Ряд компаний и крупных корпораций в Израиле стали жертвами кибератак с использованием нового вымогательского ПО под названием Pay2Key. Первые атаки были зафиксированы специалистами из компании Check Point в конце октября нынешнего года, и теперь их число увеличилось.
По словам специалистов, преступники обычно осуществляют атаки после полуночи, когда в компаниях работает меньше IT-сотрудников. Вредонос Pay2Key, предположительно, проникает в сеть организаций через слабо защищенное RDP-соединение (протокол удаленного рабочего стола). Злоумышленники получают доступ к корпоративным сетям «за некоторое время до атаки», а вредоносное ПО способно зашифровать сеть жертвы за час.
Проникнув в локальную сеть, хакеры устанавливают на одном из устройств прокси-сервер для обеспечения связь всех копий вредоноса с C&C-сервером. Запуск полезной нагрузки (Cobalt.Client.exe) осуществляется удаленно с помощью легитимной утилиты PsExec.
Многочисленные артефакты компиляции указывают на то, что у вымогателя есть и другое название — Cobalt. Хотя личность злоумышленников остается неизвестной, формулировки в различных строках кода, написанные на ломанном английском, позволяют предположить, что злоумышленник не является носителем английского языка.
Новый вымогатель написан на языке C++ и не имеет аналогов на подпольном рынке. Он шифрует файлы ключом AES, а для связи с C&C-сервером использует RSA-ключи. Таким же образом Pay2Key получает конфигурационный файл со списком расширений для шифрования, шаблоном сообщения с требованием выкупа и т.п.
После завершения шифрования во взломанных системах остаются записки с требованием выкупа. Группировка Pay2Key обычно требует выкуп в размере от 7 до 9 биткойнов (примерно от $110 до $140 тыс.). Схема шифрования преступников выглядит надежной (с использованием алгоритмов AES и RSA), и, к сожалению, в настоящее время эксперты не смогли разработать бесплатную версию дешифратора для жертв.