В полку вымогателей пополнение. Исследователи безопасности из Recorded Future и MalwareHunterTeam представили профессиональный ransomware картель с большим набором настраиваемых функций, позволяющих атаковать широкий спектр корпоративных сред. Знакомьтесь, ALPHV (или BlackCat)! BlackCat - первая профессиональная группа программ-вымогателей, использующая профессиональный штамм на языке программирования Rust и насчитывающая к настоящему времени не менее 10 жертв в США, Австралии и Индии. По мнению исследователей, автором ALPHV (BlackCat) может быть один из участников печально известной REvil. Следуя модели REvil, с начала декабря новая программа как услуга под названием ALPHV продвигается на XSS и Exploit, предлагая сотрудничество и участие в купаных атаках с целью получения выкупа. По итогу аффилированным лицам выдают образцы ALPHV (BlackCat) с возможностью шифрования данных в системах Windows, Linux и VMWare eSXI, обещая комиссионные в зависимости от размера выкупа. Например, при выплате выкупа до 1,5 миллиона долларов партнерская программа зарабатывает 80%, 85% - до 3 миллионов и 90% выплат более 3 миллионов. Установить начальный вектор входа BlackCat пока не удалось, дальнейшая схема работы вымогателей мало чем отличается от уже известных групп и включает двойное вымогательство с угрозой утечек похищенных конфиденциальных данных. В качестве дополнительного аргумента злоумышленники угрожают жертвам DDoS до тех пор, пока они не заплатят выкуп. BlackCat имеет несколько сайтов утечек с различными URL-адресами, на каждом из которых публикуются данные одной или двух жертв, что объясняется их обслуживанием филиалами ALPHV. Программа-вымогатель BlackCat включает в себя множество расширенных функций, которые выделяют ее среди других программ-вымогателей. Ransomware полностью управляется из командной строки и имеет различные настройки, с возможностью использовать разные процедуры шифрования, распространения между компьютерами, уничтожения виртуальных машин и ESXi, а также способна автоматически стирать моментальные снимки ESXi для предотвращения восстановления. Шифрование может быть реализовано с использованием 2 алгоритмов ChaCha20 или AES, а также в нескольких режимах: ⁃ Full: полное шифрование файлов. ⁃ Fast: шифрование первых N мегабайт. ⁃ DotPattern: шифрование N мегабайт через M шаг. ⁃ Auto: в зависимости от типа и размера файлов выбирается наиболее оптимальная (с точки зрения скорости и стойкости) модель шифрования. ⁃ SmartPattern: шифрование N мегабайт с шагом в процентах (по умолчанию он шифрует 10 мегабайт каждые 10% файла, начиная с заголовка). BlackCat также использует API диспетчера перезапуска Windows для закрытия процессов или завершения работы служб Windows, сохраняя файл открытым во время шифрования. Заметки о выкупе предварительно настраиваются аффилированным лицом, выполняющим атаку, и различаются для каждой жертвы. Изменения коснулись и процесса переговоров: разработчики ALPHV ввели токен, который используется для создания ключа доступа, необходимого для входа в переговорный чат на платежном сайте в Tor. Поскольку этот токен не включен в образец вредоносного ПО, при попадании на сайты анализа ВПО исследователи не смогут получать доступ доступ к переговорным чатам, как это было ранее. Исследователи отмечают, что BlackCat смогли обойти предшественников, в частности BadBeeTeam, BuerLoader и FickerStealer, и создать по-настоящему боевой штамм ransomware в Rust, что значительно усложняет ПО с точки зрения поиска уязвимостей кода, позволяющих обнаружить возможные решения для дешифровки данных. Выводы подтвердил Майкл Гиллеспи, аналитик вредоносных программ в Emsisoft. Похоже, что на поле зашли новые тяжеловесы.