Ransomware: czy rosyjski układ klawiatury naprawdę pomaga?

Strona głównaRansomware: czy rosyjski układ klawiatury naprawdę pomaga?
23.05.2021 21:48
Ransomware: czy rosyjski układ klawiatury naprawdę pomaga?
Ransomware: czy rosyjski układ klawiatury naprawdę pomaga?
Źródło zdjęć: © Pixabay | Никита Сажин

Marcin kilka dni temu pisał o tym, że kilka kampanii ransomware nie wykonuje złośliwego kodu, jeżeli w systemie jest ustawiony rosyjski układ klawiatury. Trik ten ostatnio stał się popularniejszy, ale nie jest kwestią nową. Podobne zachowanie obserwuje się już od dość dawna i dlatego nasze analizy wirusów zawsze odbywają się w maszynach wirtualnych z francuskim interfejsem, amerykańskimi ustawieniami regionalnymi oraz czeskim układem klawiatury.

bEJSiryZ

Po artykule, wśród Czytelników pojawiły się wątpliwości. Czy wspomniana metoda naprawdę działa? I jeżeli tak, to na ile jest skuteczna? I dlaczego w ogóle istnieje? To zasadne pytania, choć nie zawsze wychodzące z poprawnych założeń. Przydatnym może być odniesienie się do nich. Głównie po to, by pozbawić złudzeń o tym, że rosyjska klawiatura jest panaceum na ransomware.

Ustawienia regionalne

Funkcjami językowymi najczęściej sprawdzanymi przez wirusy są ustawienia regionalne (jednostki, przecinki, daty), aktywny układ klawiatury oraz zainstalowane układy klawiatury. Choć zdarza się złośliwe oprogramowanie, które dokonuje enumeracji zainstalowanych klawiatur (i robiła tak kampania makrowirusów wymierzonych w Polskę), większość "nowożytnego" ransomware'u sprawdza, jaki układ jest aktywny.

Przełącznik układów klawiatury
Źródło zdjęć: © dobreprogramy | Kamil J. Dudek
Przełącznik układów klawiatury

Dlatego dodanie rosyjskiego układu klawiatury uchroni nas przed jedynie skromnym wycinkiem złośliwego oprogramowania. Na pewno unieszkodliwi on dawne wirusy mailowe "od DHL", ale nie zadziała przeciwko wirusom DarkSide. Chcąc ochronić się przed szerszym zakresem szkodników, musielibyśmy ustawić język rosyjski jako domyślną metodę wprowadzania oraz region, a to jest bardzo niepraktyczne.

bEJSirzb

Po co się ograniczać?

Słychać też głosy, że dodatkowy układ klawiatury nie może pomóc, bo istnienie takiej metody unieszkodliwienia redukowałoby potencjalną liczbę ofiar. To nie do końca prawda. Kampanie ransomware rzadko bywają całkowicie ogólne. Zazwyczaj są wymierzone w kogoś konkretnego. Jest to albo… cały kraj (maile przetłumaczone na język ofiary) albo sieć jakiejś firmy, zaatakowana przez grupę przestępców celującą np. w duże firmy ubezpieczeniowe.

Faktem jest, że większość punktów wejścia to dziś generyczny phishing a nawet ataki na niezałatane dziury są zautomatyzowane. Ale to nie znaczy, że atakowane jest cały świat. Phishing musi się odbywać w jakimś języku, a boty/harvestery raczej nie skanują całego świata jednocześnie. W przeciwnym wypadku zostałyby wycięte przez ISP.

To nie patriotyzm

Dlatego obecność wyłącznika aktywowanego rosyjską klawiaturą nie jest czymś niemożliwym. Z tym, że nie jego istnienie wcale nie wynika z domniemywanego przez niektórych poczucia braterskiej wspólny, patriotyzmu lub "lojalności pośród łajdaków". Chodzi po prostu o to, żeby twórcy trojanów nie zaszyfrowali sobie przypadkiem swoich własnych komputerów, gdyby przez przypadek uruchomili opracowanego wirusa u siebie.

bEJSirzh

Jest też inne wytłumaczenie: gubienie tropu. Gdyby twórcy danego szyfranta pochodzili np. z Indii, ale nie chcieliby, żeby ktokolwiek w ogóle próbował ich tam szukać, sensownym byłoby dodać kilka poszlak wskazujących w inną stronę. Reagowanie na rosyjski układ klawiatury może łatwo skierować uwagę na Rosjan, choć mogą oni nie mieć nic wspólnego z (tym akurat) atakiem.

O wiele lepszą ochronę przed ransomware zapewnia aktualizowanie oprogramowania i nieuruchamianie obcego kodu. Alternatywne układy klawiatury są jednak przydatnym ustawieniem w przypadku badania próbek wirusów. Wymaga to jednak dużej dozy ostrożności.

Programy

Aktualizacje
Aktualizacje
Nowości
Udostępnij:
bEJSirzX