Wojny cybergangów: konkurencja wydała klucze do ransomware Chimera

Ransomware o nazwie Chimerawywołało spore poruszenie w światku twórców złośliwegooprogramowania – i strach wśród użytkowników. Pewni siebiecyberprzestępcy grozili ofiarom, że jeśli nie zapłacą okupu(wynoszącego 600 dolarów, płatne w bitcoinach), to nie tylkoutracą swoje dane, ale też niektóre z nich, w tym zdjęcia ifilmy, zostaną upublicznione w Internecie. Nic takiego się nigdynie stało, ale presja okazała się na tyle skuteczna, że na kontocyberprzestępców mogło trafić ok. 300 bitcoinów. Kto wie, iluzdecydowało się nie płacić i straciło swoje dane? Teraz jednakpojawiła się dla nich nowa nadzieja. Pomogła… inna grupacyberprzestępców.

Adam Golański

29 lipca 2016, 15:16

Konkurencja między twórcami ransomware robi się coraz większa.Nowe wersje uzbrajane są w kod mający na celu zablokowaniekonkurencyjnego malware. Teraz twórcy szkodników Petyai Mischa zaostrzyli konflikt. Udostępnili 3,5 tysiąca unikatowychkluczy deszyfrujących Chimery (RSA), chwalącsię zarazem, że ich Mischa wykorzystuje część kodu Chimery,wydobytą z deweloperskiego serwera konkurentów.

Nie licząc innowacyjnej metody wywierania presji na ofiary,Chimera nie wyróżniała się niczym specjalnym – i tak samoMischa jest całkiem zwyczajna, przynajmniej w porównaniu do Petyi,która szyfruje nie pliki, lecz cały dysk. Jednak by zacząć swojedzieło, Petya potrzebuje praw dostępu administratora Windows, coogranicza zakres jej stosowania. Mischa, szyfrując podobnie jakChimera tylko pliki, stanowi doskonałe dopełnienie Petyi, gdyż niewymaga uprawnień administracyjnych.

Wydanie kluczy szyfrujących Chimery nie dokonało się bynajmniejz dobroci serca. Tak naprawdę to był tylko sposób naprzyciągnięcie uwagi do nowego programu partnerskiego twórcówPetyi i Mischy. Gdyby byli oni internetową korporacją, nazwaliby topewnie Ransomware-as-a-Service. Profesjonalna usługa, gwarantującawysoki poziom infekcji, gwarantowane wypłaty wynagrodzeń, darmowerozwiązania szyfrujące i łatwą administrację pozwala zarobićcyberprzestępcom niemałe pieniądze.

Firmom antywirusowym pozostaje teraz zbudować deszyfratorwykorzystujący udostępnione klucze RSA, czekamy aż zrobi toKaspersky w swojej usłudze RansomwareDecryptor – wystarczy przystosować gotowe narzędzia. A potemczekać na nową falę infekcji Petyą i Mishą, oferowanych w ramachcyberprzestępczej usługi.

Adam Golański