jako na największe możliwe zagrożenie bezpieczeństwa IT. Według danych Fortinet najczęściej występującym ransomware w Polsce w ostatnim czasie był GandCrab.

Ransomware jest także niebezpieczny dla użytkowników prywatnych.

– Atak zazwyczaj poprzedzony jest rozesłaniem phishingowej wiadomości e-mail, w której zawarty jest link prowadzący do pliku ze złośliwym oprogramowaniem lub zainfekowanej strony – wyjaśnia Robert Dąbrowski. – Dlatego jednym z najważniejszych elementów cyberhigieny jest zasada, aby nie otwierać podejrzanych wiadomości, ani tym bardziej nie klikać na zawarte w nich hiperłącza.