Převážně na Rusku a v Ukrajině začal řádit nový ransomware nazvaný Bad Rabbit. Oproti předchozím letošním velkým útokům se Bad Rabbit nespoléhá na díru v počítači. Výsledek je ovšem podobný jako u jiných virů. V kyjevském metru např. kartou nezaplatíte jízdenku.
Letošek je na útoky ransomwaru bohatý, čímž nám znovu významně připomněl, jak je důležité používat záplatovaný software a také zdravý rozum. V posledních dvou letech ransomware představuje dobrý byznys – „vydělal“ přes 25 milionů dolarů. V květnu začal ve velkém útočit škodlivý kód, jemuž bylo přisouzeno jméno WannaCry a který pravděpodobně pocházel ze Severní Koreje.
Další útok přišel koncem července a šlo o ransomware Petya. Ten zasáhl klíčová centra Ukrajiny, takže nefungovaly některé bankomaty, platební terminály na čerpacích stanicí nebo v metru, dále některé vládní počítače apod. O tomto útoku se spekuluje, že přišel z Ruska.
Nový měsíc, nový ransomware
Bezpečnostní firma Kaspersky Lab dne 24. října zaznamenala další velký útok. Tentokrát začal řádit ransomware nazvaný Bad Rabbit. Podle zástupců firmy se prozatímní vlna útoků soustředila primárně na Rusko, postižena ale byla částečně opět také Ukrajina. Zasaženi byli jednotlivci, ale i organizace. Aby byly soubory odemčeny, musíte provést platbu ve výši 0,05 bitcoinu (zhruba 6 tisíc korun).
BadRabbit creates two scheduled tasks, named after the dragons from Game of Thrones. Also a reference to GrayWorm, the skin disease in GoT. pic.twitter.com/BfQxGrMwC0
— Kevin Beaumont (@GossiTheDog) 24. října 2017
Pokud se zaplacením otálíte, cena výkupného se zdvihá. Klíče k zašifrovaným datům jsou vygenerovány pomocí funkce CryptGenRandom a je použit silný klíč RSA 2048.
Bad Rabbit, známý též pod označením Win32/Diskcoder.D, opět zneužívá protokol SMB. Jedná se o variantu Win32/Diskcoder.C, což je nemarketingové označení pro ransomware Petya. Eset uvádí, že navzdory některým tvrzením však tento škodlivý kód nezneužívá známé zranitelné místo nazvané EternalBlue. To zneužili dříve právě Petya nebo WannaCry.
Způsob distribuce Bad Rabbitu
Jak se Bad Rabbit šíří? Zcela legitimní weby jsou napadeny a upraveny tak, že vložený skript vybídne návštěvnici či návštěvníka k aktualizaci Flash Playeru, jak zjistil Eset. Pokud klepnete na tlačítko pro stažení, dojde ke stažení souboru, jenž je pojmenován jako instalační program Flash Palyeru. Ve skutečnosti po spuštění dojde k zašifrování osobních souborů.
Co počítače ochrání, když ne záplata? Jak vyplývá z uvedených okolností, tak to, že nespustíte stažený soubor jako install_flash_player.exe. Pokud si tedy opravdu nestahujete příslušný instalační program přímo z webu Adobe.
