Программы-вымогатели - Ransomware

Часть серии по
Информационная безопасность
Связанные категории безопасности
Угрозы
Защиты

Программы-вымогатели это тип вредоносное ПО из криптовирология что грозит опубликовать данные или навсегда заблокировать доступ к нему, если выкуп оплачивается. В то время как некоторые простые программы-вымогатели могут заблокировать систему, так что для знающего человека не составит труда отменить обратное, более продвинутые вредоносные программы используют метод, называемый криптовирусным вымогательством. Это шифрует файлы жертвы, что делает их недоступными, и требует выкуп за их расшифровку.[1][2][3][4] В правильно реализованной криптовирусной атаке вымогательства восстановление файлов без расшифровки ключ является несговорчивый проблема - и трудно отследить цифровые валюты Такие как paysafecard или же Биткойн и другие криптовалюты используются для выкупа, что затрудняет поиск и судебное преследование преступников.

Атаки программ-вымогателей обычно осуществляются с использованием Троян замаскированный под законный файл, который пользователь обманом загружает или открывает, когда он приходит в виде вложения электронной почты. Однако один громкий пример: "WannaCry червь, "автоматически перемещался между компьютерами без вмешательства пользователя.[5]

Примерно с 2012 года использование мошенничества с программами-вымогателями во всем мире выросло.[6][7][8] За первые шесть месяцев 2018 года было совершено 181,5 миллиона атак с использованием программ-вымогателей. Этот рекорд знаменует рост на 229% по сравнению с тем же периодом 2017 года.[9] В июне 2014 г. McAfee опубликовал данные, показывающие, что в этом квартале было собрано более чем вдвое больше образцов программ-вымогателей, чем в том же квартале прошлого года.[10] CryptoLocker был особенно успешным, собрав около 3 миллионов долларов США до того, как он был снят властями,[11] и CryptoWall был оценен США Федеральное Бюро Расследований (ФБР), чтобы накопить более 18 миллионов долларов США к июню 2015 года.[12]

Операция

Концепция программ-вымогателей с шифрованием файлов была изобретена и реализована Янгом и Юнг в Колумбийский университет и был представлен на конференции IEEE Security & Privacy в 1996 году. Это называется криптовирусное вымогательство и он был вдохновлен вымышленным лицом в фильме Иностранец.[13] Криптовирусное вымогательство - это следующий трехэтапный протокол, который осуществляется между злоумышленником и жертвой.[1]

  1. [злоумышленник→жертва] Злоумышленник генерирует пару ключей и помещает соответствующий открытый ключ во вредоносную программу. Вредоносная программа выпущена.
  2. [жертва→злоумышленник] Для проведения атаки с использованием криптовалютного вымогательства вредоносная программа генерирует случайный симметричный ключ и шифрует с его помощью данные жертвы. Он использует открытый ключ вредоносной программы для шифрования симметричного ключа. Это известно как гибридное шифрование и это приводит к небольшому асимметричному зашифрованному тексту, а также к симметричному зашифрованному тексту данных жертвы. Он обнуляет симметричный ключ и исходные данные открытого текста, чтобы предотвратить восстановление. Он отправляет пользователю сообщение, содержащее асимметричный зашифрованный текст и способ оплаты выкупа. Жертва отправляет злоумышленнику асимметричный зашифрованный текст и электронные деньги.
  3. [злоумышленник→жертва] Атакующий получает платеж, расшифровывает асимметричный зашифрованный текст с помощью закрытого ключа злоумышленника и отправляет симметричный ключ жертве. Жертва расшифровывает зашифрованные данные с помощью необходимого симметричного ключа, завершая криптовирологическую атаку.

В симметричный ключ генерируется случайным образом и не поможет другим жертвам. Ни при каких обстоятельствах закрытый ключ злоумышленника не предоставляется жертвам, и жертве достаточно отправить злоумышленнику очень маленький зашифрованный текст (зашифрованный ключ симметричного шифра).

Атаки программ-вымогателей обычно осуществляются с использованием Троян, входя в систему через, например, вредоносное вложение, встроенную ссылку в Фишинг электронная почта или уязвимость в сетевой службе. Затем программа запускает полезная нагрузка, который каким-то образом блокирует систему или утверждает, что блокирует систему, но не делает этого (например, пугающее ПО программа). Полезные данные могут отображать поддельное предупреждение, предположительно созданное таким объектом, как правоохранительные органы, ложно утверждающие, что система использовалась для незаконной деятельности, содержит такой контент, как порнография и "пиратские" СМИ.[14][15][16]

Некоторые полезные данные состоят просто из приложения, предназначенного для блокировки или ограничения системы до тех пор, пока не будет произведена оплата, обычно путем установки Оболочка Windows себе,[17] или даже изменить Главная загрузочная запись и / или таблица разделов чтобы операционная система не загружалась до тех пор, пока она не будет восстановлена.[18] Самые сложные полезные нагрузки зашифровать файлы, многие из которых используют сильное шифрование к зашифровать файлы жертвы таким образом, чтобы ключ дешифрования был только у автора вредоносной программы.[1][19][20]

Платеж практически всегда является целью, а жертва по принуждению в оплату удаления программы-вымогателя либо путем предоставления программы, которая может расшифровать файлы, либо путем отправки кода разблокировки, который отменяет изменения полезной нагрузки. Хотя злоумышленник может просто взять деньги, не возвращая файлы жертвы, в интересах злоумышленника выполнить расшифровку в соответствии с соглашением, поскольку жертвы прекратят отправлять платежи, если станет известно, что они не служат никакой цели. Ключевым элементом, заставляющим программы-вымогатели работать на злоумышленника, является удобная платежная система, которую сложно отследить. Был использован ряд таких способов оплаты, в том числе телеграфные переводы, текстовые сообщения премиум-класса,[21] предоплата ваучер такие услуги как paysafecard,[6][22][23] и Биткойн криптовалюта.[24][25][26]

В мае 2020 года поставщик Sophos сообщил, что средняя глобальная стоимость устранения атаки с использованием программ-вымогателей (с учетом времени простоя, времени людей, стоимости устройства, стоимости сети, упущенных возможностей и уплаченного выкупа) составила 761 106 долларов. Данные 95% организаций, заплативших выкуп, восстановили свои данные.[27]

История

Смотрите также: История компьютерных вирусов и История вредоносного ПО

Шифрование программ-вымогателей

Первая известная атака с вымогательством вредоносных программ, «СПИД-троян» написано Джозеф Попп в 1989 году произошел настолько серьезный сбой в конструкции, что вымогателю вообще не пришлось платить. Его полезная нагрузка скрывала файлы на жестком диске и зашифровывала только их имена, и отобразило сообщение о том, что срок действия лицензии пользователя на использование определенного программного обеспечения истек. Пользователя попросили заплатить АМЕРИКАНСКИЙ ДОЛЛАР$ 189 в "PC Cyborg Corporation", чтобы получить средство восстановления, даже если ключ дешифрования мог быть извлечен из кода троянца. Троянец был также известен как «PC Cyborg». Попп был объявлен умственно непригодный предстать перед судом за свои действия, но он пообещал пожертвовать прибыль от вредоносного ПО на финансирование СПИД исследование.[28]

Идея использования анонимных денежных систем для безопасного сбора выкупа с людей похищение был представлен в 1992 году Себастьяном фон Зольмс и Дэвид Наккаш.[29] Этот метод сбора электронных денег также был предложен для атак с использованием криптовалютного вымогательства.[1] В сценарии фон Зольмса-Наккаша использовалась газетная публикация (поскольку бухгалтерские книги биткойнов не существовали на момент написания статьи).

Идея использования криптографии с открытым ключом для атак по похищению данных была введена в 1996 году Адамом Л. Янгом и Моти Юнг. Янг и Юнг раскритиковали провалившийся информационный троян о СПИДе, который полагался на симметричная криптография в одиночку, фатальный недостаток заключался в том, что ключ дешифрования мог быть извлечен из троянца, и реализовал экспериментальный проверочный криптовирус на Macintosh SE / 30 что использовал ЮАР и Крошечный алгоритм шифрования (ЧАЙ) в гибридное шифрование данные жертвы. С криптография с открытым ключом используется, вирус содержит только шифрование ключ. Злоумышленник сохраняет соответствующий частный ключ расшифровки приватный. В оригинальном экспериментальном криптовирусе Янга и Юнга жертва отправляла асимметричный зашифрованный текст злоумышленнику, который расшифровывал его и возвращал жертве содержащийся в нем симметричный ключ дешифрования за определенную плату. Задолго до электронные деньги Янг и Юнг предложили вымогать электронные деньги с помощью шифрования, заявив, что «автор вируса может эффективно удерживать весь денежный выкуп до тех пор, пока ему не будет отдана половина его. Даже если электронные деньги были ранее зашифрованы пользователя, он бесполезен, если он зашифрован криптовирусом ".[1] Они назвали эти нападения "криптовирус вымогательство », открытая атака, которая является частью более широкого класса атак в области, называемой криптовирология, который включает в себя как открытые, так и скрытые атаки.[1] Протокол криптовирусного вымогательства был вдохновлен паразитическими отношениями между лицехватом Г. Р. Гигера и его хозяином в фильме. Иностранец.[1][13]

Примеры вымогателей стали заметными в мае 2005 года.[30] К середине 2006 г. такие трояны, как Gpcode, ТРОЙ.РАНСОМ.А, Archiveus, Krotten, Cryzip и MayArchive начали использовать более сложные схемы шифрования RSA с постоянно увеличивающимися размерами ключей. Gpcode.AG, обнаруженный в июне 2006 года, был зашифрован 660-битным открытым ключом RSA.[31] В июне 2008 года был обнаружен вариант, известный как Gpcode.AK. Использование 1024-битного ключа RSA считалось достаточно большим, чтобы его невозможно было взломать без согласования. распределен усилие.[32][33][34][35]

Шифрование программ-вымогателей снова стало популярным в конце 2013 года с распространением CryptoLocker -с использованием Биткойн цифровая валюта платформа для сбора выкупа. В декабре 2013 г. ZDNet По оценкам на основе информации о транзакциях с биткойнами, с 15 октября по 18 декабря операторы CryptoLocker получили около 27 миллионов долларов США от зараженных пользователей.[36] Техника CryptoLocker была широко копируется в последующие месяцы, включая CryptoLocker 2.0 (считается, что он не связан с CryptoLocker), CryptoDefense (который изначально содержал серьезную конструктивную ошибку, сохраняющую закрытый ключ в зараженной системе в извлекаемое пользователем местоположение, благодаря использованию встроенных API шифрования Windows),[25][37][38][39] и обнаружение в августе 2014 г. троянца, специально нацеленного на Network Attached Storage устройства производства Synology.[40] В январе 2015 года сообщалось, что атаки в стиле программ-вымогателей совершались против отдельных веб-сайтов посредством взлома и с помощью программ-вымогателей, предназначенных для Linux -основан веб-серверы.[41][42][43]

При некоторых заражениях используется двухэтапная полезная нагрузка, обычная для многих вредоносных систем. Пользователя обманом заставляют запустить сценарий, который загружает основной вирус и запускает его. В ранних версиях системы двойной полезной нагрузки сценарий содержался в документе Microsoft Office с прикрепленным макросом VBScript или в файле средства создания сценариев Windows (WSF). Когда системы обнаружения начали блокировать эти полезные нагрузки первого этапа, Центр защиты от вредоносных программ Microsoft обнаружил тенденцию перехода к файлам LNK с автономной Microsoft Windows. PowerShell скрипты.[44] В 2016 году было обнаружено, что PowerShell участвует почти в 40% инцидентов безопасности конечных точек,[45]

Некоторые штаммы вымогателей использовали прокси привязан к Tor скрытые услуги для подключения к их серверам управления и контроля, что усложняет отслеживание точного местонахождения преступников.[46][47] Более того, темная паутина поставщики все чаще стали предлагать технологии как услуга.[47][48][49]

Symantec классифицирует программы-вымогатели как наиболее опасные киберугрозы.[50]

28 сентября 2020 года компьютерные системы крупнейшего поставщика медицинских услуг США Универсальные медицинские услуги, подвергся атаке программы-вымогателя. Сеть UHS из разных мест сообщала о проблемах, а некоторые из них сообщали о заблокированных компьютерах и телефонных системах с раннего воскресенья (27 сентября).[51]

Программы-вымогатели без шифрования

В августе 2010 года российские власти арестовали девять человек, связанных с троянцем-вымогателем WinLock. В отличие от предыдущего трояна Gpcode, WinLock не использовал шифрование. Вместо этого, WinLock тривиальным ограниченный доступ к системе отображения порнографические изображения и попросили пользователей отправить SMS с повышенным тарифом (стоимостью около 10 долларов США), чтобы получить код, который можно использовать для разблокировки их машин. Мошенничество затронуло множество пользователей в России и соседних странах, заработав, как сообщается, более 16 миллионов долларов США.[16][52]

В 2011 году обнаружился троян-вымогатель, имитирующий Активация продукта Windows уведомление и проинформировал пользователей о том, что необходимо повторно активировать установку Windows из-за «[быть] жертвой мошенничества». Был предложен вариант онлайн-активации (например, фактический процесс активации Windows), но он был недоступен, и пользователю требовалось позвонить одному из шести международные номера для ввода 6-значного кода. Хотя вредоносная программа утверждала, что этот вызов будет бесплатным, он был перенаправлен через мошенника в стране с высокими тарифами на международную связь, который поместил вызов в режим ожидания, в результате чего пользователь столкнулся с большими международными звонками длинная дистанция обвинения.[14]

В феврале 2013 года троян-вымогатель на основе Stamp.EK набор эксплойтов всплыл; вредоносное ПО распространялось через сайты, размещенные на сервисах хостинга проекта SourceForge и GitHub которые утверждали, что предлагают "фальшивые обнаженные фотографии" знаменитостей.[53] В июле 2013 г. OS X -специфические вымогатели Trojan всплыл, который отображает веб-страницу, которая обвиняет пользователь в скачивании порнографии. В отличие от своих аналогов на базе Windows, он не блокирует весь компьютер, а просто использует поведение самого веб-браузера чтобы сорвать попытки закрыть страницу обычными средствами.[54]

В июле 2013 года 21-летний мужчина из Вирджинии, чей компьютер совпадению содержал порнографические фотографии несовершеннолетних девушек, с которыми он провел сексуализированные связи, обратился в полицию после получения и обмана Программа-вымогатель FBI MoneyPak обвинив его в хранении детской порнографии. Следствие обнаружило инкриминирующие файлы, и мужчине было предъявлено обвинение в сексуальное насилие над детьми и хранение детской порнографии.[55]

Эксфильтрация (Leakware / Doxware)

Оборотная сторона программы-вымогателя - это криптовирология атака, изобретенная Адамом Л. Янгом, которая угрожает опубликовать украденную информацию из компьютерной системы жертвы, а не отказывает жертве в доступе к ней.[56] При атаке с использованием утечки вредоносное ПО передает конфиденциальные данные хоста злоумышленнику или, альтернативно, удаленным экземплярам вредоносного ПО, и злоумышленник угрожает опубликовать данные жертвы, если не будет уплачен выкуп. Атака была представлена ​​на Западная точка в 2003 году и был обобщен в книге Вредоносная криптография следующим образом: «Атака отличается от атаки с вымогательством следующим образом. При атаке с вымогательством жертве отказывают в доступе к ее собственной ценной информации, и она должна заплатить, чтобы получить ее обратно, тогда как в атаке, представленной здесь, жертва сохраняет доступ к информации, но ее раскрытие остается на усмотрение компьютерного вируса ".[57] Атака основана на теории игр и первоначально называлась «играми с ненулевой суммой и живучестью вредоносного ПО». Атака может принести денежную выгоду в случаях, когда вредоносное ПО получает доступ к информации, которая может нанести ущерб пользователю или организации-жертве, например, репутационный ущерб, который может возникнуть в результате публикации доказательств того, что атака была успешной.

Общие цели эксфильтрации включают:

  • информация третьих лиц, хранящаяся основной жертвой (например, информация об учетной записи клиента или медицинские записи);
  • информация, являющаяся собственностью жертвы (например, коммерческая тайна и информация о продукте)
  • смущающая информация (например, информация о здоровье жертвы или информация о личном прошлом жертвы)

Атаки эксфильтрации обычно являются целевыми, с тщательно отобранным списком жертв и часто с предварительным наблюдением за системами жертвы для поиска потенциальных целей и уязвимостей данных.[58][59]

Мобильные программы-вымогатели

С ростом популярности программ-вымогателей на платформах ПК, программы-вымогатели мобильные операционные системы также распространилась. Как правило, полезные нагрузки мобильных программ-вымогателей являются блокировщиками, поскольку у них мало стимулов для шифрования данных, поскольку их можно легко восстановить с помощью онлайн-синхронизации.[60] Мобильные программы-вымогатели обычно нацелены на Android платформа, так как позволяет устанавливать приложения из сторонних источников.[60][61] Полезная нагрузка обычно распределяется как APK файл установлено ничего не подозревающим пользователем; он может попытаться отобразить сообщение о блокировке поверх всех других приложений,[61] в то время как другой использовал форму кликджекинг чтобы заставить пользователя предоставить ему привилегии «администратора устройства» для достижения более глубокого доступа к системе.[62]

На iOS устройства, такие как использование iCloud учетные записи и использование Найди мой айфон система блокировки доступа к устройству.[63] На iOS 10.3, Apple исправила ошибку в обработке всплывающих окон JavaScript в Сафари которые использовались сайтами-вымогателями.[64] Недавно было показано, что программы-вымогатели также могут быть нацелены на архитектуры ARM, такие как те, которые можно найти в различных устройствах Интернета вещей (IoT), таких как периферийные устройства Industrial IoT.[65]

В августе 2019 года исследователи продемонстрировали возможность заражения DSLR камеры с программой-вымогателем.[66] Цифровые камеры часто используют Протокол передачи изображений (PTP - стандартный протокол, используемый для передачи файлов.) Исследователи обнаружили, что можно использовать уязвимости в протоколе для заражения целевой камеры (камер) с помощью программы-вымогателя (или выполнения любого произвольного кода). Эта атака была представлена ​​на Defcon конференция по безопасности в Лас-Вегасе в качестве доказательства концепции атаки (а не реального вооруженного вредоносного ПО).

Известные примеры

Reveton

Полезная нагрузка Reveton, обманным путем утверждающая, что пользователь должен заплатить штраф Столичная полицейская служба

В 2012 году начал распространяться крупный троян-вымогатель, известный как Reveton. На базе Цитадели Троян (который сам основан на Зевс Trojan), его полезная нагрузка отображает предупреждение якобы от правоохранительных органов, утверждающее, что компьютер использовался для незаконных действий, таких как загрузка нелицензионное программное обеспечение или же детская порнография. Из-за такого поведения его обычно называют «полицейским трояном».[67][68][69] Предупреждение информирует пользователя, что для разблокировки его системы ему придется заплатить штраф, используя ваучер от анонимной предоплаченной кассовой службы, такой как Укаш или же paysafecard. Чтобы усилить иллюзию того, что за компьютером следят правоохранительные органы, на экране также отображаются изображения компьютера. айпи адрес, в то время как в некоторых версиях представлены кадры из ВЭБ-камера чтобы создать иллюзию, что пользователь записывается.[6][70]

Изначально Reveton начал распространяться в различных странах Европы в начале 2012 года.[6] Варианты были локализованы с использованием шаблонов с логотипами различных правоохранительных органов в зависимости от страны пользователя; например, варианты, используемые в Соединенном Королевстве, содержали бренды таких организаций, как Столичная полицейская служба и Национальное подразделение полиции по борьбе с электронными преступлениями. Другая версия содержала логотип общество по сбору роялти PRS для музыки, который прямо обвинял пользователя в незаконном скачивании музыки.[71] В заявлении, предупреждающем общественность о вредоносном ПО, столичная полиция пояснила, что они никогда не будут блокировать компьютер таким образом в рамках расследования.[6][15]

В мае 2012 г. Trend Micro исследователи угроз обнаружили шаблоны для вариаций Соединенные Штаты и Канада, предполагая, что его авторы, возможно, планировали нацелить на пользователей в Северной Америке.[72] К августу 2012 года в Соединенных Штатах начал распространяться новый вариант Reveton, требующий оплаты $ 200 штрафа ФБР с использованием MoneyPak карта.[7][8][70] В феврале 2013 г. гражданин России был задержан в г. Дубай испанскими властями за его связь с преступной группировкой, которая использовала Reveton; еще десять человек были арестованы отмывание денег обвинения.[73] В августе 2014 г. Программное обеспечение Avast сообщил, что обнаружил новые варианты Reveton, которые также распространяют вредоносные программы для кражи паролей как часть своей полезной нагрузки.[74]

CryptoLocker

Основная статья: CryptoLocker

Шифровальщики-вымогатели снова появились в сентябре 2013 года с трояном, известным как CryptoLocker, который генерировал 2048-битную пару ключей RSA и, в свою очередь, загружал на сервер управления и контроля и использовался для шифрования файлов с помощью белый список конкретных расширения файлов. Вредоносная программа пригрозила удалить закрытый ключ в случае оплаты Биткойн или предоплаченный денежный ваучер не был получен в течение 3 дней после заражения. Из-за чрезвычайно большого размера ключа, который он использует, аналитики и те, кто пострадал от трояна, считали CryptoLocker чрезвычайно сложным для восстановления.[24][75][76][77] Даже после истечения крайнего срока закрытый ключ все еще можно было получить с помощью онлайн-инструмента, но цена вырастет до 10 BTC, что по состоянию на ноябрь 2013 года стоило примерно 2300 долларов США.[78][79]

CryptoLocker был изолирован захватом Gameover ZeuS ботнет как часть Операция Товар, как официально объявлено Министерство юстиции США 2 июня 2014 года. Министерство юстиции также публично издало обвинительный акт против российского хакера Евгения Богачева за его предполагаемое участие в ботнете.[80][81] Было подсчитано, что перед закрытием с помощью вредоносного ПО было украдено не менее 3 миллионов долларов США.[11]

CryptoLocker.F и TorrentLocker

В сентябре 2014 г. возникла волна троянских программ-вымогателей, которые первыми нацелились на пользователей в Австралия, под именами CryptoWall и CryptoLocker (который, как и в случае с CryptoLocker 2.0, не связан с исходным CryptoLocker). Трояны распространяются через мошеннические электронные письма, в которых утверждается, что они не отправляют уведомления о доставке посылок. Почта Австралии; Чтобы избежать обнаружения автоматическими сканерами электронной почты, которые переходят по всем ссылкам на странице для поиска вредоносных программ, этот вариант был разработан таким образом, чтобы пользователи должны были посетить веб-страницу и ввести CAPTCHA код до фактической загрузки полезной нагрузки, не позволяя таким автоматизированным процессам сканировать полезную нагрузку. Symantec определили, что эти новые варианты, которые он идентифицировал как CryptoLocker.F, опять же, не имели отношения к исходному CryptoLocker из-за различий в их работе.[82][83] Заметной жертвой троянцев стал Австралийская радиовещательная корпорация; прямые трансляции по телевидению новостной канал ABC News 24 был прерван на полчаса и переведен на Мельбурн студии из-за заражения CryptoWall на компьютерах Сидней студия.[84][85][86]

Еще один троян в этой волне, TorrentLocker изначально содержал недостаток конструкции, сравнимый с CryptoDefense; он использовал то же самое ключевой поток для каждого зараженного компьютера, что упрощает преодоление шифрования. Однако позже этот недостаток был исправлен.[37] К концу ноября 2014 года было подсчитано, что только в Австралии более 9000 пользователей были заражены TorrentLocker, уступая только Турции с 11700 заражениями.[87]

CryptoWall

Еще один крупный троян-вымогатель, нацеленный на Windows, CryptoWall, впервые появился в 2014 году. Один из штаммов CryptoWall распространялся как часть вредоносная реклама кампания по Зедо рекламная сеть в конце сентября 2014 года, нацеленная на несколько крупных веб-сайтов; реклама перенаправлялась на мошеннические веб-сайты, которые использовали эксплойты плагинов браузера для загрузки полезной нагрузки. А Barracuda Networks исследователь также отметил, что полезная нагрузка была подписана цифровой подписи в попытке выглядеть надежным для программного обеспечения безопасности.[88] CryptoWall 3.0 использовал полезную нагрузку, написанную на JavaScript как часть вложения электронной почты, которая загружает исполняемые файлы, замаскированные под JPG изображений. Чтобы избежать обнаружения, вредоносная программа создает новые экземпляры explorer.exe и svchost.exe общаться со своими серверами. При шифровании файлов вредоносная программа также удаляет теневые копии томов и устанавливает шпионское ПО, которое крадет пароли и Биткойн-кошельки.[89]

В июне 2015 года ФБР сообщило, что около 1000 жертв обратились в бюро Центр жалоб на Интернет-преступления сообщать о заражении CryptoWall и оценивать убытки не менее 18 миллионов долларов.[12]

Самая последняя версия CryptoWall 4.0 улучшила свой код, чтобы избежать обнаружения антивируса, и шифрует не только данные в файлах, но и имена файлов.[90]

Фусоб

Fusob - одно из основных семейств мобильных программ-вымогателей. В период с апреля 2015 года по март 2016 года около 56 процентов зарегистрированных мобильных программ-вымогателей приходилось на Fusob.[91]

Как и в случае с обычным мобильным программным вымогателем, он использует тактику запугивания, чтобы вынудить людей заплатить выкуп.[92] Программа выдает себя за инстанцию, требующую от жертвы уплаты штрафа от 100 до 200 долларов. доллар США или иным образом столкнуться с фиктивным обвинением. Как ни странно, Fusob предлагает использовать для оплаты подарочные карты iTunes. Кроме того, щелчок по таймеру на экране также добавляет беспокойства пользователям.

Для заражения устройств Fusob маскарады как порнографическое видео плеер. Таким образом, жертвы, считая это безвредным, невольно скачивают Fusob.[93]

Когда Fusob установлен, он сначала проверяет язык, используемый в устройстве. Если он использует русский или некоторые восточноевропейские языки, Fusob ничего не делает. В противном случае он блокирует устройство и требует выкупа. Среди жертв около 40% из них находятся в Германии, за которыми следуют Великобритания и США с 14,5% и 11,4% соответственно.

Fusob имеет много общего с Small, еще одним крупным семейством мобильных программ-вымогателей. В период с 2015 по 2016 год на их долю приходилось более 93% мобильных программ-вымогателей.

Хочу плакать

Основная статья: Атака программы-вымогателя WannaCry

В мае 2017 г. Атака программы-вымогателя WannaCry распространяться через Интернет с помощью вектора эксплойта под названием EternalBlue, который якобы просочился из США. Национальное Агенство Безопасности. Беспрецедентная по масштабу атака вымогателей[94] заразили более 230 000 компьютеров в более чем 150 странах,[95] используя 20 разных языков, чтобы требовать деньги от пользователей, использующих Биткойн криптовалюта. WannaCry требовала 300 долларов за компьютер.[96] Атака затронула Telefónica и несколько других крупных компаний в Испании, а также некоторых британских Национальный центр здоровья (NHS), где не менее 16 больниц были вынуждены отказывать пациентам или отменять запланированные операции,[97] FedEx, Deutsche Bahn, Honda,[98] Renault, так же хорошо как МВД России и российский телеком МегаФон.[99] Злоумышленники дали своим жертвам 7-дневный срок со дня заражения их компьютеров, после чего зашифрованные файлы будут удалены.[100]

Петя

Основная статья: Петя (вредоносное ПО)
Смотрите также: Кибератаки 2017 г. на Украину

Петю впервые обнаружили в марте 2016 года; в отличие от других форм шифрования программ-вымогателей, вредоносное ПО предназначалось для заражения Главная загрузочная запись, устанавливая полезную нагрузку, которая шифрует файловые таблицы NTFS файловая система при следующей загрузке зараженной системы, что блокирует загрузку системы в Windows до тех пор, пока не будет выплачен выкуп. Пропускной пункт сообщил, что, несмотря на то, что он считал инновационным развитием дизайна программ-вымогателей, он привел к относительно меньшему количеству заражений по сравнению с другими программами-вымогателями, активными примерно в тот же период времени.[101]

27 июня 2017 г. сильно модифицированная версия Petya была использована для глобальной кибератаки, в первую очередь нацеленной на Украина (но затрагивая многие страны[102]). Эта версия была изменена для распространения с использованием того же эксплойта EternalBlue, который использовался WannaCry. Из-за другого изменения дизайна он также не может фактически разблокировать систему после уплаты выкупа; это привело к тому, что аналитики безопасности предположили, что атака была направлена ​​не на получение незаконной прибыли, а просто на нарушение работы.[103][104]

Плохой кролик

24 октября 2017 г. некоторые пользователи в Россия Украина сообщила о новой атаке программ-вымогателей под названием «Плохой кролик», которая следует той же схеме, что и WannaCry и Petya, путем шифрования файловых таблиц пользователя и затем требует оплаты биткойнами для их расшифровки. ESET считает, что вымогатель был распространен поддельным обновлением на Adobe Flash программного обеспечения.[105] Среди агентств, пострадавших от программы-вымогателя, были: Интерфакс, Международный аэропорт Одесса, Киевский метрополитен, и Министерство инфраструктуры Украины.[106] Поскольку для распространения программа-вымогатель использовала корпоративные сетевые структуры, она также была обнаружена в других странах, включая Турцию, Германию, Польшу, Японию, Южную Корею и США.[107] Эксперты полагали, что атака вымогателя была связана с атакой Petya в Украине (особенно потому, что код Bad Rabbit имеет много дублирующих и аналогичных элементов коду Petya / NotPetya,[108] добавление к CrowdStrike Bad Rabbit и DLL NotPetya (библиотека динамической компоновки) имеют 67 процентов одного и того же кода[109]), хотя единственной идентификацией виновных являются имена персонажей из Игра престолов серия, встроенная в код.[107]

Эксперты по безопасности обнаружили, что программа-вымогатель не использовала эксплойт EternalBlue для распространения, и к 24 октября 2017 года был найден простой метод вакцинации незатронутой машины под управлением более старых версий Windows.[110][111] Кроме того, сайты, которые использовались для распространения поддельного обновления Flash, отключились или удалили проблемные файлы в течение нескольких дней после его обнаружения, что фактически остановило распространение Bad Rabbit.[107]

Сэм Сэм

В 2016 году появилась новая разновидность программ-вымогателей, нацеленных на JBoss серверы.[112] Этот штамм, названный "Сэм Сэм ", было обнаружено, что он обходит процесс фишинга или незаконных загрузок в пользу использования уязвимостей на слабых серверах.[113] Вредоносная программа использует Протокол удаленного рабочего стола атака грубой силой угадывать слабые пароли, пока один из них не взломан. Вирус стоит за атаками на правительство и цели здравоохранения, при этом заметные взломы происходят в городе Фармингтон, Нью-Мексико, то Колорадо Департамент транспорта, Округ Дэвидсон, Северная Каролина, и совсем недавно серьезное нарушение безопасности по инфраструктуре Атланта.[113]

Мохаммад Мехди Шах Мансури (родился в Кум, Иран в 1991 г.) и Фарамарз Шахи Саванди (род. Шираз, Иран, в 1984 г.) разыскиваются ФБР за якобы запуск программы-вымогателя SamSam.[114] Эти двое якобы заработали 6 миллионов долларов на вымогательстве и нанесли ущерб на сумму более 30 миллионов долларов с помощью вредоносного ПО.[115]

Syskey

Syskey это утилита, которая была включена в Windows NT -основанные операционные системы для шифрования база данных учетных записей пользователей, опционально с паролем. Инструмент иногда эффективно использовался в качестве вымогателя во время мошенничество с техподдержкой - где вызывающий абонент с удаленным доступом к компьютеру может использовать инструмент, чтобы заблокировать доступ пользователя к своему компьютеру с помощью пароля, известного только им.[116] Syskey был удален из более поздних версий Windows 10 и Windows Server в 2017 году из-за того, что он устарел и «известно, что он используется хакерами в рамках мошенничества с программами-вымогателями».[117][118]

Смягчение

Как и в случае с другими видами вредоносных программ, программное обеспечение безопасности (антивирусное программное обеспечение ) может не обнаруживать полезную нагрузку программы-вымогателя или, особенно в случае шифрования полезной нагрузки, только после того, как шифрование началось или завершено, особенно если новая версия, неизвестная защитному ПО распространяется.[119] Если есть подозрение на атаку или ее обнаружение на ранних стадиях, для шифрования требуется некоторое время; немедленное удаление вредоносного ПО (относительно простой процесс) до его завершения остановит дальнейшее повреждение данных, не спасая уже потерянные.[120][121]

Эксперты по безопасности предложили меры предосторожности для борьбы с программами-вымогателями. Использование программного обеспечения или других политик безопасности для блокировки запуска известных полезных нагрузок поможет предотвратить заражение, но не защитит от всех атак.[24][122] Таким образом, наличие надлежащего резервный Решение является важным компонентом защиты от программ-вымогателей. Обратите внимание: поскольку многие злоумышленники-вымогатели не только шифруют живую машину жертвы, но и пытаются удалить любые горячие резервные копии, хранящиеся локально или доступные по сети на NAS, также важно поддерживать офлайн-режим резервные копии данных хранятся в местах, недоступных с потенциально зараженного компьютера, например внешние накопители или устройства, не имеют доступа к какой-либо сети (включая Интернет), предотвращает доступ к ним программ-вымогателей. Более того, при использовании NAS или Облачное хранилище, то компьютер должен иметь только добавление разрешение на целевое хранилище, так что оно не может удалять или перезаписывать предыдущие резервные копии.

Установка безопасности обновления выпущенные поставщиками программного обеспечения, могут уменьшить уязвимости используются определенные штаммы для размножения.[123][124][125][126][127] Другие меры включают кибергигиена - соблюдать осторожность при открытии вложения электронной почты и ссылки, сегментация сети и изолирование критически важных компьютеров от сетей.[128][129] Кроме того, для предотвращения распространения программ-вымогателей меры инфекционный контроль может быть применено.[130] Это может включать отключение зараженных машин от всех сетей, образовательные программы,[131] эффективные каналы связи, наблюдение за вредоносным ПО[оригинальное исследование? ] и способы коллективного участия[130]

Защита файловой системы от программ-вымогателей

Некоторые файловые системы хранят моментальные снимки данных, которые они хранят, которые можно использовать для восстановления содержимого файлов за время, предшествующее атаке программы-вымогателя, если программа-вымогатель не отключит его.

  • В Windows Теневая копия тома (VSS) часто используется для хранения резервных копий данных; программы-вымогатели часто нацелены на эти моментальные снимки, чтобы предотвратить восстановление, и поэтому часто рекомендуется отключить доступ пользователей к пользовательскому инструменту VSSadmin.exe чтобы снизить риск того, что программа-вымогатель может отключить или удалить прошлые копии.
  • В Windows 10 пользователи могут добавлять определенные каталоги или файлы в контролируемый доступ к папкам в Защитнике Windows, чтобы защитить их от программ-вымогателей.[132] Рекомендуется добавить резервные копии и другие важные каталоги в контролируемый доступ к папкам.
  • Файловые серверы работают ZFS почти всегда невосприимчивы к программам-вымогателям, потому что ZFS способна делать снимки даже большой файловой системы много раз в час, и эти снимки неизменяемы (только для чтения) и легко откатываются или файлы восстанавливаются в случае повреждения данных.[133] Как правило, только администратор может удалять (но не может изменять) снимки.

Расшифровка и восстановление файлов

Существует ряд инструментов, специально предназначенных для расшифровки файлов, заблокированных программами-вымогателями, однако успешное восстановление может оказаться невозможным.[2][134] Если для всех файлов используется один и тот же ключ шифрования, инструменты дешифрования используют файлы, для которых есть как неповрежденные резервные копии, так и зашифрованные копии ( атака с известным открытым текстом на жаргоне криптоанализ. Но это работает только тогда, когда шифр, который использовал злоумышленник, изначально был слабым и уязвим для атак с использованием известного открытого текста); Восстановление ключа, если это возможно, может занять несколько дней.[135] Бесплатные инструменты дешифрования программ-вымогателей могут помочь расшифровать файлы, зашифрованные следующими формами программ-вымогателей: AES_NI, Alcatraz Locker, Apocalypse, BadBlock, Bart, BTCWare, Crypt888, CryptoMix, CrySiS, EncrypTile, FindZip, Globe, Скрытая слеза, Jigsaw, LambdaLocker, Legion, NoobCrypt, Stampado, SZFLocker, TeslaCrypt, XData.[136]

Кроме того, на диске могут существовать старые копии файлов, которые ранее были удалены. В некоторых случаях эти удаленные версии все еще можно восстановить с помощью программного обеспечения, разработанного для этой цели.

Рост

Вредоносные программы-вымогатели развивались с самого начала, когда они были ограничены одной или двумя странами Восточной Европы, а затем распространились через Атлантический океан в США и Канаду.[137] Первые версии этого типа вредоносного ПО использовали различные методы для отключения компьютеров.[137] заблокировав системную машину жертвы (Locker Ransomware) [133]. Некоторые примеры того, как работает эта программа-вымогатель, включают: блокировка экрана путем отображения сообщения от местного отделения правоохранительных органов с указанием строк пользователя вроде «Вы просмотрели незаконные материалы и должны заплатить штраф». Впервые они были замечены в России к 2009 году, заявив, что это послание от Microsoft. Они также использовали для запроса платежа, отправив SMS-сообщение на номер с повышенным тарифом. Следующий вариант отображения порнографического содержания изображения и требовали оплаты для удаления от него.[137]

В 2011 году тактика изменилась, злоумышленники начали использовать электронные методы оплаты, и они добавили больше языков в сообщения, которые также изменились в зависимости от местоположения пользователя, которое было получено путем определения его IP-адреса.[137]

Эти атаки затрагивают не только конечных пользователей. Корпорации, частные организации, правительство и даже больницы также пострадали. Например, в сфере здравоохранения (хотя 2015 год был годом наибольших утечек данных ePHI по данным ONC) 2016 год стал годом, когда количество программ-вымогателей начало экспоненциально расти на этом рынке. Согласно отчету Symantec Corp об угрозах интернет-безопасности за 2017 год, программы-вымогатели влияют не только на ИТ-системы, но и на лечение пациентов, клинические операции и выставление счетов. Интернет-преступники обнаружили, что «в здравоохранении можно было легко заработать деньги», согласно отчету Symantec, который был разработан на основе данных страховых случаев и Министерства здравоохранения и социальных служб США (HHS).[138]

Программы-вымогатели быстро распространяются среди пользователей Интернета, но также и для среды Интернета вещей.[137] что создает серьезную проблему для INFOSEC при увеличении площади поверхности атаки. Они превращаются в более изощренные атаки и становятся более устойчивыми; в то же время они более доступны, чем когда-либо. Сегодня злоумышленники за небольшую плату получают доступ к программе-вымогателю как услуге. Большая проблема в том, что миллионы долларов теряются некоторыми организациями и отраслями, которые решили заплатить, такими как Голливудский пресвитерианский медицинский центр и MedStar Health.[139] В конце концов, давление с целью предложить пациентам услуги и сохранить их жизнь настолько критично, что они вынуждены платить, и злоумышленник это знает. Проблема здесь в том, что, выплачивая выкуп, они финансируют киберпреступность.

Согласно отчету Symantec ISTR за 2019 год, впервые с 2013 года в 2018 году наблюдалось снижение активности программ-вымогателей на 20 процентов. До 2017 года предпочтительными жертвами были потребители, но в 2017 году ситуация резко изменилась и перешла к предприятиям. В 2018 году этот путь ускорился: заражение достигло 81 процента, что на 12 процентов больше.[140] Распространенный сегодня метод распространения основан на рассылке электронных писем.

Первая заявленная смерть в результате атаки программы-вымогателя произошла в немецкой больнице в октябре 2020 года.[141]

Обучение киберпространству имеет решающее значение для обнаружения атак, тогда как технологии не могут защитить от неосторожного или глупого поведения.[142] Для организаций важно помочь своим пользователям распознать злонамеренные контакты, тогда как программы-вымогатели обычно передаются через электронную почту и социальная инженерия методы для загрузки файла, предоставления ключевой конфиденциальной информации или принятия мер, которые могут нанести вред организации. Согласно отчету KnowBe4 Osterman, существует ряд подходов к обучению осведомленности о безопасности, которые практикуются организациями и управляются группами безопасности. Существует подход комнаты отдыха, когда периодически проводятся специальные встречи для обсуждения вопросов безопасности; ежемесячные видеоролики о безопасности с короткими фрагментами информации о безопасности; смоделированные фишинговые тесты, нацеленные на пользователей с внутренними фишинговыми сообщениями; человеческий брандмауэр, при котором все подвергаются симуляции фишинга и выявляются сотрудники, которые подвержены атакам; а также подход «ничего не делать», когда в организации не проводится обучение киберпространству.[143]

Эффективная и успешная программа обучения осведомленности в области киберпространства должна финансироваться из руководства организации с помощью поддерживающих политик и процедур, которые эффективно описывают последствия несоблюдения, частоту обучения и процесс подтверждения обучения. Без спонсорской поддержки руководителей высшего звена нельзя игнорировать тренинг. Другими факторами, которые являются ключевыми для успешной программы обучения киберпространству, является установление базового уровня, определяющего уровень знаний организации, чтобы определить, где пользователи находятся в своих знаниях до и после обучения. Какой бы подход организация ни решила реализовать, важно, чтобы в организации были действующие политики и процедуры, обеспечивающие актуальное обучение, выполняемое часто и пользующееся поддержкой всей организации сверху вниз.

Необходимо поддерживать инвестиции в технологии для обнаружения и пресечения этих угроз, но вместе с тем нам нужно помнить и сосредоточиться на нашем самом слабом звене - пользователе.

Уголовные аресты и осуждения

Заин Кайзер

Британский студент Зейн Кайзер (24 года) из Баркинга, Лондон, в 2019 году был заключен в тюрьму в Кингстонском королевском суде на срок более шести лет за атаки программ-вымогателей.[144] Говорят, что он был «самым известным киберпреступником в Великобритании». Он стал активным, когда ему было всего 17 лет. Он связался с российским контролером одной из самых мощных атак, предположительно зловредной бандой Lurk, и организовал раздел своей прибыли. Он также связался с онлайн-преступниками из Китая и США, чтобы вывести деньги. Около полторы лет, он поставил в качестве законного поставщика поощрений онлайн книжной рекламы на некоторых из наиболее посещаемых юридических сайтов порнографии в мире. Каждая реклама, продвигаемая на сайтах, содержала Reveton Ransomware штамм вредоносного Angler Exploit Kit (AEK)[145] которые захватили контроль над машиной. Следователи обнаружили около 700 000 фунтов стерлингов доходов, хотя его сеть могла заработать более 4 миллионов фунтов стерлингов. Возможно, он спрятал деньги с помощью криптовалюты. Программа-вымогатель предлагала жертвам купить GreenDot MoneyPak ваучеры и введите код на панели Reveton, отображаемой на экране. Эти деньги поступали на счет MoneyPak, управляемый Кайзером, который затем переводил ваучерные платежи на дебетовую карту американского сообщника - Рэймонда Одиги Уадиале, который тогда учился в Международный университет Флориды в 2012 и 2013 годах и позже работал в Microsoft. Уадиале конвертировал деньги в свободный резерв цифровую валюту и внесите ее на счет Qaiser's Liberty Reserve.[146]

Прорыв в этом деле произошел в мае 2013 года, когда власти нескольких стран захватили серверы Liberty Reserve, получив доступ ко всем его транзакциям и истории счетов. Кайзер запускал зашифрованные виртуальные машины на своем Macbook Pro с операционными системами Mac и Windows.[147] Его нельзя было судить раньше, потому что он был разделен в соответствии с Законом Великобритании о психическом здоровье в Госпиталь Гудмэйс (где было обнаружено, что он использовал больничный Wi-Fi для доступа к своим рекламным сайтам.) Его адвокат утверждал, что Кайзер страдал психическим заболеванием.[148] В июне 2016 года российская полиция арестовала 50 членов банды вредоносных программ Lurk.[149] Уадиале, натурализованный гражданин США нигерийского происхождения, был заключен в тюрьму на 18 месяцев.[150]

Проблемы со свободой слова и уголовное наказание

Публикация проверочного кода атаки является обычным явлением среди академических исследователей и исследователей уязвимостей. Она раскрывает природу угрозы, передает серьезность проблем и позволяет разработать и применить контрмеры. Однако законодатели при поддержке правоохранительных органов рассматривают возможность сделать незаконным создание программ-вымогателей. В штате Мэриленд в первоначальном проекте HB 340 создание программы-вымогателя считалось уголовным преступлением, за которое грозило до 10 лет тюремного заключения.[151] Однако это положение было удалено из окончательной версии законопроекта.[152]Несовершеннолетний в Японии был арестован за создание и распространение кода вымогателя.[153]Молодые и Юнг имеют исходный код ANSI C для криптотрояна-вымогателя в Интернете на сайте cryptovirology.com с 2005 года в рамках криптовирология книга пишется. Исходный код криптотрояна все еще доступен в Интернете и связан с черновиком главы 2.[154]

Смотрите также

Рекомендации

  1. ^ а б c d е ж грамм Янг, А .; М. Юнг (1996). Криптовирология: угрозы безопасности и меры противодействия вымогательству. Симпозиум IEEE по безопасности и конфиденциальности. С. 129–140. Дои:10.1109 / SECPRI.1996.502676. ISBN  0-8186-7417-2.
  2. ^ а б Шофилд, Джек (28 июля 2016 г.). «Как я могу удалить вирус-вымогатель?». Хранитель. Получено 28 июля 2016.
  3. ^ Мимозо, Майкл (28 марта 2016 г.). "Шифрование главной таблицы файлов программы-вымогателя Petya". угрозаpost.com. Получено 28 июля 2016.
  4. ^ Джастин Луна (21 сентября 2016 г.). «Программа-вымогатель Мамба шифрует ваш жесткий диск, манипулирует процессом загрузки». Neowin. Получено 5 ноября 2016.
  5. ^ Кэмерон, Делл (13 мая 2017 г.). «Сегодняшнюю массовую атаку программ-вымогателей в основном можно было предотвратить; вот как ее избежать». Gizmodo. Получено 13 мая 2017.
  6. ^ а б c d е Данн, Джон Э. «Троянцы-вымогатели, распространяющиеся за пределы России». TechWorld. Получено 10 марта 2012.
  7. ^ а б "Новое мошенничество в Интернете: программы-вымогатели ..." ФБР. 9 августа 2012 г.
  8. ^ а б «Вредоносная программа Citadel продолжает поставлять вымогателей Reveton ...» Центр жалоб на Интернет-преступления (IC3). 30 ноября 2012 г.
  9. ^ «Вымогательское ПО снова в разгаре, с января 181,5 миллиона атак». Помощь Net Security. 11 июля 2018 г.. Получено 20 октября 2018.
  10. ^ «Обновление: McAfee: киберпреступники чаще всего используют вредоносное ПО и программы-вымогатели для Android». InfoWorld. 3 июня 2013 г.. Получено 16 сентября 2013.
  11. ^ а б "Жертвы Cryptolocker могут бесплатно вернуть файлы". Новости BBC. 6 августа 2014 г.. Получено 18 августа 2014.
  12. ^ а б «ФБР сообщает, что шифровальщики-вымогатели принесли киберпреступникам более 18 миллионов долларов». Ars Technica. 25 июня 2015 г.. Получено 25 июн 2015.
  13. ^ а б Янг, Адам Л .; Юнг, Моти (2017). «Криптовирология: зарождение, пренебрежение и распространение программ-вымогателей». 60 (7). Коммуникации ACM: 24–26. Получено 27 июн 2017. Цитировать журнал требует | журнал = (помощь)
  14. ^ а б «Программы-вымогатели давят на пользователей, требуя фиктивной активации Windows». Computerworld. 11 апреля 2011 г.. Получено 9 марта 2012.
  15. ^ а б «Полиция предупреждает о сообщениях о вымогательстве, отправленных на их имя». Helsingin Sanomat. Получено 9 марта 2012.
  16. ^ а б Макмиллиан, Роберт (31 августа 2010 г.). «Московская полиция расследует предполагаемую банду программ-вымогателей». Компьютерный мир. Получено 10 марта 2012.
  17. ^ «Программа-вымогатель: поддельное уведомление Федеральной полиции Германии (BKA)». SecureList (Лаборатория Касперского). Получено 10 марта 2012.
  18. ^ "А теперь, программа-вымогатель MBR". SecureList (Лаборатория Касперского). Получено 10 марта 2012.
  19. ^ Адам Янг (2005). Чжоу, Цзяньин; Лопес, Хавьер (ред.). «Создание криптовируса с использованием криптографического API Microsoft». Информационная безопасность: 8-я международная конференция, ISC 2005. Springer-Verlag. С. 389–401.
  20. ^ Молодой, Адам (2006). «Криптовирусное вымогательство с использованием Microsoft Crypto API: Могут ли Crypto API помочь врагу?». Международный журнал информационной безопасности. 5 (2): 67–76. Дои:10.1007 / s10207-006-0082-7. S2CID  12990192.
  21. ^ Данчев, Данчо (22 апреля 2009 г.). «Новая программа-вымогатель блокирует компьютеры, для удаления требуется SMS премиум-класса». ZDNet. Получено 2 мая 2009.
  22. ^ «Программа-вымогатель играет на пиратской карте Windows, требует 143 доллара». Computerworld. 6 сентября 2011 г.. Получено 9 марта 2012.
  23. ^ Ченг, Жаки (18 июля 2007 г.). «Новые трояны: дайте нам 300 долларов, или данные получат!». Ars Technica. Получено 16 апреля 2009.
  24. ^ а б c «Вы заражены - если вы хотите снова увидеть свои данные, заплатите нам 300 долларов в биткойнах». Ars Technica. 17 октября 2013 г.. Получено 23 октября 2013.
  25. ^ а б «Программа-вымогатель CryptoDefense оставляет ключ дешифрования доступным». Computerworld. IDG. Апрель 2014 г.. Получено 7 апреля 2014.
  26. ^ «Что делать, если программа-вымогатель атакует ваш компьютер с Windows?». Девиз Techie. Архивировано из оригинал 23 мая 2016 г.. Получено 25 апреля 2016.
  27. ^ Адам, Салли (12 мая 2020 г.). «Состояние программ-вымогателей в 2020 году». Новости Sophos. Получено 18 сентября 2020.
  28. ^ Касснер, Майкл. «Программы-вымогатели: вымогательство через Интернет». TechRepublic. Получено 10 марта 2012.
  29. ^ Себастьян фон Зольмс; Дэвид Наккаш (1992). «О слепых подписях и совершенных преступлениях» (PDF). Компьютеры и безопасность. 11 (6): 581–583. Дои:10.1016 / 0167-4048 (92) 90193-У. S2CID  23153906. Получено 25 октября 2017.
  30. ^ Шабли, Сьюзен (26 сентября 2005 г.). «Файлы для выкупа». Сетевой мир. Получено 17 апреля 2009.
  31. ^ Лейден, Джон (24 июля 2006 г.). «Взломать программу-вымогатель становится все труднее». Реестр. Получено 18 апреля 2009.
  32. ^ Нарайн, Райан (6 июня 2008 г.). «Программа-вымогатель шантажиста возвращается с 1024-битным ключом шифрования». ZDNet. Получено 3 мая 2009.
  33. ^ Лемос, Роберт (13 июня 2008 г.). «Программа-вымогатель, сопротивляющаяся попыткам взлома криптографии». Безопасность. Получено 18 апреля 2009.
  34. ^ Кребс, Брайан (9 июня 2008 г.). «Программа-вымогатель шифрует файлы жертвы с помощью 1024-битного ключа». Вашингтон Пост. Получено 16 апреля 2009.
  35. ^ «Лаборатория Касперского сообщает о новом опасном шантажирующем вирусе». Лаборатория Касперского. 5 июня 2008 г.. Получено 11 июн 2008.
  36. ^ Фиолетовый синий (22 декабря 2013 г.). «Криминальная волна CryptoLocker: след миллионов отмытых биткойнов». ZDNet. Получено 23 декабря 2013.
  37. ^ а б "Ошибка шифрования исправлена ​​во вредоносном ПО для блокировки файлов TorrentLocker". Компьютерный мир. 17 сентября 2014 г.. Получено 15 октября 2014.
  38. ^ «Cryptolocker 2.0 - новая версия или подражатель?». WeLiveSecurity. ESET. 19 декабря 2013 г.. Получено 18 января 2014.
  39. ^ «Новый CryptoLocker распространяется через съемные диски». Trend Micro. 26 декабря 2013 г.. Получено 18 января 2014.
  40. ^ «Устройства Synology NAS, атакованные хакерами, требуют выкуп в биткойнах для расшифровки файлов». ExtremeTech. Зифф Дэвис Медиа. Получено 18 августа 2014.
  41. ^ «Программа-вымогатель для шифрования файлов начинает атаковать веб-серверы Linux». Компьютерный мир. IDG. 9 ноября 2015 г.. Получено 31 мая 2016.
  42. ^ «Киберпреступники шифруют базы данных веб-сайтов в атаках« RansomWeb »». SecurityWeek. Получено 31 мая 2016.
  43. ^ «Хакеры, удерживающие веб-сайты с целью выкупа, меняя свои ключи шифрования». Хранитель. Получено 31 мая 2016.
  44. ^ «Новый .LNK между спамом и Locky-инфекцией». Blogs.technet.microsoft.com. 19 октября 2016 г.. Получено 25 октября 2017.
  45. ^ Манкастер, Фил (13 апреля 2016 г.). «Эксплойты PowerShell обнаружены в более чем трети атак».
  46. ^ «Новая программа-вымогатель использует Tor, чтобы скрыться от безопасности». Хранитель. Получено 31 мая 2016.
  47. ^ а б «Текущее состояние программы-вымогателя: CTB-Locker». Блог Sophos. Sophos. 31 декабря 2015 г.. Получено 31 мая 2016.
  48. ^ Брук, Крис (4 июня 2015 г.). "Автор, стоящий за вымогателем Tox, называет это закрытием, продает платформу". Получено 6 августа 2015.
  49. ^ Дела Пас, Роланд (29 июля 2015 г.). «Encryptor RaaS: еще одна новая программа-вымогатель как услуга в блоке». Архивировано из оригинал 2 августа 2015 г.. Получено 6 августа 2015.
  50. ^ «Symantec классифицирует программы-вымогатели как наиболее опасную киберугрозу - Tech2». 22 сентября 2016 г.. Получено 22 сентября 2016.
  51. ^ «По сообщениям, вымогатели виноваты в отключении сети больниц в США». Грани. Получено 28 сентября 2020.
  52. ^ Лейден, Джон. «Российские копы арестовали 10 подозреваемых в вымогательстве». Реестр. Получено 10 марта 2012.
  53. ^ «Преступники распространяют программы-вымогатели, размещенные на страницах GitHub и SourceForge, рассылая« поддельные обнаженные фотографии »знаменитостей». TheNextWeb. 7 февраля 2013 г.. Получено 17 июля 2013.
  54. ^ «Новая OS X вредоносных программ имеет Маков для выкупа, требует $ 300 штрафа в ФБР для„просмотра или распространения“порно». TheNextWeb. 15 июля 2013 г.. Получено 17 июля 2013.
  55. ^ «Человек получает вымогатель порно выскакивающим, идет к ментам, арестовывают по обвинению в детской порнографии». Ars Technica. 26 июля 2013 г.. Получено 31 июля 2013.
  56. ^ Янг, А. (2003). Игры с ненулевой суммой и устойчивое вредоносное ПО. IEEE Systems, Man and Cybernetics Society Information Assurance Workshop. С. 24–29.
  57. ^ Молодой, М. Юнг (2004). Вредоносная криптография: раскрытие криптовирологии. Вайли. ISBN  978-0-7645-4975-5.
  58. ^ Арнц, Питер (10 июля 2020 г.). «Обзор угроз: WastedLocker, специализированная программа-вымогатель». Лаборатория Malwarebytes. Получено 27 июля 2020.
  59. ^ Рикер, Томас (27 июля 2020 г.). «Garmin подтверждает кибератаку, когда системы фитнеса возвращаются в онлайн». Грани. Получено 27 июля 2020.
  60. ^ а б «Программы-вымогатели на мобильных устройствах: тук-тук-тук-блокировка». Лаборатория Касперского. Получено 6 декабря 2016.
  61. ^ а б «Ваш Android телефон рассматривается незаконное порно. Для того, чтобы разблокировать его, заплатить $ 300 штрафа». Ars Technica. Получено 9 апреля 2017.
  62. ^ "Новая программа-вымогатель Android использует кликджекинг для получения прав администратора". Компьютерный мир. 27 января 2016 г.. Получено 9 апреля 2017.
  63. ^ «Вот как победить недавно обнаруженную программу-вымогатель для iPhone». Удача. Получено 9 апреля 2017.
  64. ^ «Вымогатели мошенники эксплуатировали Safari ошибки выкачивать порно-просмотр пользователей IOS». Ars Technica. 28 марта 2017 г.. Получено 9 апреля 2017.
  65. ^ Аль-Хауаврех, Муна; ден Хартог, Франк; Ситникова, Елена (2019). «Целевые программы-вымогатели: новая киберугроза для периферийной системы промышленного Интернета вещей». Журнал IEEE Internet of Things. 6 (4): 7137–7151. Дои:10.1109 / JIOT.2019.2914390. S2CID  155469264.
  66. ^ Палмер, Дэнни. «Вот как программа-вымогатель может заразить вашу цифровую камеру». ZDNet. Получено 13 августа 2019.
  67. ^ "Gardaí предупреждает о вирусе, блокирующем компьютер" Police Trojan "". TheJournal.ie. Получено 31 мая 2016.
  68. ^ "Компьютерный эксперт Барри видит усиление воздействия новой программы-вымогателя". Барри Экзаменер. Postmedia Network. Получено 31 мая 2016.
  69. ^ «Фальшивый троян-полицейский« обнаруживает оскорбительные материалы »на ПК, требует денег». Реестр. Получено 15 августа 2012.
  70. ^ а б «Вредоносное ПО Reveton замораживает ПК, требует оплаты». Информационная неделя. Получено 16 августа 2012.
  71. ^ Данн, Джон Э. «Оповещение полиции о том, что троянец-выкуп заблокировал 1100 компьютеров». TechWorld. Получено 16 августа 2012.
  72. ^ Константиан, Лучиан (9 мая 2012 г.). «Программа-вымогатель на полицейскую тематику начинает нацеливаться на пользователей из США и Канады». Компьютерный мир. Получено 11 мая 2012.
  73. ^ «В Дубае арестован глава банды зловредов Reveton, которая выкупила выкуп». TechWorld. Получено 18 октября 2014.
  74. ^ "'Программа-вымогатель Reveton дополнена мощным средством для похищения паролей ". Компьютерный мир. 19 августа 2014 г.. Получено 18 октября 2014.
  75. ^ «Для шифрования диска вредоносная программа Cryptolocker требует 300 долларов для расшифровки ваших файлов». Geek.com. 11 сентября 2013 г.. Получено 12 сентября 2013.
  76. ^ Фергюсон, Донна (19 октября 2013 г.). «Атаки CryptoLocker, требующие выкупа за ваш компьютер». Хранитель. Получено 23 октября 2013.
  77. ^ «Деструктивное вредоносное ПО« CryptoLocker »на свободе - вот что делать». Голая безопасность. Sophos. 12 октября 2013 г.. Получено 23 октября 2013.
  78. ^ «Мошенники CryptoLocker взимают 10 биткойнов за услугу вторичного дешифрования». NetworkWorld. 4 ноября 2013 г.. Получено 5 ноября 2013.
  79. ^ «Создатели CryptoLocker пытаются с помощью нового сервиса вымогать у жертв еще больше денег». Компьютерный мир. 4 ноября 2013 г.. Получено 5 ноября 2013.
  80. ^ "Wham bam: Global Operation Tovar взламывает вымогатель CryptoLocker и ботнет GameOver Zeus". Computerworld. IDG. Архивировано из оригинал 3 июля 2014 г.. Получено 18 августа 2014.
  81. ^ «США возглавили многонациональные действия против ботнета Gameover Zeus и вымогателя Cryptolocker, обвинили администратора ботнета». Justice.gov. Министерство юстиции США. Получено 18 августа 2014.
  82. ^ «Австралийцы все чаще поражаются мировой волной шифровальщиков». Symantec. Получено 15 октября 2014.
  83. ^ Грабб, Бен (17 сентября 2014 г.). «Хакеры блокируют тысячи австралийских компьютеров, требуют выкуп». Sydney Morning Herald. Получено 15 октября 2014.
  84. ^ "Австралия специально нацелена на Cryptolocker: Symantec". ARNnet. 3 октября 2014 г.. Получено 15 октября 2014.
  85. ^ «Мошенники используют почту Австралии для маскировки атак по электронной почте». Sydney Morning Herald. 15 октября 2014 г.. Получено 15 октября 2014.
  86. ^ Стив Рэган (7 октября 2014 г.). "Атака программ-вымогателей приводит к отключению телеканала". ОГО. Получено 15 октября 2014.
  87. ^ «Более 9000 компьютеров в Австралии заражены вымогателем TorrentLocker». CSO.com.au. Получено 18 декабря 2014.
  88. ^ «Кампания вредоносной рекламы распространяется на вымогателей CryptoWall с цифровой подписью». Компьютерный мир. 29 сентября 2014 г.. Получено 25 июн 2015.
  89. ^ «CryptoWall 3.0 Ransomware сотрудничает со шпионским ПО FAREIT». Trend Micro. 20 марта 2015 г.. Получено 25 июн 2015.
  90. ^ Андра Захария (5 ноября 2015 г.). «Предупреждение системы безопасности: CryptoWall 4.0 - новый, улучшенный и более трудный для обнаружения». ХЕЙМДАЛЬ. Получено 5 января 2016.
  91. ^ «Программы-вымогатели на мобильных устройствах: тук-тук-тук-блокировка». Лаборатория Касперского. Получено 4 декабря 2016.
  92. ^ «Эволюция мобильных программ-вымогателей». Avast. Получено 4 декабря 2016.
  93. ^ «Мобильные программы-вымогатели используют скачки, блокируя доступ к телефонам». PCWorld. IDG Consumer & SMB. 30 июня 2016 г.. Получено 4 декабря 2016.
  94. ^ «Кибератака: Европол заявляет, что она была беспрецедентной по масштабу». Новости BBC. 13 мая 2017. Получено 13 мая 2017.
  95. ^ "'Беспрецедентная «кибератака» поражает 200 000 человек как минимум в 150 странах, и угроза нарастает ». CNBC. 14 мая 2017. Получено 16 мая 2017.
  96. ^ «Настоящая жертва программ-вымогателей: ваш местный магазин на углу». CNET. Получено 22 мая 2017.
  97. ^ Марш, Сара (12 мая 2017 г.). «Национальная служба здравоохранения (NHS) верит в вредоносное ПО - полный список». Хранитель. Получено 12 мая 2017.
  98. ^ «Honda останавливает завод по производству автомобилей в Японии после того, как вирус WannaCry поразил компьютерную сеть». Рейтер. 21 июня 2017 г.. Получено 21 июн 2017.
  99. ^ «Вирус-вымогатель поразил 75 тысяч компьютеров в 99 странах». RT International. Получено 12 мая 2017.
  100. ^ Скотт, Пол Мозур, Марк; Гоэль, Винду (19 мая 2017 г.). "Жертвы называют блеф хакеров, так как крайний срок для программ-вымогателей приближается". Нью-Йорк Таймс. ISSN  0362-4331. Получено 22 мая 2017.
  101. ^ Константин, Лучиан. «Программа-вымогатель Petya теперь доставляет вдвое больше проблем». NetworkWorld. Получено 27 июн 2017.
  102. ^ «Статистика программ-вымогателей за 2018 | Детектив безопасности». Детектив безопасности. 23 октября 2018 г.. Получено 20 ноября 2018.
  103. ^ «На самом деле, массовая эпидемия вымогателей во вторник была намного хуже». Ars Technica. 28 июня 2017 г.. Получено 28 июн 2017.
  104. ^ «Кибератака была связана с данными, а не с деньгами, - говорят эксперты». Новости BBC. 29 июня 2017 г.. Получено 29 июн 2017.
  105. ^ "'Программа-вымогатель Bad Rabbit поражает Украину и Россию ". BBC. 24 октября 2017 г.. Получено 24 октября 2017.
  106. ^ Херн, Алекс (25 октября 2017 г.). "Bad Rabbit: Game of Thrones вымогательское ПО поразило Европу". Theguardian.com. Получено 25 октября 2017.
  107. ^ а б c Ларсон, Селена (25 октября 2017 г.). «Новая атака вымогателей поражает Россию и распространяется по всему миру». CNN. Получено 25 октября 2017.
  108. ^ «BadRabbit: подробнее о новой версии Petya / NotPetya». Лаборатория Malwarebytes. 24 октября 2017 г.. Получено 31 июля 2019.
  109. ^ Палмер, Дэнни. «Плохой кролик: десять фактов, которые нужно знать о последней вспышке вирусов-вымогателей». ZDNet. Получено 31 июля 2019.
  110. ^ Кэмерон, Делл (24 октября 2017 г.). "'Программа-вымогатель Bad Rabbit поражает Россию и Украину ». Gizmodo. Получено 24 октября 2017.
  111. ^ Палмер, Дэнни (24 октября 2017 г.). «Программа-вымогатель Bad Rabbit: распространяется новая версия Petya, предупреждают исследователи». ZDNet. Получено 24 октября 2017.
  112. ^ Рашид, Фахмида Ю. (19 апреля 2016 г.). «Исправьте JBoss сейчас, чтобы предотвратить атаки программ-вымогателей SamSam». InfoWorld. IDG. Получено 23 июля 2018.
  113. ^ а б Кроу, Джонатан (март 2018 г.). «Город Атланта поражен программой-вымогателем SamSam: 5 основных вещей, которые нужно знать». Баркли против вредоносного ПО. Barkley Protects, Inc. Получено 18 июля 2018.
  114. ^ Федеральное Бюро Расследований, Разыскиваются ФБР: субъекты SamSam (PDF), Министерство юстиции США, получено 5 октября 2019
  115. ^ «Двое иранских мужчин осуждены за использование программ-вымогателей для вымогательства из больниц, муниципалитетов и государственных учреждений, что привело к убыткам на сумму более 30 миллионов долларов» (Пресс-релиз). Министерство юстиции США. 28 ноября 2018 г.. Получено 11 декабря 2018.
  116. ^ Уиттакер, Зак. «Мы поговорили с мошенниками из службы технической поддержки Windows. Вот почему вам не следует». ZDNet. Получено 6 ноября 2019.
  117. ^ «Обновление Windows 10 Fall Creators Update: поддержка syskey.exe прекращена». gHacks. Получено 6 ноября 2019.
  118. ^ «Утилита Syskey.exe больше не поддерживается в Windows 10, Windows Server 2016 и Windows Server 2019». Microsoft. Получено 6 ноября 2019.
  119. ^ "Юма Сан выдерживает атаку вредоносного ПО". Юма Сун. Получено 18 августа 2014.
  120. ^ Каннелл, Джошуа (8 октября 2013 г.). «Cryptolocker Ransomware: что вам нужно знать, последнее обновление - 02.06.2014». Распаковано Malwarebytes. Получено 19 октября 2013.
  121. ^ Лейден, Джош. «Дьявольский вымогатель CryptoLocker: что бы вы ни делали, НЕ ПЛАТИТЕ». Реестр. Получено 18 октября 2013.
  122. ^ "Число заражений Cryptolocker растет; предупреждение US-CERT о проблемах". SecurityWeek. 19 ноября 2013 г.. Получено 18 января 2014.
  123. ^ "'Эпидемия программ-вымогателей Petya становится глобальной ". krebsonsecurity.com. Кребс о безопасности. Получено 29 июн 2017.
  124. ^ «Как защититься от вредоносного ПО Petya». CNET. Получено 29 июн 2017.
  125. ^ «Атака программы-вымогателя Petya: что делать, чтобы ваша безопасность не была скомпрометирована». The Economic Times. 29 июня 2017 г.. Получено 29 июн 2017.
  126. ^ «Распространение новых атак программ-вымогателей« Петя »: что делать». Руководство Тома. 27 июня 2017 г.. Получено 29 июн 2017.
  127. ^ «Индия больше всего пострадала от Пети в Азиатско-Тихоокеанском регионе, седьмое место в мире: Symantec». The Economic Times. 29 июня 2017 г.. Получено 29 июн 2017.
  128. ^ «TRA дает совет по защите от последней программы-вымогателя Petya | The National». Получено 29 июн 2017.
  129. ^ «Программа-вымогатель Petya распространяется через эксплойт EternalBlue« Блог исследования угроз ». FireEye. Получено 29 июн 2017.
  130. ^ а б Чанг, Яо-Чунг (2012). Киберпреступность в регионе Большого Китая: ответные меры регулирующих органов и предупреждение преступности через Тайваньский пролив. Эдвард Элгар Паблишинг. ISBN  9780857936684. Получено 30 июн 2017.
  131. ^ «Инфекционный контроль для ваших компьютеров: защита от киберпреступлений - блог GP Practice Management». Блог по управлению практикой GP. 18 мая 2017. Получено 30 июн 2017.
  132. ^ «Как включить защиту от программ-вымогателей в Windows 10». WindowsLoop. 8 мая 2018. Получено 19 декабря 2018.
  133. ^ «Отражение атак CryptoLocker с помощью ZFS». ixsystems.com. 27 августа 2015.
  134. ^ «Список бесплатных инструментов дешифрования программ-вымогателей для разблокировки файлов». Thewindowsclub.com. Получено 28 июля 2016.
  135. ^ «Emsisoft Decrypter для программ-вымогателей HydraCrypt и UmbreCrypt». Thewindowsclub.com. 17 февраля 2016 г.. Получено 28 июля 2016.
  136. ^ «Инструменты для удаления программ-вымогателей». Получено 19 сентября 2017.
  137. ^ а б c d е О'Горман, G .; Макдональд, Г. (2012), Ransonmware: растущая угроза (PDF), Symantec Security Response, Symantec Corporation, получено 5 октября 2019
  138. ^ Робезниекс, А. (2017). «Программы-вымогатели, превращающие кибербезопасность здравоохранения в проблему ухода за пациентами». Новости бизнеса в сфере здравоохранения. Ассоциация финансового менеджмента здравоохранения. Архивировано из оригинал 16 июня 2017 г.
  139. ^ Хитер, Брайан (13 апреля 2016 г.), «Растущая угроза программ-вымогателей» (PDF), Журнал ПК, получено 5 октября 2019
  140. ^ «Активность начинает снижаться, но остается проблемой для организаций», Отчет об угрозах интернет-безопасности (ISTR) 2019, Symantec Corporation, 24, п. 16, 2019, получено 5 октября 2019
  141. ^ Сообщается о первой смерти после атаки программы-вымогателя на немецкую больницу, ZDNet, получено 5 октября 2020
  142. ^ Sjouwerman, S. (2011, 2016). КИБЕРХАЙСТ: Самая большая финансовая угроза, стоящая перед американским бизнесом после краха 2008 года. Клируотер, Флорида: KnowBe4.
  143. ^ Osterman Research, Inc. (октябрь 2018 г.). «Лучшие практики для проведения тренинга по безопасности» [Белая книга]. ЗнайBe4. Получено с https://www.knowbe4.com/hubfs/Best%20Practices%20for%20Implementing%20Security%20Awareness%20Training%20-%20KnowBe4%20Osterman%20 (1) .pdf.
  144. ^ Zain Qaiser: Студент в тюрьму за шантаж порно пользователей по всему миру, Доминик Casciani, BBC, 9 апреля 2019
  145. ^ Британский хакер приговорен к шантажу миллионов порно посетителей сайта, Тессы, 9 апреля 2019
  146. ^ Распространитель программы-вымогателя Reveton приговорен к шести годам тюремного заключения в Великобритании, Каталин Чимпану, ZDNet 9 апреля 2019 г.
  147. ^ Как полицейские поймали самый отъявленных порно вымогателей барона Великобритании, матовый Берджесс, Wired, 12 апр 2019
  148. ^ Zain Qaiser: Студент в тюрьму за шантаж порно пользователей по всему миру, Доминик Casciani, BBC, 9 апреля 2019
  149. ^ Angler by Lurk: почему печально известная киберпреступная группа, укравшая миллионы, сдает в аренду свой самый мощный инструмент, 30 августа 2016 г.
  150. ^ Мужчина из Флориды отмывал деньги для вымогателя Reveton. Затем Microsoft наняла его, Шона Николса, Регистр 15 августа 2018 г.
  151. ^ Филдс, Логан М. (25 февраля 2017 г.). "Отчет меньшинства - Неделя 7 - Точка на полпути". Мировые новости.
  152. ^ Редактор NetSec (15 февраля 2017 г.). «Закон штата Мэриленд о программах-вымогателях совершает нападения на преступления». Новости сетевой безопасности.
  153. ^ Вэй, Ван (6 июня 2017 г.). «14-летний японский мальчик арестован за создание программы-вымогателя». Хакерские новости.
  154. ^ Янг, Адам Л .; Юнг, Моти (2005). «Реализация криптовалютного вымогательства с использованием Microsoft Crypto API» (PDF). Лаборатории криптовирологии. Получено 16 августа 2017.

дальнейшее чтение

внешняя ссылка