Równowartość tysiąca dolarów za odszyfrowanie plików – uwaga na nowe oprogramowanie ransomware
Nemty – taką nazwę nosi nowe, szybko rozprzestrzeniające się złośliwe oprogramowanie typu ransomware, które szyfruje pliki na urządzeniu ofiary ataku i następnie żąda okupu za ich przywrócenie. Może być ono dostępne także w modelu usługowym (Ransomware-as-a-Service), a prawdopodobnie stoją za nim cyberprzestępcy pochodzący z Rosji.
Pierwsza próbka Nemty, którą przeanalizowali analitycy z laboratorium FortiGuard firmy Fortinet, pochodziła z linku udostępnionego na Twitterze na koncie @BotySrt. Wcześniej pojawiały się tam linki do skryptów umieszczonych w serwisie Pastebin, zawierających złośliwy kod z rodzin Sodinokibi i Buran. Tym razem jednak link prowadził do skryptu Powershell, który uruchamiał osadzony malware z użyciem metody Reflective PE Injection. Materiał pobrany przez specjalistów Fortinet spod linku oznaczonego jako Sodinokibi nie zawierał jednak oczekiwanego, znanego już ransomware’u, lecz prowadził do nowego rodzaju kodu, zidentyfikowanego później jako Nemty.
Chociaż analitycy Fortinet znaleźli kilka nieprawidłowości w kodzie Nemty, to wskazują, że w obecnej postaci może ono być niebezpieczne, ponieważ potrafi zaszyfrować pliki w systemie ofiary.
– Co ciekawe, podczas analizy tego złośliwego kodu odnaleziono pewne elementy używane także przez ransomware GandCrab, który jeszcze niedawno był jednym z najniebezpieczniejszych programów tego typu – mówi Robert Dąbrowski, szef zespołu inżynierów Fortinet w Polsce. – W dodatku Nemty jest dystrybuowane tą samą metodą co Sodinokibi, które również ma wiele podobieństw do GandCraba. Trudno jednak orzec, czy istnieje jakakolwiek rzeczywista relacja między nimi.
O autorze
