Magniber: Magnitude Cerber

שימוש הפצה חדש שזוהה רחוק מישראל לעת עתה בשם "Magnitude"  שימש ככלי להפצת "Cerber" וידוע גם שהוא מפיץ את Locky ו- Cryptowall, אך כפי שציינו חוקרים בתחום הפעילות של Magnitude ירדה באופן משמעותי לקראת יוני אוגוסט 2017. לאחר הפסקה קלה חידשה ערכת ההפצה את פעילותה הפעם שם המטען החדש הוא "Magniber" ראשי תיבות של "Cerber" "Magnitude".

21.01.2018 | שגיא צמח הכהן

 

מוטציה חדשה של ransomware מופצת באמצעות אותה שיטת הפצה המצליחה לרמות על ססמאות התקשרות חיבור מרוחק ומשם הדרך קצרה להצפנת קבצים. ה- ransomware מתוכנן כרגע לתקוף שרתים ותחנות עבודה בעלי ססמאות פשוטות. בשיטת הפצה שניה הוא מתפשט דרך אתרי שיתוף ופרסום. שיטת הפצה שלישית היא תקיפה של דואר באמצעות מסמך מזוהם בפקודות מקרו מזוהמות.

 

שימוש הפצה חדש שזוהה רחוק מישראל לעת עתה בשם "Magnitude"  שימש ככלי להפצת "Cerber" וידוע גם שהוא מפיץ את Locky ו- Cryptowall, אך כפי שציינו חוקרים בתחום הפעילות של Magnitude ירדה באופן משמעותי לקראת יוני אוגוסט 2017. לאחר הפסקה קלה חידשה ערכת ההפצה את פעילותה בעולם אם כי פעילות אצלנו בישראל לא הורגשה או שעדיין לא פנו אלנו במעבדה לשחזור ואבטחת מידע.
הפעם שם המטען החדש הוא "Magniber" ראשי תיבות של "Cerber" "Magnitude".
 

Cerber לא הופצה דרך Magnitude מאז חידשה את הפעילות. הדבר הראשון שעושה Magniber הוא לבדוק את השפה המותקנת במערכת הנגועה אם השפה היא קוריאנית, המטען יפעל בעוד כמה צורות.

 

ה-ransomware כבר יודע למקד את עצמו לאזורים ספציפיים ולא לרוץ במדינות מסוימות זה נדיר ב ransomware שהוא יודע למקד את עצמו בגלובוס הרשתי למדינה מסוימת.

 

מתוך כך לדעתי "Magniber" היא עדיין עבודה בתהליך, מסתבר שהארכיטקטים מאחוריהם מנסים להבין כיצד לנצל בצורה הטובה ביותר מטרות מסוימות, לכן מדובר באיום עם יכולת מזהמת מהירה במיוחד שלמעשה היא הצפנה כפולה.

 

השיטה במעבדה לשחזור ואבטחת מידע צולחת את "Cerber" ו- "Magnitude" וכן את Locky ו- Cryptowall שהם מאותה משפחת ארכיטקטים ומפיצי זיהומי היבלת. מסתבר שניצלח גם את Magniber! 

 

לכן אם זוהמת? על תיגע בכלום, ופנה אלינו - המעבדה לשחזור מידע.