Мир Oracle в Украине

21 мая 2020 года разработчик антивирусов Sophos сообщил об обнаружении Ragnar Locker — нового типа вирусов-вымогателей, который отличается от ранее известных способом маскировки от защитного программного обеспечения.

Ragnar Locker, для того чтобы быть незаметным для антивирусов, развертывает на компьютере жертвы виртуальную машину и помещает себя в нее. Для создания визуальной машины используется гипервизор Oracle VirtualBox. В качестве операционной системы выступает Windows XP. Образ операционной системы и VirtualBox имеют общий объем около 404 МБ — все это загружается на ПК жертвы только для того, чтобы скрыть исполняемый файл vrun.exe объемом 49 КБ.

Вирусы-вымогатели начали запускать на виртуальных машинах, чтобы спрятать от антивирусов

Злоумышленники используют GPO для запуска установщика Microsoft (msiexec.exe), который незаметно загружает из интернета и устанавливает неподписанный MSI-пакет объемом 122 МБ с удаленного сервера. Этот пакет включает гипервизор Oracle VirtualBox (в частности, версию Sun xVM VirtualBox 3.0.4 от 5 августа 2009 года) и образ диска micro.vdi, содержащий урезанную версию Windows XP SP3 под названием MicroXP v0.82. Этот образ уже включает вирус.

Поскольку вирус запускается внутри виртуальной машины, он незаметен для антивирусного ПО, установленного на хосте (поскольку оно не сканирует виртуальные машины), пояснили в Sophos.

До того как начать распространять Ragnar Locker, злоумышленники, стоящие за программой-вымогателем, атакуют целевую сеть и похищают данные, за которые потом с помощью этого приложения требуют деньги. Так, в апреле 2020 года они завладели конфиденциальными данными сетевой компании Energias de Portuga, после чего потребовали от нее 1580 биткоинов (около $11 млн), пригрозив выложить эти данные в открытый доступ, если оплата не поступит.

http://www.tadviser.ru/index.php/%D0%A1%D1%82%D0%B0%D1%82%D1%8C%D1%8F:Ragnar_Locker_%28%D0%B2%D0%B8%D1%80%D1%83%D1%81-%D0%B2%D1%8B%D0%BC%D0%BE%D0%B3%D0%B0%D1%82%D0%B5%D0%BB%D1%8C%29