×

Серверы Microsoft SQL накрыла новая волна атак с использованием вымогательского ПО

Серверы Microsoft SQL накрыла новая волна атак с использованием вымогательского ПО

Злоумышленники используют шифровальщик FARGO.

ИБ-специалисты из AhnLab Security Emergency Response Center (ASEC) утверждают, что FARGO, наряду с GlobeImposter, является одной из наиболее популярных вымогательских программ, используемых для атак на серверы MS-SQL.

Ранее этот вредонос был известен под двумя другими названиями:

  • Mallox – т.к. шифровальщик добавлял расширение “.mallox” к файлам;

  • TargetCompany – так вредоноса назвали исследователи Avast в своем февральском отчете.

По данным платформы ID Ransomware, сейчас семейство вымогательских программ FARGO достаточно активно.


Активность FARGO за последние 30 дней (ID Ransomware).

Как говорят исследователи, цепочка заражения начинается с загрузки .NET файла процессом MS-SQL с помощью cmd.exe и powershell.exe. Загруженный файл подгружает дополнительные вредоносные программы, затем генерирует и запускает BAT-файл, который отключает определенный процессы и службы.

После этого вредонос внедряется в AppLaunch.exe и пытается удалить ключ реестра утилиты Raccine, служащей для ликвидации любых процессов, пытающихся удалить теневые копии в Windows с помощью vssadmin.exe. Кроме того, вредонос отключает восстановление и завершает все процессы, связанные с базами данных, чтобы сделать их содержимое доступным для шифрования.


Список процессов, уничтожаемых FARGO.

Однако вредонос не шифрует некоторые программы и каталоги, чтобы не сделать систему полностью нерабочей. А файлы, которые возможно зашифровать, получают расширение ".Fargo3", после чего FARGO создает записку о выкупе ("RECOVERY FILES.txt").


Записка о выкупе.

Жертвам угрожают сливом похищенных файлов в Telegram-канале операторов вымогательского ПО, если они не заплатят выкуп.

Эксперты предупреждают, что базы данных чаще всего взламываются атаками по словарю и перебором, т.е. риску подвержены учетные записи со слабыми паролями. Кроме того, злоумышленники используют известные уязвимости, которые могут быть не исправлены. Поэтому администраторам серверов MS-SQL рекомендуется установить все последние обновления безопасности для MS-SQL и заменить пароли на более надежные.

0-day уязвимость Google заставляет программу поверить в ложные данные

Пользователям нужно срочно обновить Google Chrome, чтобы не потерять контроль над компьютером.

Мошенник вернет криптоинвестору украденные $20 млн.

Американец арестован за серию связанных краж криптовалюты на десятки миллионов долларов.

Стала известна причина масштабного сбоя в работе Microsoft в крупнейших странах мира

Некоторые функции продуктов Microsoft были недоступны в течение 10 часов.