Alpha: новый игрок или переименованный старый?
20/02/24
Эксперты обнаружили тревожные связи между появившимся недавно вирусом-вымогателем Alpha и преступной группировкой Netwalker, которая была ликвидирована несколько лет назад. Что это может значить?
Netwalker действовала с октября 2019 по январь 2021 года, предоставляя свое ПО другим злоумышленникам по принципу «вымогательство как услуга» (ransomware-as-a-service, RaaS). После того, как правоохранительные органы заблокировали сайты группировки в даркнете, операторы Netwalker прекратили свою противозаконную деятельность и пропали из виду, напоминает Securitylab.
Вирус Alpha впервые появился в феврале 2023 года, но первое время действовал скрытно, не рекламируя себя на хакерских форумах и не проводя масштабных атак. Спустя время злоумышленники создали сайт, на котором стали выкладывать украденные данные компаний и требовать за них выкуп.
Сейчас на сайте Alpha опубликована информация о 9 кибератаках, причём в 8 случаях уже выложены похищенные сведения. Согласно отчёту компании Neterich от 29 января, вирус совершенствовался постепенно. В последней версии он добавляет к зашифрованным файлам случайное 8-значное буквенно-цифровое расширение.
Требования о выкупе теперь включают инструкции для связи с киберпреступниками. Суммы, по данным Neterich, варьируются от 13 200 до 100 000 долларов в зависимости от объема выручки атакованной организации.
Symantec установили связь вируса Alpha с преступной деятельностью Netwalker в своем недавнем отчете. Эта связь прослеживается в используемых новой группой инструментах и методах кибератак.
Основные сходства:
- Использование похожих загрузчиков на основе PowerShell для незаметной доставки вируса.
- Совпадение структуры и фрагментов кода, особенно в функциях шифрования файлов, отключения процессов и служб, вызова системных API.
- Схожая конфигурация правил исключения файлов, папок, процессов и служб из процедуры шифрования.
- Вредоносная программа автоматически удаляется после завершения шифрования с использованием специальных временных бат-файлов.
- На платёжных страницах о необходимости ввода пользовательского кода размещено идентичное сообщение.
- Кроме того, в последних атаках Alpha активно использовал встроенные инструменты Windows, что характерно для многих хакерских групп.
Таким образом, у исследователей немало оснований полагать, что разработчики Netwalker и Alpha тесно связаны. Либо Alpha – это ребрендинг Netwalker, либо их код используется новой группой киберпреступников. По мнению экспертов Symantec, кто-то мог незаконно заполучить код Netwalker и адаптировать его для своих целей.
Несмотря на то, что на данный момент Alpha не является основным игроком на рынке вирусов-вымогателей, аналитики оценивают потенциал этой новой киберугрозы как весьма высокий и быстрорастущий.