Bad Rabbit ( рус. «Плохой кролик» ) — вирус - шифровальщик , разработанный для ОС семейства Windows и обнаруженный 24 октября 2017 года . По предположениям аналитиков, программа имеет сходство отдельных фрагментов с вирусом NotPetya .

По оценке Symantec вирус имеет низкий уровень угрозы . 25 октября серверы, обеспечивавшие начальное заражение Bad Rabbit, были остановлены .

История

24 октября 2017 года, вирус шифровальщик атаковал ряд российских СМИ , включая ИА « Интерфакс » и интернет-газету « Фонтанка », а также киевское метро и аэропорт Одесса , требуя за разблокировку одного компьютера 0,05 биткойнов (около 16 тысяч рублей) в течение 48 часов . Также, в меньшей степени, атаке подверглись Турция и Германия . Восстановление работы сайта и компьютеров «Интерфакса» заняло более суток . Тогда же, в вирусе были найдены отсылки к фэнтази-саге « Игра престолов », а именно имена трех драконов — Дрогона, Рейгаля и Визериона .

Метод атаки

Для первоначальной установки Вирус не использует каких-либо эксплойтов или уязвимостей: инсталлятор вируса, маскирующийся под установку обновления для Adobe Flash Player , должен быть скачан и запущен вручную пользователем, он запрашивает подтверждение повышения полномочий посредством UAC Windows .

После установки приложение регистрируется в штатном механизме планирования заданий и начинает самостоятельное распространение по локальной сети через удаленные подключения SMB и WMIC при помощи перехвата токенов и паролей утилитой и перебора паролей NTLM на удаленных узлах Windows для ряда распространенных имен пользователей . По данным Cisco Talos, компонент распространения вируса дополнительно использует технологии и коды АНБ «EternalRomance», которые ранее были опубликованы группой Shadowbrokers (ошибка в кодах SMB , исправлена Microsoft в марте 2017) .

Приложение производит шифрование файлов по алгоритмам AES-128-CBC и RSA-2048 .

В нарушение лицензии GPLv3 приложение Bad Rabbit пользуется кодами и драйвером из проекта DiskCryptor , но при этом не публикует изменённых исходных кодов и не запрашивает у пользователя согласия на использование лицензии GPLv3.

Примечания