Nowy ransomware nazwany BadRabbit został po raz pierwszy wykryty we wtorek, 24 października w Rosji i na Ukrainie. Niewielką liczbę infekcji odnotowano także w pozostałej części wschodniej Europy, Niemczech i Turcji. Atak rozprzestrzenia się na inne regiony, o czym świadczą raporty z USA i Korei Południowej.

Potwierdzono m.in., że Bad Rabbit zainfekował kilka agencji prasowych w Rosji, w tym Interfax, zmuszając ją do pracy w trybie offline. Ponadto ataku doświadczył sektor transportu publicznego. Bad Rabbit zaatakował np. Międzynarodowy Port Lotniczy w Odessie oraz metro w Kijowie. Obecnie nie ma jednoznacznej odpowiedzi na pytanie, kto jest odpowiedzialny za atak.

Wstępnym wektorem ataku jest użytkownik, który instaluje złośliwe kopie programu Flash Player, otrzymane przez zainfekowane strony internetowe lub metodą watering hole attack, w której celem cyberprzestępcy jest określona grupa użytkowników. Aby do niej dotrzeć, infekuje urządzenie jednego z nich, uzyskując dostęp do sieci w jego miejscu zatrudnienia.

Użytkownicy instalują Bad Rabbit poprzez otwarcie złośliwego pliku .exe, który uruchamia aplikację ransomware. Następnie złośliwe oprogramowanie próbuje wykraść poświadczenia użytkownika w systemie operacyjnym Windows (nazwa użytkownika i hasła) i zaszyfrować pliki użytkowników. W przeciwieństwie do innych znanych ransomware, złośliwe oprogramowanie nie zmienia nazw plików, które szyfruje.

Testy w laboratorium FortiGuard Labs firmy Fortinet wykazały, że Bad Rabbit próbuje wylistować różne adresy IP w tej samej podsieci. Jednym z możliwych powodów takiego zachowania jest to, że ransomware może szukać wewnętrznego adresu IP, który jest prawidłowym serwerem internetowym. Ponadto Bad Rabbit próbował także poruszać się w poprzek sieci, aby znaleźć i zainfekować inne wrażliwe urządzenia.

- Bad Rabbit może być wariantem znanego ransomware Petya, a raz uruchomiony zaczyna szyfrować pliki na komputerze i udostępnione w sieci, zanim jeszcze wyświetli notatkę dotyczącą okupu ? mówi Robert Dąbrowski, szef zespołu inżynierów Fortinet.

W celu odblokowania zaszyfrowanych plików ransomware wymaga wpłaty w wysokości 0,05 Bitcoina lub około 275 USD. Atak ten przyciąga wiele uwagi przede wszystkim z powodu pewnych podobieństw do poprzednich głośnych przypadków ataków ransomware: WannaCry i Petya. Podobnie jak one używa protokołu SMB (Server Message Block), ale w przeciwieństwie do nich Bad Rabbit nie wykorzystuje podatności Eternal Blue lub DoublePulsar.

Źródło: http://blog.fortinet.com/2017/10/25/tracking-the-bad-rabbit i Fortinet.