Potwierdzono m.in., że Bad Rabbit zainfekował
kilka agencji prasowych w Rosji, w tym Interfax, zmuszając ją do pracy w trybie
offline. Ponadto ataku doświadczył sektor transportu publicznego. Bad Rabbit
zaatakował np. Międzynarodowy Port Lotniczy w Odessie oraz metro w Kijowie.
Obecnie nie ma jednoznacznej odpowiedzi na pytanie, kto jest odpowiedzialny za
atak.
Wstępnym wektorem ataku jest użytkownik, który
instaluje złośliwe kopie programu Flash Player, otrzymane przez zainfekowane
strony internetowe lub metodą watering
hole attack, w której celem cyberprzestępcy jest określona grupa
użytkowników. Aby do niej dotrzeć, infekuje urządzenie jednego z nich,
uzyskując dostęp do sieci w jego miejscu zatrudnienia.
Użytkownicy instalują Bad Rabbit poprzez
otwarcie złośliwego pliku .exe, który uruchamia aplikację ransomware. Następnie
złośliwe oprogramowanie próbuje wykraść poświadczenia użytkownika w systemie
operacyjnym Windows (nazwa użytkownika i hasła) i zaszyfrować pliki
użytkowników. W przeciwieństwie do innych znanych ransomware, złośliwe
oprogramowanie nie zmienia nazw plików, które szyfruje.
Testy w laboratorium FortiGuard Labs firmy
Fortinet wykazały, że Bad Rabbit próbuje wylistować różne adresy IP w tej samej
podsieci. Jednym z możliwych powodów takiego zachowania jest to, że ransomware
może szukać wewnętrznego adresu IP, który jest prawidłowym serwerem
internetowym. Ponadto Bad Rabbit próbował także poruszać się w poprzek sieci,
aby znaleźć i zainfekować inne wrażliwe urządzenia.
– Bad
Rabbit może być wariantem znanego ransomware Petya, a raz uruchomiony zaczyna
szyfrować pliki na komputerze i udostępnione w sieci, zanim jeszcze wyświetli
notatkę dotyczącą okupu – mówi Robert Dąbrowski, szef zespołu inżynierów
Fortinet.
W celu odblokowania zaszyfrowanych plików
ransomware wymaga wpłaty w wysokości 0,05 Bitcoina lub około 275 USD. Atak ten
przyciąga wiele uwagi przede wszystkim z powodu pewnych podobieństw do
poprzednich głośnych przypadków ataków ransomware: WannaCry i Petya. Podobnie
jak one używa protokołu SMB (Server Message Block), ale w przeciwieństwie do
nich Bad Rabbit nie wykorzystuje podatności Eternal Blue lub DoublePulsar.
