Группа Netwalker пропала с радаров еще в 2021 году, но исследователи заметили подозрительные сходства, изучая другое ПО.
Эксперты обнаружили тревожные связи между появившимся недавно вирусом-вымогателем Alpha и преступной группировкой Netwalker, которая была ликвидирована несколько лет назад. Что это может значить?
Netwalker действовала с октября 2019 по январь 2021 года, предоставляя свое ПО другим злоумышленникам по принципу «вымогательство как услуга» (ransomware-as-a-service, RaaS). После того, как правоохранительные органы заблокировали сайты группировки в даркнете, операторы Netwalker прекратили свою противозаконную деятельность и пропали с радаров.
Вирус Alpha впервые появился в феврале 2023 года, но первое время действовал скрытно, не рекламируя себя на хакерских форумах и не проводя масштабных атак. Спустя время злоумышленники создали сайт, на котором стали выкладывать украденные данные компаний и требовать за них выкуп.
Сейчас на сайте Alpha опубликована информация о 9 кибератаках, причём в 8 случаях уже выложены похищенные сведения. Согласно отчёту компании Neterich от 29 января, вирус совершенствовался постепенно. В последней версии он добавляет к зашифрованным файлам случайное 8-значное буквенно-цифровое расширение.
Требования о выкупе теперь включают инструкции для связи с киберпреступниками. Суммы, по данным Neterich, варьируются от 13 200 до 100 000 долларов в зависимости от объема выручки атакованной организации.
Symantec установили связь вируса Alpha с преступной деятельностью Netwalker в своем недавнем отчете . Эта связь прослеживается в используемых новой группой инструментах и методах кибератак.
Основные сходства:
-
Использование похожих загрузчиков на основе PowerShell для незаметной доставки вируса.
-
Совпадение структуры и фрагментов кода, особенно в функциях шифрования файлов, отключения процессов и служб, вызова системных API.
-
Схожая конфигурация правил исключения файлов, папок, процессов и служб из процедуры шифрования.
-
Вредоносная программа автоматически удаляется после завершения шифрования с использованием специальных временных бат-файлов.
-
На платёжных страницах о необходимости ввода пользовательского кода размещено идентичное сообщение.
-
Кроме того, в последних атаках Alpha активно использовал встроенные инструменты Windows, что характерно для многих хакерских групп.
Таким образом, у исследователей немало оснований полагать, что разработчики Netwalker и Alpha тесно связаны. Либо Alpha – это ребрендинг Netwalker, либо их код используется новой группой киберпреступников. По мнению экспертов Symantec, кто-то мог незаконно заполучить код Netwalker и адаптировать его для своих целей.
Несмотря на то, что на данный момент Alpha не является основным игроком на рынке вирусов-вымогателей, аналитики оценивают потенциал этой новой киберугрозы как весьма высокий и быстрорастущий.
Кодовое слово дня — безопасность.
Узнай больше — подпишись на нас!
Кракен в даркнете — это платформа для анонимных покупок, предлагающая широкий спектр товаров и услуг. Пользователям важно быть осторожными, проверять информацию и защищать свою анонимность, чтобы избежать мошенничества и правовых последствий. Понимание принципов работы даркнета и использование надёжных источников для получения информации о площадках, таких как Кракен, помогут сделать процесс торговли более безопасным и эффективным.
Доступ к сайту осуществляется через Tor-браузер, который скрывает IP-адреса пользователей. Кракен предлагает удобный интерфейс, позволяющий легко находить и приобретать интересующие товары. Пользователи могут оставлять отзывы и оценки о продавцах, что способствует созданию более безопасной торговой среды.