Nowy ransomware nazwany Bad Rabbit został po raz pierwszy wykryty we wtorek, 24 października w Rosji i na Ukrainie. Niewielką liczbę infekcji odnotowano także w pozostałej części wschodniej Europy, Niemczech i Turcji. Atak rozprzestrzenia się na inne regiony, o czym świadczą raporty z USA i Korei Południowej. Potwierdzono m.in., że Bad Rabbit zainfekował kilka agencji prasowych w Rosji, w tym Interfax, zmuszając ją do pracy w trybie offline.
Ponadto ataku doświadczył sektor transportu publicznego. Bad Rabbit zaatakował np. Międzynarodowy Port Lotniczy w Odessie oraz metro w Kijowie.
Bad Rabbit
Wstępnym wektorem ataku jest użytkownik, który instaluje złośliwe kopie programu Flash Player, otrzymane przez zainfekowane strony internetowe lub metodą watering hole attack, w której celem cyberprzestępcy jest określona grupa użytkowników. Aby do niej dotrzeć, infekuje urządzenie jednego z nich, uzyskując dostęp do sieci w jego miejscu zatrudnienia.
Użytkownicy instalują Bad Rabbit poprzez otwarcie złośliwego pliku .exe, który uruchamia aplikację ransomware. Następnie złośliwe oprogramowanie próbuje wykraść poświadczenia użytkownika w systemie operacyjnym Windows (nazwa użytkownika i hasła) i zaszyfrować pliki użytkowników. W przeciwieństwie do innych znanych ransomware, złośliwe oprogramowanie nie zmienia nazw plików, które szyfruje.
Testy w laboratorium FortiGuard Labs firmy Fortinet wykazały, że Bad Rabbit próbuje wylistować różne adresy IP w tej samej podsieci. Jednym z możliwych powodów takiego zachowania jest to, że ransomware może szukać wewnętrznego adresu IP, który jest prawidłowym serwerem internetowym. Ponadto Bad Rabbit próbował także poruszać się w poprzek sieci, aby znaleźć i zainfekować inne wrażliwe urządzenia.
– Bad Rabbit może być wariantem znanego ransomware Petya, a raz uruchomiony zaczyna szyfrować pliki na komputerze i udostępnione w sieci, zanim jeszcze wyświetli notatkę dotyczącą okupu – mówi Robert Dąbrowski, szef zespołu inżynierów Fortinet.
W celu odblokowania zaszyfrowanych plików ransomware wymaga wpłaty w wysokości 0,05 Bitcoina lub około 275 USD. Atak ten przyciąga wiele uwagi przede wszystkim z powodu pewnych podobieństw do poprzednich głośnych przypadków ataków ransomware: WannaCry i Petya. Podobnie jak one używa protokołu SMB (Server Message Block), ale w przeciwieństwie do nich Bad Rabbit nie wykorzystuje podatności Eternal Blue lub DoublePulsar.