Исследователи безопасности отмечают всплеск активности вредоноса Hello XD. Это вымогательское ПО было впервые обнаружено в ноябре 2021 года. Hello XD написано на украденным исходном коде шифровальщика Babuk и использовалось в нескольких атаках с двойным вымогательством. В ходе этих атак злоумышленники похищали корпоративные данные, прежде чем зашифровать информацию на устройстве жертвы.
Вредонос работает довольно просто: шифрует данные и добавляет .hello в конец имени файла. Например, sample.jpg становится sample.jpg.hello, а 1.png становится 1.png.hello. Кроме того, Hello XD генерирует текстовый файл Hello.txt с требованием выкупа. Вымогательское ПО может заражать компьютеры в локальной сети и шифровать файлы, создаваемые на зараженном устройстве после атаки.
Согласно новому отчету, опубликованному 42 подразделением компании Palo Alto Networks , разработчики программы-вымогателя создали новый шифровальщик, который включает в себя как изменения в методе шифрования, так и специальный пакет, позволяющий избежать обнаружение.
При запуске Hello XD сначала пытается отключить теневые копии, чтобы помешать легкому восстановлению системы. После этого он шифрует файлы и добавляет расширение.hello к именам создаваемых им файлов. Помимо полезной нагрузки в виде программы-вымогателя, операторы Hello XD запускают бэкдор под названием MicroBackdoor. Он используется для сбора информации о зараженной системе, удаления файлов, удаленного выполнения команд и заметания следов.
Исполняемый файл MicroBackdoor скрывается с помощью WinCrypt API и встраивания в полезную нагрузку программы-вымогателя.
Hello XD – опасное вымогательского ПО на ранней стадии разработки, медленно распространяющееся в дикой природе. 42 подразделению компании Palo Alto Networks удалось отследить его до русскоязычной хакерской группировки X4KME. Учитывая навыки злоумышленников, Hello XD способен стать крайне серьезной угрозой, поэтому аналитики продолжат активно следить за его развитием.
Источник: SecurityLab