Откриха още една зловредна програма на основата на EternalBlue

Вълната от кибератаки с помощта на два от инструментите на Агенцията за национална сигурност на САЩ (АНС) и WannaCry изглежда отшумяват. Вече има информация за втора и трета версия, но благодарение на медиите, и до известна степен на Microsoft, инцидентите свързани с рансъмуер заплахата вече няма да имат тази масовост. За това пък разбрахме за две други атаки с помощта на EternalBlue. Едната от тях – доста опасна, тъй като става за доставянето на безфайлов зловред, трудно откриваем за програмите за сигурност и системите за наблюдение.

Името му е UIWIX и е открит от Trend Micro. И той подобно на Wcry (или Wannacry) експлоатира уязвимости в SMB (v1 и v2) и след успешното компрометиране на системата, се загнездва в паметта, без да записва файлове по диска. Зловредната програма е с вградена защита и ако засече, че бива изпълняван във виртуална среда се самоунищожава. Той има способността да събира логин информация, вписвана в страници в браузъра, FTP и имейл авторизационна информация, както и данни за вписването в популярни програми за комуникация. UIWIX обаче не притежава механизми, които да му позволят да се стартира автоматично със системата, както му липсва и устойчивост и бива доставен, като библиотечен .dll файл. Ако засече, че жертвата се намира в Русия, Казахстан или Беларус, той се самоунищожава без да върши каквато и да е зловредна дейност, а комуникацията с авторите си осъществява по защитен канал в Tor.

Вероятно е UIWIX да е предварителна версия на заплаха, по която се работи, тъй като освен функционалност за автостартиране и персистентност, той няма саморепликираща се функционалност, подобно на заразата с Wcry. UIWIX е една от редките рансъмуер заплахи, които крадат данни, както вече беше споделено – т.е., освен достъпа до информацията ви, зловредната програма, краде и достъпа до вашите любими сайтове – това, че имате бекъп не е успокояващо. Ако има нещо успокояващо, свързано с UIWIX, това е, че той не изтрива Shadow копията в Windows.