В сети замечен еще один опасный вирус Lemon_duck

4 октября 2019

Новый шифровальщик, основанный на эксплойте EternalBlue, более известный по ассоциации его с атаками WannaCry, по заверениям экспертов, также имеет быстрое распространение в сети, за счет без файлового сценария, и возможностью управления ресурсами центрального процессора, который позднее используется для майнинга криптовалюты.

Запланированные задачи используются для поддержания постоянной работы алгоритмов на целевых компьютерах под управлением Windows, сканируя открытые порты и случайным образом генерируя IP-адреса. Хотя исследователи и полагали, что кампания нацелена только на азиатский регион, полученные данные подтверждают, что в настоящее время зловред распространился по всему миру.

Как только Lemon_Duck находит удаленный компьютер, со скриптом, который отвечает, он инициирует брутфорс атаку, с целью получить к нему доступ. В то же время он проверяет эксплойт EternalBlue который предполагает возможность входа в систему под учетными данными, используя пароль и хэш-словарь.

Исследователи отметили, что тот, кто стоит за Lemon_Duck, активно учится у своих коллег в сообществе киберпреступности. Например, некоторые пароли, которые он пытается использовать, были идентичны тем, которые распространяют ботнеты атакующие IoT устройства, такие как Mirai, о котором мы уже писали. Техника передачи хэша использует протокол Microsoft NTLM для взлома целевого компьютера.

В случае, если взлом через PowerShell прошел удачно, и происходит загрузка, Lemon_Duck реплицирует и проверяет себя на зараженном компьютере каждый час с помощью запланированных задач Windows. В этот же момент, модуль эксплойта и модуль майнера начинают искать способы использования ресурсов устройства, для получения криптовалют.

Тем не менее, на данном этапе атака не закончена. Lemon_Duck будет работать быстро, чтобы использовать первый компьютер, который он скомпрометирует в сети, в качестве своего рода плацдарма для распространения на другие устройства. Исследователи добавили, что помимо использования методов EternalBlue и brute-force, злоумышленники используют исполняемые файлы, USB-накопители и сетевые диски.

Самым простым способом защиты от Lemon_duck будет постоянная смена пароля от учетной записи устройства на Windows. Но что бы не допустить вероятности заражения устройства вирусами, червями, шифровальщиками-вымогателями, майнерами и другими типами вредоносных программ, советует присмотреться к решениям от компании McAfee. У них есть комплексные решения для защиты от любых существующих и не существующих угроз, которые предназначены как для корпоративного использования, так и для частного, на домашнем компьютере.