Zły królik szaleje po Europie
W ostatni wtorek (24.10) rano zidentyfikowano w internecie aktywność nowego oprogramowania wymuszającego okup o nazwie „Bad Rabbit”, przypominającego sposobem działania wcześniejsze ransomware WannaCry, czy NotPetya (w tym przypadku coraz popularniejsza jest teoria, iż celem nie było wymuszanie okupu, a jedynie usunięcie śladów po wcześniejszym, innym cyberataku). Celem ataków wydają się być głównie Rosja i Ukraina, obecność malware zidentyfikowano jednak również w Niemczech i Japonii, a de facto zagrożone są systemy w całej Europie. Szczyt ataku zakończył się po kilku godzinach, jednak kolejne ofiary są wciąż identyfikowane.
Według analityków ESET 65% przypadków zidentyfikowano w Rosji (m.in. Interfax i Fontanka.ru), 12,2% na Ukrainie (w tym lotnisko w Odessie i kijowskie metro), 10,2% w Bułgarii, istotna liczba urządzeń została zainfekowana również m.in. w Turcji, Japonii, Niemczech. CERT Orange Polska stwierdził jeden przypadek próby ściągnięcia instalatora Bad Rabbit, jednak dostęp do domen odpowiadających temu oprogramowaniu jest zablokowany w sieci Orange Polska od momentu rozpoznania ataku. Celem ataku są głównie sieci firmowe, z naciskiem na media, obecnie mówi się o 200 dotkniętych atakiem podmiotach. Zajmująca się cyberbezpieczeństwem rosyjska firma Group-IB twierdzi, że praca wielu firm w tym kraju została całkowicie sparaliżowana z powodu zaszyfrowania stanowisk pracy i serwerów.
Według ekspertów, Bad Rabbit był dystrybuowany pod pozorem aktualizacji Adobe Flash, po odwiedzeniu przejętych przez cyberprzestępców stron rosyjskich mediów. Po wejściu na wydawać by się mogło zaufaną witrynę pojawiał się komunikat o konieczności aktualizacji Flasha, a po uruchomieniu pliku „install_flash_player.exe” i zatwierdzeniu dodatkowych uprawnień administracyjnych komputer był szyfrowany. Złośliwe oprogramowanie użyte do szyfrowania to Diskcoder.D – nowy wariant ransomware znanego jako Petya. Cena za odszyfrowanie to 0,05 bitcoina, czyli obecnie ok. 280 dolarów. Pomijając fakt, iż płacenie autorom ransomware za odszyfrowanie danych zachęca ich do tego typu aktywności, obecnie – podobnie jak w przypadku NotPetya – nie ma pewności, czy odszyfrowanie dysków będzie możliwe.
