Sophos виявив нове шкідливе програмне забезпечення, яке атакує Microsoft Exchange

Sophos виявив нове шкідливе програмне забезпечення під час розслідування атаки на неназвану велику американську компанію гостинності. Оператори нового програмного забезпечення-вимагача під назвою Red Epsilon використовують вразливості на серверах Microsoft Exchange для компрометації комп'ютерних систем і шифрування даних.

Зловмисники проникли в корпоративну мережу, експлуатуючи вразливості в локальному сервері Microsoft Exchange. Наразі експерти не знають, чи використовували хакери вразливості ProxyLogon для доступу до пристроїв.

Епсілон Червоний написаний на мові Голанг (Go) і містить набір унікальних скриптів PowerShell, які готують пристрій до процедури шифрування файлів. Скрипти можуть відключати процеси і служби рішень безпеки, баз даних, програм резервного копіювання, офісних додатків і поштових клієнтів, видаляти shadow copies тому, викрадати файл диспетчера облікових записів безпеки (SAM) з хешами паролів, видаляти журнали подій Windows, відключати Захисник Windows, підвищувати привілеї в системі і т.д.

Більшість скриптів нумеруються від 1 до 12, але є кілька, які названі однією буквою. Один з них, c.ps1, здається, є клоном інструменту тестування на проникнення Copy-VSS.

Після порушення мережі хакери отримують доступ до комп'ютерів через протокол віддаленого робочого столу (RDP) і використовують інструменти керування Windows (WMI) для встановлення програмного забезпечення та запуску сценаріїв PowerShell. Дослідники Sophos помітили, що зловмисники також встановлюють браузер Tor і копію комерційного програмного забезпечення для операцій віддаленого робочого столу Remote Utilities.

Програми-вимагачі шифрують всі дані в цільових папках, додаючи розширення .epsilonred, не шкодуючи виконуваних файлів або бібліотек DLL, які можуть порушити роботу важливих програм або навіть операційної системи.

Хоча назва та інструменти є унікальними для цього зловмисника, записка про викуп на заражених комп'ютерах схожа на записку, залишену групою REvil. Однак примітка Епсілон Ред робить кілька незначних граматичних виправлень. Інших подібностей між програмами-вимагачами Epsilon Red і REvil не виявлено.

За результатами аналізу адреси криптовалютного гаманця зловмисників стало відомо, що щонайменше одна з жертв заплатила викуп у розмірі 4,29 біткоїнів 15 травня поточного року.