A „ShrinkLocker” nevű, eddig ismeretlen zsarolóprogram a Windows operációs rendszerbe épített BitLocker funkció segítségével titkosítja az áldozatok adatait. A BitLocker egy teljes körű titkosító, amely 2007-ben, a Windows Vistában jelent meg beépítve. A felhasználók teljes merevlemezek titkosítására használhatják, hogy megakadályozzák az adatok olvasását vagy módosítását, ha illetéktelenek fizikai hozzáférést szereznének a lemezhez.
A Windows 10 bevezetésétől kezdve a BitLocker alapértelmezés szerint a 128 bites és 256 bites XTS-AES titkosítási algoritmust használja, így a funkció extra védelmet nyújt az olyan támadásokkal szemben, amelyek a rejtjelezett szöveg manipulálására támaszkodnak, kiszámítható változásokat okozva „sima” szöveges adatokban.
A közelmúltban a Kaspersky biztonsági cég kutatói egy olyan fenyegető szereplőt találtak, aki a BitLocker segítségével titkosított adatokat Mexikóban, Indonéziában és Jordániában található rendszereken. A kutatók az új zsarolóprogramot ShrinkLockernek nevezték el – egyrészt a BitLocker használata miatt, másrészt azért, mert a program minden egyes, nem indító partíció méretét 100 MB-tal csökkenti, és az újonnan ki nem osztott helyet új, azonos méretű elsődleges partíciókra osztja fel.
„Az incidensekre adott válaszaink és a kártevőprogramok elemzései azt bizonyítják, hogy a támadók folyamatosan finomítják taktikájukat, hogy elkerüljék a felderítést. Ebben az incidensben a natív BitLocker funkcióval való visszaélést figyeltük meg jogosulatlan adattitkosításra”,
írták a kutatók.
Nem az első, és nem is az utolsó
A ShrinkLocker nem az első rosszindulatú szoftver, amely kihasználja a BitLockert. A Microsoft 2022-ben arról számolt be, hogy az Iránhoz köthető zsarolóvírus-támadók szintén az eszközt használták fájlok titkosítására. Ugyanebben az évben a Miratorg orosz mezőgazdasági vállalkozást olyan zsarolóprogram támadta meg, amely a BitLockert használta a fertőzött eszközök rendszertárolóján található fájlok titkosítására.
A ShrinkLocker az eszközre telepítve egy VisualBasic szkriptet futtat, amely először a Windows Management Instrumentation és a Win32_OperatingSystem osztályt hívja meg, hogy információkat szerezzen az operációs rendszerről.
„A lekérdezés eredményein belül minden egyes objektum esetében a szkript ellenőrzi, hogy az aktuális tartomány különbözik-e a céltól. Ha igen, akkor automatikusan kilép. Ha nem, akkor ezután ellenőrzi, hogy az operációs rendszer neve tartalmazza-e az ‘xp,’ ‘2000’, ‘2003’ vagy ‘vista’ karaktersorozatokat, és ha a Windows verziója megegyezik ezek bármelyikével, a szkript automatikusan lefut, és törli magát”,
írták a Kaspersky kutatói.
A szkript ezután továbbra is a WMI-t használja az operációs rendszerre vonatkozó információk lekérdezésére. Ezután végrehajtja a lemez átméretezési műveleteket, amelyek az észlelt operációs rendszer verziójától függően változhatnak. A zsarolóprogram ezeket a műveleteket csak helyi, rögzített meghajtókon hajtja végre. A hálózati meghajtók kihagyását valószínűleg az indokolja, hogy a hálózati észlelési védelmet nem kívánja beindítani.
Végül a ShrinkLocker kikapcsolja a BitLocker titkosítási kulcs biztosítását célzó védelmeket, és továbbhalad azok törlésével. Ezután lehetővé teszi egy numerikus jelszó használatát, amely egyrészt védelmet nyújt a BitLocker feletti irányítás visszavételével szemben, másrészt a rendszeradatok titkosítására szolgál. Az alapértelmezett védők törlésének oka az, hogy a készülék tulajdonosa letiltsa a kulcs-visszaállítási funkciókat. A ShrinkLocker ezután egy 64 karakteres titkosítási kulcsot generál véletlenszerű szorzással és helyettesítéssel.
Egyelőre nincs ellene védelem
A meghajtók visszafejtése a támadó által megadott kulcs nélkül nehéz, és sok esetben valószínűleg lehetetlen. Míg a kulcsok generálásához használt jelszavak és rögzített értékek egy része visszaállítható, a szkript változó értékeket használ, amelyek minden egyes fertőzött eszközön eltérők. Ezeket a változó értékeket nem könnyű megszerezni.
A sikeres támadások megakadályozására nem létezik hatékony védelem. A Kaspersky a következőket tanácsolja:
- Használjon megbízható, megfelelően konfigurált végpontvédelmet a BitLockerrel visszaélni próbáló fenyegetések észlelésére;
- Alkalmazza a felügyelt észlelést és reagálást (MDR) a fenyegetések proaktív keresésére;
- Ha a BitLocker engedélyezve van, győződjön meg róla, hogy erős jelszót használ, és hogy a helyreállítási kulcsokat biztonságos helyen tárolja;
- Biztosítsa, hogy a felhasználók csak minimális jogosultságokkal rendelkezzenek. Ez megakadályozza, hogy saját maguk engedélyezzék a titkosítási funkciókat vagy módosítsák a rendszerleíró kulcsokat;
- Engedélyezze a hálózati forgalom naplózását és felügyeletét. Állítsa be mind a GET, mind a POST kérések naplózását. Fertőzés esetén a támadó tartományához intézett kérések jelszavakat vagy kulcsokat tartalmazhatnak;
- Figyelje a VBS végrehajtásával és a PowerShell-lel kapcsolatos eseményeket, majd mentse a naplózott szkripteket és parancsokat egy külső tárolóba, amely a helyben törölhető tevékenységet tárolja;
- Készítsen gyakran biztonsági mentéseket, tárolja őket offline, és tesztelje őket.
A jelentés olyan mutatókat is tartalmaz, amelyek segítségével a szervezetek megállapíthatják, hogy a ShrinkLocker célpontjai lettek-e.
(forrás)
