Шифровальщик Hive окончательно перешел на Rust и стал опаснее, чем когда-либо

Чт 7 Июль 2022 19:47

В своем недавнем отчете специалисты из Microsoft Threat Intelligence Center назвали Hive одним из самых быстро развивающихся семейств вымогательского ПО. В последнем обновлении разработчики Hive полностью изменили инфраструктуру шифровальщика. Самыми главными изменениями стал переход с GoLang на Rust и усложнение методов шифрования.

Перейдя на Rust, вредонос получил несколько преимуществ:

Безопасность по памяти, типам данных и потокам;

Многопоточность;

Устойчивость к реверс-инжинирингу;

Полный контроль над низкоуровневыми ресурсами;

Широкий выбор криптографических библиотек.

Кроме этого, разработчики добавили Hive парочку “полезных” фич. Теперь вымогательское ПО использует функции, завершающие службы и процессы, связанные с решениями безопасности, а также способен построчно шифровать свой код, в качестве меры противодействия анализу.

Метод шифрования у обновленного Hive стал намного интереснее. Вместо того, чтобы встраивать зашифрованный ключ в каждый шифруемый файл, вредонос генерирует в памяти два набора ключей, использует их, после чего записывает с расширением .key в корневой каталог диска.

Чтобы определить, какой из двух ключей используется для блокировки конкретного файла, зашифрованный файл переименовывается – к нему добавляется имя .key-файла, знак подчеркивания и строка в кодировке Base64, указывающая на два разных блока данных в key-файле. Итоговый результат может выглядеть вот так: C:\myphoto.jpg.l0Zn68cb _ -B82BhIaGhI8.

Апгрейд Hive, окончание вымогательской деятельности AstraLocker и появление RedAlert – все это говорит о том, что ландшафт киберугроз постоянно меняется и ИБ-специалистам нужно оставаться начеку.

Статья уведена с www.securitylab.ru.

NetLan.ru жив уже 16 лет 259 дней 22 часа 24 минуты 46 секунд
СМК NetLan (Nettlesome Landloper) — некоммерческий интернет-ресурс.
Весь данный интернет-ресурс и всё созданное или размещённое на нём используется в личных целях.