Co jest największym sprzymierzeńcem cyberprzestępców? Strach, który popycha ich ofiary do pożądanych działań np. wpłacania okupu za odzyskanie danych. Bandyci próbują wzmacniać efekt terroru na różne sposoby - np. wizualnym odliczaniem do skasowania danych ofiary lub niepokojącą nazwą wirusa zaczerpniętą z popkultury. Był więc już szyfrujący Voldemort, był i Hitler, a zatem wykorzystanie postaci diabła wydawało się jedynie kwestią czasu. Czy najnowszy wirus "ochrzczony" mianem Satan zasługuje na swoje biblijne miano?

Na pierwszy rzut oka niekoniecznie, ale - jakżeby inaczej - diabeł tkwi w szczegółach. A tych twórcy zagrożenia przedstawiają na tyle dużo, by zainteresować wejściem w szyfrujący proceder nawet osoby o znikomej wiedzy informatycznej. Model RaaS pozwala wynająć od cyberprzestępców określone zagrożenie razem z jego know-how i zarabiać na infekowaniu cudzych komputerów np. szyfrowaniem ich danych. Ceną za wejście do przestępczego kręgu Satana jest 30% udziału w haraczach, które autorzy wirusa pobierają od wpłat na konto cyberprzestępcy. Ten udział można zmniejszyć skutecznie infekując coraz większe ilości komputerów, do czego zachęca promująca zagrożenie strona www.

To właśnie charakter tej strony daje do myślenia najbardziej - prawdopodobnie po raz pierwszy w historii modelu biznesowego RaaS dostawcy wirusa zadbali o tak klarowny instruktaż dla początkujących kryminalistów. Po rejestracji i zalogowaniu na stronie użytkownik otrzymuje dostęp do konsoli afiliacyjnej, krok po kroku prowadzącej go do stworzenia własnego narzędzia szyfrującego. Generując wirusa można m.in. określić wysokość okupu, liczbę dni, po których haracz jeszcze wzrośnie oraz mnożnik tego wzrostu.

Autorzy strony zadbali też o porady jak wypromować "swojego" Satana implementując złośliwy kod w makrach dokumentów Microsoft Word. Takie zainfekowane ramki to obecnie najczęstszy mechanizm ataków szyfrujących - cyberprzestępcy zaszywają je w fałszywych dokumentach i zalewają nimi sieć wykorzystując kampanie spamowe. Wreszcie użytkownik Satana może przetłumaczyć notę okupu na inne języki, aby - cytując twórców strony - "ofiary lepiej zrozumiały, co się dzieje". Dbałość o "wygodę" wszystkich osób obcujących z zagrożeniem (nawet jako ofiary) na taką skalę jest w branży ransomware czymś nowym.

Jak działa sam Satan? Szyfrując pliki ofiary zmienia ich rozszerzenia na .stn i wyświetla notę okupu w każdym zaatakowanym folderze. Po zakończeniu szyfrowania komendą cipher.exe (dostępną w systemach Windows od wersji 2000) wirus nadpisuje wszystkie dane kasowane na twardym dysku, uniemożliwiając próby ich odzyskania z wcześniejszych wersji plików. Jeśli przestraszona ofiara wpłaci oczekiwany haracz to na swojej podstronie cyberprzestępca zobaczy informację o wpłynięciu środków. Co zrobi potem?

Być może przed wydaniem skradzionych pieniędzy zajrzy jeszcze do kolejnej zakładki - powiadomień. Tym kanałem autorzy zagrożenia mogą go poinformować np. o nowych opcjach kreatora Satanów. Niestety biorąc pod uwagę dbałość o UX (doświadczenie użytkownika) obecnej strony, tych aktualizacji może być całkiem sporo. Jeżeli nie chcemy, by nasze dane padły łupem takiej "nowinki" koniecznie zadbajmy o dedykowany system do backupu. Wiele osób sądzi, że wystarczającą ochroną jest trzymanie kopii plików w chmurze, ale jeśli chwilę po ataku chmura zsynchronizuje zarażone foldery z naszego dysku to zostaniemy z dwoma kompletami bezużytecznych danych.

Autor: Piotr Surmacz, ANZENA